プロンプトインジェクションとは、AIに読み込ませるWebページ・メール・文書の中に「利用者が頼んでいない指示」を紛れ込ませ、AIをだまして意図しない動作をさせる攻撃手法です。AIがブラウザを操作し、メールを読み、業務システムに接続する「AIエージェント」の時代に入り、情報漏えい・誤送信・不正操作につながる現実的なリスクになりました。本記事では、直接型・間接型の仕組み、中小企業にとっての意味、無料・低コストから進める対策を公式情報をもとに解説します（2026年9月時点）。攻撃文字列の実例は掲載しません。
プロンプトインジェクションとは？直接型と間接型の仕組み
LLM（大規模言語モデル）アプリのセキュリティ指針として世界的に参照される「OWASP Top 10 for LLM Applications 2025」では、プロンプトインジェクションが第1位（LLM01）です。OWASPは「プロンプトがLLMの振る舞いや出力を意図しない形で変えてしまう脆弱性」と定義し、人間の目に見えない指示でもモデルが読み取る限り攻撃が成立しうると説明しています。
▼OWASP LLM01（英語）
LLM01: Prompt Injection（OWASP・GitHub）
直接プロンプトインジェクション（Direct）
AIを使う本人（または本人になりすました第三者）が、入力欄に直接「これまでの指示を無視して〇〇せよ」といった内容を打ち込み、AIの設定や制限を回避しようとするものです。顧客対応ボットから設計者の想定外の情報を引き出そうとするケースが典型です。
間接プロンプトインジェクション（Indirect）
より厄介なのがこちらです。攻撃者はAIに直接触れず、AIが業務の途中で読み込む外部コンテンツ（Webページ・受信メール・PDF・共有ドキュメント・フォーム入力欄など）に指示を仕込みます。利用者が「このページを要約して」「受信メールを整理して返信案を作って」と頼んだだけで、AIはそこに埋め込まれた指示を正当な命令と取り違えて実行してしまう可能性があります。白地に白文字、画像内の文字など人間に見えない形で仕込まれるため、利用者は何が起きたか気づきにくいのが問題です。
なぜAIエージェント（ブラウザ操作・メール読み取り・MCP連携）で危険が増えるのか
AIエージェントとは、指示を受けて自律的に「見る・判断する・操作する」を繰り返すAIです（基礎はAIエージェントとは？中小企業向け完全ガイドを参照）。Anthropicはブラウザ利用がリスクを増幅させる理由を2つ挙げています。第一に攻撃面の広さ。訪れるすべてのWebページ、埋め込み文書、広告が混入経路になりえます。第二に操作の幅の広さ。URL移動、フォーム入力、クリック、ダウンロードが可能なため、被害が「誤った文章」では済みません。
当サイトで取り上げたClaude in Chromeの一般提供開始やChatGPT Workのログインサイト操作は、まさに「既存のログイン情報で人の代わりにブラウザを操作する」機能です。さらにMCP（Model Context Protocol）などでAIをメール・CRM・会計システムに直接接続すると、読み込むデータと実行できる操作の範囲が同時に広がります。便利さと攻撃面の広さは表裏一体です。
AIエージェントのセキュリティが中小企業にとって重要な理由
「小さな会社が狙われるはずがない」と考える方は少なくありません。しかし間接型は特定企業を狙わなくても成立します。不特定多数のAIが読み込む場所（公開Webページ、営業メール、応募書類など）に仕込めば、たまたま読み込んだAIが反応するためです。IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」でも、組織向け第3位に「AIの利用をめぐるサイバーリスク」が初選出されました。
▼IPA公式
情報セキュリティ10大脅威 2026（IPA公式）
- コスト：AIに顧客情報へのアクセスを与えていれば、1件の情報漏えいが取引停止・損害賠償・信用回復コストに直結します。一方、本記事の対策の多くは追加費用なしで始められます。
- 業務：被害は情報漏えいだけでなく、誤った宛先へのメール送信、発注や申請の勝手な実行、CRMや会計データの書き換えといった「誤送信・不正操作」も含まれます。
- 人材：「ひとり情シス」や兼務担当の企業ほど、AIの操作履歴を誰も見ていない状態になりがちです。だからこそ最初に「任せてよい範囲」を決めるルール化が効きます。
- 競合・取引先：OpenAIら128社のサイバー防衛連携宣言でも触れたとおり大企業側の基準は上がり続けており、取引先から「AIの管理」を問われる場面は増えると考えられます。
総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」も、AI利用者を含む各主体に対し、「推論用データに微細な情報を混入させることで意図しない判断が行われる可能性」を踏まえ、脆弱性を完全には排除できないと認識したうえでセキュリティを確保するよう求めています。プロンプトインジェクションはまさにこの「混入」に当たります。
▼総務省・経済産業省（2026年3月31日・PDF）
AI事業者ガイドライン 第1.2版（経済産業省サイト）
AIエージェント対策：中小企業が無料・低コストから始める7ステップ
OWASPは「生成AIの性質上、完全に防ぐ方法があるかは不明」としたうえで被害を抑える対策を挙げています。それを中小企業の実務に落とし込むと次の7ステップです。上から順に、費用がかからず効果が大きいものです。
- 最小権限で使う：AIに与える権限は業務に必要な最小限にします。管理者アカウントでAIを動かさない、閲覧で済む業務には閲覧権限だけ、が基本です。OWASPとOpenAIの双方が推奨する最重要項目です。
- 接続先・操作対象を限定する：操作してよいドメインを絞り、MCP連携は業務に必要なサービスだけにします。Claude in ChromeのEnterpriseプランでは管理者が許可ドメインを限定できるなど、多くのサービスに利用範囲を絞る設定があります。使わない連携はオフにします。
- 機微情報を扱わせない：個人情報・銀行口座・パスワード・未公開の財務情報はAIの作業範囲から外します。OpenAIは「ログイン不要の調査ならログアウト状態で使う」ことを勧めており、非機密の定型業務から任せるのが現実的です。
- 人の承認ゲートを残す：送信・購入・削除・申請といった取り消せない操作の直前には必ず人が確認する設定にします。確認画面を「とりあえずOK」で流せば意味がなく、「頼んだ内容と一致しているか」を見る習慣が防御そのものです。
- 指示は具体的に出す：「メールを確認して必要なことを全部やって」のような広い指示は、隠された指示に引きずられやすくなります。「〇〇社の見積依頼にだけ返信案を作って」のように対象と作業を絞ります（OpenAIも推奨）。
- ログを確認する：AIが「いつ・どこにアクセスし・何をしたか」を月1回でも見返します。Google Workspace の管理コンソールの監査ログや各AIツールの操作履歴が出発点で、取引先への説明材料にもなります。
- 社内ルールにする：「任せてよい業務」「任せない業務」「確認が必要な操作」「異変を感じたら即停止・報告」を1枚にまとめ、全員に共有します。情報セキュリティの最低ライン（多要素認証・バックアップ・更新）と併せて整えると効果的です。
ベンダー側の防御機能を「選定時に確認する視点」として持つ
Anthropicは、Claude in Chromeの一般提供にあたり、①攻撃事例を学習させたモデル自体の耐性強化、②Web内容を実行前にスキャンし疑わしければ警告する「プローブ」、③実行直前の操作が利用者の依頼と一致するかを検証する「安全性分類器」の3層防御を説明しています。同社の評価では、プロのレッドチームによる攻撃に対し、Claude Sonnet 5・Opus 5・Mythos 5で攻撃成功率0%、Fable 5で0.3%（低深刻度に限る）と報告されています。ただし同社自身が「動く標的」と述べており、「絶対に安全」という意味ではありません。
▼Anthropic公式（2026年8月26日・英語）
Claude in Chrome is generally available（Anthropic公式ブログ）
OpenAIは、信頼できる指示とそうでない指示を区別させる安全訓練、攻撃を検知するモニター、機微なサイトでは利用者がタブを見ている間しか動かない「Watch Mode」、重要操作前の確認、脆弱性報奨金制度といった多層防御を公表しています。
▼OpenAI公式（英語）
Understanding prompt injections（OpenAI公式）
比較の際は「攻撃耐性を数値で公開しているか」「疑わしいコンテンツを検知して知らせるか」「重要操作前に確認を挟めるか」「管理者が利用範囲を制限できるか」の4点が目安です。基盤ごとの特徴はAIエージェント基盤の比較ガイドも参考にしてください。
プロンプトインジェクションに関するよくある質問
プロンプトインジェクションとジェイルブレイクは何が違いますか？
OWASPによれば、ジェイルブレイクはプロンプトインジェクションの一形態で、AIの安全上の制限を丸ごと無視させることを狙うものです。プロンプトインジェクションはより広く「利用者が頼んでいない動作をさせる」全般を指し、業務上は間接型に特に注意が必要です。
ウイルス対策ソフトで防げますか？
従来型のウイルス対策ソフトはプログラムの不正な挙動を検知するもので、AIが読み込む「文章の中の指示」を判定する仕組みではありません。AIサービス側の防御と利用者側の権限設計・承認ゲート・運用ルールの組み合わせが必要です。
ベンダーの対策が進めば、利用者側は何もしなくてよくなりますか？
AnthropicもOpenAIも、対策は継続的に強化する「進行中の課題」と位置づけています。ベンダー側の防御は被害の確率を下げますが、AIに与える権限や扱わせる情報を決めるのは利用者側です。
従業員が個人で使う生成AIも対象ですか？
個人アカウントのAIに業務メールや顧客情報を読み込ませていれば同じリスクが生じます。業務データは会社管理のアカウントに統一することが前提です。
被害に気づいたときは何をすればよいですか？
まずAIの実行を止め、該当アカウントの連携・権限を一時的に解除します。次に操作ログから「どのデータにアクセスし、何を送信・変更したか」を確認し影響範囲を特定します。個人情報の漏えいが疑われる場合は個人情報保護法上の報告・通知が必要になる場合があるため、早めに専門家へ相談してください。
当協会の支援メニュー：AI導入設計とセキュリティ最低ラインの伴走支援
当協会（一般社団法人中小企業販促・DX支援協会）では、中小企業がAIエージェントを安全に業務へ取り入れるための設計を伴走支援しています。①「任せてよい業務／任せない業務」の切り分けと権限設計を含むAI導入設計、②Google Workspace の管理コンソール設定・監査ログ・アカウント統一を含む基盤整備、③多要素認証・バックアップ・ルール策定といった情報セキュリティ最低ラインの整備です。専任の情シス担当がいない企業でも棚卸しからご一緒できます。
まとめ：プロンプトインジェクション対策は「権限」と「確認」から
プロンプトインジェクションとは、AIが読み込むコンテンツに隠された指示でAIを乗っ取る攻撃で、OWASPのLLM向けリスク第1位、IPAの10大脅威2026にも関わる現実的な脅威です。AIエージェントの時代、被害は情報漏えい・誤送信・不正操作に広がります。一方で、最小権限・接続先の限定・機微情報の分離・人の承認ゲート・具体的な指示・ログ確認・社内ルール化の7ステップは追加費用なしで着手できます。ベンダーの多層防御は選定時の確認項目として活用しつつ、「絶対に安全」とは考えず、利用者側の設計と運用で被害の確率と影響を小さくすることが現実的な進め方です（2026年9月時点）。IPA 10大脅威2026の中小企業向け対策と併せて、自社のAI利用を一度点検してみてください。
