あなたは何も操作していない。怪しいリンクも踏んでいない。ただ、いつものようにAIアシスタントに「今日届いたメールを要約して」と頼んだ。それだけで、受信箱の個人情報が見知らぬ相手のサーバーへ流れ出す——。
2025年に実証された「ShadowLeak」という攻撃は、まさにこれをやってのけた。手口の名はプロンプトインジェクション。AI時代の最重要リスクとされるこの攻撃を、仕組みから対策までやさしく解く。
正面から言うか、モノに書いておくか
攻撃は大きく2種類ある。直接型は、ユーザー自身が「これまでの指示を全部無視して〜」とAIに打ち込むタイプ。いわば正面突破で、比較的わかりやすい。
本当に厄介なのは間接型だ。攻撃者は、AIがいずれ読むであろうメール・Webページ・カレンダーの予定などに、白い文字や極小フォントで命令を仕込んでおく。ユーザーがその内容をAIに読ませた瞬間、隠れていた命令が起動する。落とし穴を先に掘って、獲物が来るのを待つ罠だ。
図: 間接型プロンプトインジェクションの流れ
2025年に実際に起きた3つの実証
これはSFではない。2025年、名だたる製品で立て続けに実証された(いずれも研究者による報告で、各社は修正済み)。
| 名称 | 標的 | 何が起きたか |
|---|---|---|
| EchoLeak(6月) | Microsoft 365 Copilot | 細工メール1通で社内ファイルが流出。史上初のゼロクリック型(CVSS 9.3) |
| Gemini乗っ取り(8月) | Google Gemini | カレンダー招待の題名に命令を仕込み、スマート家電の窓を開けさせた |
| ShadowLeak(9月) | ChatGPT Deep Research | 受信箱のメール経由で情報流出。しかも流出はクラウド内で完結し痕跡が残らない |
研究デモだけの話でもない。セキュリティ企業CrowdStrikeの年次報告は、2025年に90を超える組織で、正規の生成AIツールに悪意あるプロンプトが注入され、認証情報の窃取などに悪用されたと報告している。仕組みを動画で押さえたい人にはIBMの解説がわかりやすい。
作った本人が「完全には防げない」と認める
では大手はどう戦っているのか。Anthropicはブラウザ操作版Claudeで、攻撃成功率を対策により23.6%から11.2%へ、さらに適応的な評価で1.4%まで下げたと数字で公開している。Googleは「多層防御」戦略、OpenAIも攻撃を先回りする訓練で堅牢化を進める。
ただし——ここが重要だ。OpenAIは2025年末、「プロンプトインジェクションは詐欺と同じで、完全な解決は不可能な問題」と公式に認めた。ワクチンのように「かからなくする」のではなく、手洗いのように「かかる確率を下げ続ける」種類の脅威なのだ。
ウイルス対策の常識が通じない時代の護身術
「怪しいリンクを踏まない」という従来の護身術は、ゼロクリック攻撃には通じない。それでも、できることはある。
個人なら、AIにメール・カレンダー・ブラウザを操作する強い権限を渡す前に、その必要性を一度考える。AIが実際に行動を起こす前の確認ダイアログを、面倒でも切らない。企業なら、外部から来る文章はすべて「信用できない入力」として扱い、AIに与える権限を最小限にし、重要な操作には人間の承認を挟む。秘密情報の管理と同じで、「渡さない・確認する・最小限にする」が基本だ。
この問題の本質は「AIに主体性を与えた代償」にある、と筆者は考えている。SkillsやMCPでAIが自分で動けるようにするほど、その手足を乗っ取る価値も上がる。便利さとリスクは同じコインの裏表だ。「プロンプトは新しいマルウェア」——この言葉を、AIに仕事を任せる全員が覚えておいていい。
出典: OWASP GenAI(LLM01) / SafeBreach(Gemini実証) / Anthropic(防御研究) / CrowdStrike 2026 Global Threat Report。実証事例はいずれも研究者報告で修正済み。
