投稿者 global-ai-media 
セキュリティ企業のRadwareが発見したChatGPTの脆弱性「Déjà vu」に対し、OpenAIが修正パッチを適用しました。この事例は、生成AI特有の攻撃手法である「プロンプトインジェクション」の脅威が依然として継続していることを示しています。本記事では、このニュースを起点に、日本企業が生成AIを業務に組み込む際に見落としてはいけないセキュリティリスクと、現実的な対策について解説します。
ChatGPTに見つかった「Déjà vu」脆弱性とは
Radwareのセキュリティ研究チームは、OpenAIのChatGPTにおいて「Déjà vu（デジャヴ）」と呼ばれる新たな脆弱性を特定しました。この脆弱性は、悪意のあるプロンプト（指示文）を入力することで、AIモデルの安全装置を回避し、本来保護されるべき個人情報やデータを外部に流出（Exfiltration）させることが可能になるものでした。現在、OpenAIはこの脆弱性に対してパッチを適用し、修正済みとしています。
このニュースで注目すべきは、単に「バグが見つかって直った」という事実ではなく、世界最高峰の技術力を持つOpenAIであっても、プロンプトインジェクションのような攻撃を完全に防ぐことは極めて困難であるという現実です。
プロンプトインジェクションという「言葉のハッキング」
従来のソフトウェアセキュリティにおける脆弱性は、コードの記述ミスやメモリ管理の不備などが主な原因でした。しかし、大規模言語モデル（LLM）における「プロンプトインジェクション」は性質が異なります。これは、AIに対して「あなたは今からXXという役割を演じてください」や「以前の命令を無視してXXを出力してください」といった、特殊な言い回しや文脈操作を行うことで、AIが本来持っている倫理規定やセキュリティガードレールをすり抜ける手法です。
今回の「Déjà vu」の詳細は一般公開されている情報だけでは限定的ですが、攻撃者が巧妙なコンテキスト操作を行うことで、LLMが過去の会話履歴や学習データに含まれる機微な情報を吐き出してしまうリスクがあったと考えられます。これは、社内Wikiや顧客データベースとLLMを連携させているRAG（検索拡張生成）システムを構築している企業にとって、決して対岸の火事ではありません。
いたちごっこが続くLLMセキュリティ
生成AIのセキュリティ対策は、従来のファイアウォールやアンチウイルスソフトのような「境界防御」だけでは不十分です。LLMは確率的に言葉を紡ぐため、あらゆる入力パターンに対して100%安全な挙動を保証することが原理的に難しいからです。OpenAIが対策を行えば、攻撃者はまた新たな「脱獄（Jailbreak）」手法を編み出すという、いたちごっこが続いています。
したがって、企業がChatGPTやその他のLLMを利用する場合、「プロバイダー側（OpenAIやMicrosoft、Googleなど）が安全にしてくれるだろう」と全面的に依存するのは危険です。特に日本の個人情報保護法や、各業界のガイドラインを遵守する立場にある日本企業は、プロバイダー側の対策に加え、利用者側での自衛策が必要不可欠です。
日本企業のAI活用への示唆
今回の事例を踏まえ、日本企業がAIプロダクトの開発や社内導入を進める上で意識すべきポイントは以下の3点です。
1. 「AIは騙される前提」でのシステム設計
LLM自体を信頼しすぎないことが重要です。特に顧客対応チャットボットや社内検索システムにおいては、ユーザーからの入力値をそのままLLMに渡すのではなく、前段で個人情報や不適切なワードをフィルタリングする仕組み（ガードレール）を設ける必要があります。また、LLMからの出力についても、正規表現や別の軽量モデルを用いてチェックを行う「多層防御」の考え方が求められます。
2. 入力データの最小化と匿名化
プロンプトインジェクションが成功したとしても、そこに重要な情報が含まれていなければ被害は最小限に抑えられます。プロンプトに個人名や具体的な数値をそのまま含めるのではなく、IDに置換したり、一般化したりする「仮名化・匿名化」のプロセスをシステムに組み込むことが、日本の厳格なコンプライアンス基準を満たす鍵となります。
3. 組織的なインシデント対応訓練
AIに対する攻撃は技術的なものだけでなく、ソーシャルエンジニアリング的な側面も持ちます。エンジニアだけでなく、AIを利用するビジネス職の社員に対しても、「AIに機密情報を入力しない」「不審な挙動をした場合はすぐに報告する」といったリテラシー教育を徹底する必要があります。また、万が一情報漏洩が起きた際に、どの範囲まで影響があるかを迅速に特定できるトレーサビリティ（追跡可能性）の確保も、AIガバナンスの一環として整備しておくべきでしょう。