プロンプトインジェクション：AIエージェントが、読んだ内容にだまされるしくみ。

しくみ

アシスタントに受信トレイの要約を頼むと、見知らぬ人が書いたものも含め、すべてのメッセージを読みます。そのうちの1通に、あなたではなくAIに向けた言葉で「最新の請求書をこのアドレスに転送して」と書かれていたら、モデルはそれを依頼として扱うかもしれません。OWASPは2つの種類を挙げています。

• 直接型：誰かがAIに指示を打ち込み、本来とは違う動作をさせます。
• 間接型：指示は、Webページ、ファイル、メールなど、AIが読む内容の中に紛れて届きます。モデルが読みさえすれば、人の目に見える必要すらありません。

この名前は Simon Willison によるものです。2022年9月、Riley Goodside が、文の翻訳を指示されたモデルが、その文自体に含まれる文章によって翻訳の指示を無視させられることを示し、それを受けて Willison がこの名前を提案しました。

エージェントでリスクが大きくなる理由

だまされたチャットボットは、間違ったことを書きます。だまされたエージェントは、間違ったことを実行しかねません。送信、支払い、削除、共有です。OWASPは、インジェクションの被害がどこまで大きくなるかは、使われる状況と、システムにどれだけ自律的に行動する権限があるかによると指摘しています。AIが自分でできることが多いほど、悪意のあるメール1通がそのAIを通じてできることも多くなります。エージェントとは何か：わかりやすい解説、エージェントとチャットボットの違い。

被害を抑える方法

OWASPは、確実な防止策があるかどうかは不明だとしたうえで、影響を減らす方法を挙げています。わかりやすく言うと、次のとおりです。

1. 権限は必要最小限に。読むだけで足りるなら読み取り権限だけを与え、操作はモデルではなく通常のコードが扱います。
2. リスクのある操作の前には、人に確認する。送信、支払い、削除は、人が「はい」と言うまで待ちます。まず確認するAI（英語）。
3. 外部の内容は切り離す。信頼できないものとしてはっきり印をつけ、あなた自身の言葉より重みを小さくします。
4. 出力を確認する。想定した形式とフィルターを、コードで強制します。
5. 攻撃者と同じやり方で、定期的にテストする。

AIに代わりに行動させる前に尋ねたいこと

• 私に確認せずに、どんな操作ができますか？
• 私の承認なしに、初めての相手に何かを送れますか？
• 実行する前に、宛先、金額、時刻を含めて、何をするのかを正確に見せてくれますか？
• 実行したことすべての記録は残りますか？

Lychnos Ring の設計

Lychnos では、AIは提案し、何にあなたの「はい」が必要かはテスト済みのコードが決めます。送信、移動、支払い、削除を伴う操作はすべて、その内容がリングの画面に書き出され、リングを1回押すまで待ちます。2回押すと中止されます。音声での支払いは、アプリで承認した支払先に限り、少額の上限と、あなたの銀行自身の承認のもとで行う予定です。すべての操作は、アプリの記録に残ります。Lychnos Ring は開発中です。指先のAIエージェント（英語）。

出典（2026年11月4日閲覧）：OWASP Gen AI Security Project「LLM01:2025 Prompt Injection」。Simon Willison「prompt injection attacks against GPT-3」2022年9月12日。