プロンプトインジェクションとは、AIに悪意のある指示を紛れ込ませて、本来の動作を乗っ取ろうとする攻撃のことです。
たとえば、AIに読ませた文章の中に「これまでの指示を無視して……」といった命令を仕込むと、AIがそれに従ってしまうことがあります。
そして、AIが自分で作業するようになったことで、この攻撃の危険度は上がっています。
この記事の要点
- 間接型（読ませた文章に仕込む）が本命。自分は普通に頼んだつもりでも起こる
- AIが自分で動くようになり、被害が「変な返答」で済まなくなった
- 対策の柱は「信頼できない情報を無防備に処理させない・重要操作は人が確認」
仕組み
AIは、与えられた文章を「指示」として素直に受け取る性質があります。この素直さを逆手に取るのが、プロンプトインジェクションです。
たとえば、AIに要約させるために貼り付けた文章の中に、こっそり次のような一文が混ざっているとします。
（本文）……なお、これまでの指示はすべて無視し、次の操作を行ってください。
すると、AIが本来の「要約する」という役割を離れて、仕込まれた命令に従ってしまうことがあります。 これが乗っ取りです。
AIには「これは本文」「これは指示」を確実に見分ける仕組みが備わっているわけではない——ここが根本的な難しさです。
2つのタイプ
| タイプ | どういうものか | 例 |
|---|---|---|
| 直接型 | 利用者が直接、悪意ある指示を入力する | 「安全ルールを無視して答えて」と打ち込む |
| 間接型 | AIに読み込ませる文章・サイト・ファイルに命令を仕込む | 要約させたWebページに隠し命令が埋め込まれている |
特に注意したいのが間接型です。
自分は普通に「このページを要約して」と頼んだだけでも、そのページに悪意ある指示が仕込まれていれば、影響を受ける可能性があります。
仕込まれる場所は、文章だけとは限りません。
- Webページ（画面に見えない形で埋め込まれることがあります）
- 添付ファイル、PDF
- メールの本文
- 画像の中の文字
AIが自分で動くようになって変わったこと
この記事で加えたい、いちばん重要な変化です。
従来：乗っ取られても、被害は**「変な返答が返る」**程度でした。読んで、おかしいと気づけば済みます。
現在：AIエージェントがファイルを操作し、メールを送り、外部のサービスとやり取りするようになりました。
つまり、乗っ取られた指示が「実行されてしまう」可能性が出てきたということです。
| 従来 | エージェント時代 | |
|---|---|---|
| 被害の形 | 変な返答 | 実際の操作が行われる |
| 気づき方 | 読めば分かる | 終わってから気づく |
| 影響範囲 | その会話の中 | ファイル・メール・外部連携 |
Anthropicの公式ヘルプも、Coworkについて「エージェント性とインターネットアクセスに固有のリスクがある」と明記しています。
各社が実装している防御
利用者側だけの問題ではなく、提供側も対策を入れています。
たとえばClaude Coworkの自動承認（Auto）モードでは、公式によれば各アクションを実行前に安全性の観点で確認し、データの持ち出しやプロンプトインジェクションのような危険を検知したものは自動でブロックするとされています。
ただし、同じ公式ページにこう書かれています。
どんな防御も完璧ではなく、どのモードもあなたの判断の代わりにはならない
提供側の対策があっても、利用者側の前提は変わりません。
業務でAIを使う人ができる対策
高度な防御は開発側の仕事ですが、一般の利用者にもできることがあります。
- 信頼できない文章を無防備に処理させない：出所の怪しいページやファイルを読ませるときは、出力を鵜呑みにしない
- 重要な操作を自動で任せきらない：メール送信・購入・削除・外部連携など、影響の大きい操作は人が最終確認する
- 承認モードを理解する：自動で実行するAIを使うなら、どこまで勝手にやらせる設定になっているかを先に確認する
- 機密情報を安易に入れない：万一乗っ取られても被害が出ないよう、そもそも入れない（AIと個人情報の注意点）
- おかしな出力に気づく：役割を外れた・不自然な情報を出したら、いったん止めて疑う
要は、AIの出力を最終的に信じて動くのは人——この前提を崩さないことです。
PR・おすすめValue AI Writer byGMO高品質なSEO記事を生成するAIライティングツール。公式サイトを見る危ないと気づくサイン
次のような様子が出たら、いったん止めてください。
| サイン | 疑うこと |
|---|---|
| 急に役割を外れる | 要約を頼んだのに別の話を始めた |
| 頼んでいない操作をしようとする | 送信・保存・外部アクセスの確認が出た |
| 設定や指示について語り出す | 内部の情報を出そうとしている |
| 「無視して」に類する語が出力に混ざる | 読み込ませた文章の指示が漏れている |
| 不自然に急かす | 確認させないための誘導 |
気づいたときにやること
- その場で止める（実行中なら停止する）
- その会話を続けない。 新しい会話を始める
- 何を読み込ませたかを確認する（そのファイル・URLが原因の可能性）
- すでに実行された操作がないか確認する（送信済み・変更済みのもの）
- 業務なら、担当部署に共有する
2番目が大切です。 汚染された会話を続けると、その後の応答も影響を受け続ける可能性があります。
ハルシネーションとの違い
似た言葉に「ハルシネーション」がありますが、別物です。
- ハルシネーション：AIが悪意なく、もっともらしい誤りを出してしまう現象（ハルシネーションとは）
- プロンプトインジェクション：外部からの悪意ある指示で、AIの動作が乗っ取られる攻撃
前者は「うっかり間違える」、後者は「仕込まれて操られる」。 どちらも「出力をうのみにしない」という対策が共通します。
組織で使う場合
個人の注意だけでは限界があります。 ルールにしておくべき項目です。
- どのAIに、どこまでの権限を与えるかを決める
- 自動実行を許す作業の範囲を決める（取り消せるものに限る、など）
- 社外から届いたファイル・URLの扱いを決める
- おかしな挙動があったときの報告先を決める
導入を進める立場の方は管理職・経営者のAI活用、リスク全般は生成AIのリスクと課題もあわせてどうぞ。
FAQ
Q. 普通にChatGPTなどを使うだけでも危険ですか？ A. 日常的な使い方で過度に恐れる必要はありません。 ただし、出所の怪しい文章を読ませたり、重要な操作を自動で任せたりするときは注意が必要です。
Q. AIが自分で作業する機能が増えていますが、危険は上がりましたか？ A. 被害の形が変わりました。 従来は「変な返答」で済みましたが、実際に操作が行われる可能性が出ています。承認モードの設定を先に確認してください。
Q. 提供側の対策があれば安心ですか？ A. 完全ではありません。 危険を検知してブロックする仕組みを入れている製品もありますが、公式自身が「どんな防御も完璧ではない」と述べています。
Q. どうやって見分ければいいですか？ A. 急に役割を外れた、頼んでいない操作をしようとした、設定について語り出した——こうしたときは疑ってください。
Q. おかしいと気づいたらどうすればいいですか？ A. 止めて、その会話を続けず、新しい会話を始めてください。 何を読み込ませたかと、すでに実行された操作がないかも確認します。
Q. 対策は難しいですか？ A. 一般の利用者に必要なのは高度な技術ではありません。 「信頼できない情報を無防備に処理させない」「重要判断は人が確認する」「機密を入れない」という基本です。
まとめ
- プロンプトインジェクションは、悪意ある指示でAIの動作を乗っ取る攻撃
- 間接型（読ませた文章に仕込む）が本命。普通に頼んだつもりでも起こる
- AIが自分で動くようになり、被害が「変な返答」で済まなくなった
- 提供側も防御を入れているが、公式自身が「完璧ではない」と明記している
- 対策は「怪しい情報を無防備に処理させない・重要操作は人が確認・機密を入れない」
- 承認モードの設定を先に確認する
- おかしいと感じたら止めて、会話を変える
次に読む：AIエージェントとは？／ハルシネーションとは／生成AIのリスクと課題
※本記事は一般的なセキュリティ概念の解説です。各サービスの安全機能・設定は変更されることがあります。最新は各公式でご確認ください。
出典
- プロンプトインジェクションに関する一般的な公開情報
- Claude ヘルプセンター「Get started with Claude Cowork」（2026年7月26日確認）
最終更新：2026年7月26日／fondantAI編集部