Indirect Prompt Injectionが実攻撃で観測、AIエージェントが金銭詐欺・破壊指示の踏み台に

「ウェブページに隠した命令で、本当にAIエージェントを操れるの？」
「うちのCopilotやClaude利用、無防備のままでは？」

チップス

ボス、AIエージェントが勝手にAPIキーを漏らしたって本当でしゅか…？

ボス

うむ、Indirect Prompt Injectionが研究と実害の両面で確認されている。
権限の大きいエージェントほど、被害がそのまま事業リスクになる構図だ。

Help Net SecurityやSecurityWeekは2026年4月にかけて、Indirect Prompt Injection（IPI）の実攻撃事例を相次いで報じています。
本記事では仕組み、観測されている被害、企業が取るべき対策を整理します。

AIエージェントは「賢い社員」ではなく、与えられた文字列をすべて命令として読む特性があります。
業務利用が広がる前にこの記事で攻撃面を理解しておきましょう。

Indirect Prompt Injectionの実攻撃が顕在化

研究室のPoCに留まらず、実際のサービス利用シナリオで悪意ある指示が機能した点が決定的な変化です。

どんな指示が動いてしまったのか

Help Net Securityが紹介したGoogleとForcepointの調査では、AIエージェントが処理したウェブコンテンツから次のような指示が実行されました。
いずれも金銭・データ・システムの損失に直結する内容です。

主要AIエージェントが軒並み影響を受けた

SecurityWeekによると、研究者がGitHubのPRタイトルに細工した命令を埋め込んだだけで、Anthropic Claude Code Security Review、Google Gemini CLI、GitHub Copilot Agentが自身のAPIキーをコメントとして投稿する事象が再現されました。
Anthropicは内部的にCVSS 9.4 Critical相当と評価しています。

攻撃の仕組みと企業に求められる対策

「ユーザーが質問する」古典的なIPIから、「自動ワークフローで発火する」プロアクティブ型へと進化している点が要警戒です。

「データ」と「命令」の境界線が崩れる構造

チップス

AIってウェブの内容を読むだけだと思ってたんでしゅが、書いてあれば全部命令と解釈するんでしゅか？

ボス

そのとおりだ。
LLMは入力テキストの「役割」を厳密には区別できないため、データ部分に命令が混ざると区別がつかない。
厳密な境界制御が設計の前提になる。

攻撃者は1ピクセル文字、透明色、HTMLコメント、メタデータなど人間には見えない場所に命令を仕込みます。
エージェントが取得したテキスト全体を「同列」に扱う限り、検知は困難です。

日本企業がいま取れる現実的な防御

「LLMをアップデートして終わり」では済みません。
権限分離・監査・人間の介入という古典的なセキュリティ原則をAIエージェントにも当てはめましょう。

まとめ

チップス

AIエージェント便利だけど、運用設計を間違えると一発でアウトでしゅね…

ボス

うむ、利便性と権限はトレードオフだ。
「賢いから任せる」のではなく、「権限を絞ってから任せる」発想で設計したい。

IPIはもはや理論ではなく、実際にAPIキーが漏れ、ファイル削除指示が動く脅威です。
AIエージェントを業務に組み込むなら、権限と承認のガードレールを最初に設計しましょう。

AIエージェントの運用設計やレッドチームができる人材は、今もっとも需要の高い領域のひとつです。
腕に覚えがある方は、案件単位で力を試せる場所もあります。