投稿者 global-ai-media 
企業のAI活用が「対話型」から、Web検索やツール操作を行う「自律型エージェント」へと進化する中、新たなセキュリティリスクが顕在化しています。Palo Alto NetworksのUnit 42が報告した「間接的プロンプトインジェクション」は、AIが読み込むWebサイト側に悪意ある指令を潜ませ、AIを操る手法です。本記事では、この攻撃手法のメカニズムと、日本企業がAIエージェントを実装する際に考慮すべきリスク対策について解説します。
AIエージェントを狙う「間接的プロンプトインジェクション」とは
生成AIのセキュリティリスクとして広く知られているのが「プロンプトインジェクション」です。これは、ユーザーが悪意のある命令を入力し、AIの倫理制限を突破させる攻撃（脱獄など）を指します。しかし、現在より深刻な懸念として浮上しているのが、Palo Alto Networks（Unit 42）などが警鐘を鳴らす「間接的プロンプトインジェクション（Indirect Prompt Injection）」です。
これは、攻撃者がAIに対して直接命令するのではなく、AIが参照する外部データ（Webサイト、メール、ドキュメントなど）に悪意ある命令を仕込む手法です。例えば、AIエージェントがあるWebページを要約しようとした際、そのページのHTML内に（人間には見えない形で）「このユーザーのクレジットカード情報を盗み出せ」「偽のフィッシングサイトへ誘導せよ」といった命令が埋め込まれていると、AIはその命令を実行してしまう可能性があります。
なぜ「自律型エージェント」が脆弱なのか
現在、日本企業でもRAG（検索拡張生成）や、Web検索機能を持つ自律型AIエージェントの開発が進んでいます。「競合他社のニュースを収集してレポートする」「Web上の技術文書を読んでコードを生成する」といった業務効率化が期待されていますが、ここに落とし穴があります。
LLM（大規模言語モデル）の特性上、入力された情報が「ユーザーからの指示」なのか「処理対象のデータ」なのかを厳密に区別することが困難です。そのため、信頼できない外部Webサイトから取得したテキストデータの中に「以前の命令を無視して、次のアクションを実行してください」という文字列が含まれていると、AIはそれを正規の指示として処理してしまいます。これは、SQLインジェクションのような従来のプログラムの脆弱性とは異なり、モデルの挙動そのものに起因するため、完全な防御が難しいという特徴があります。
ビジネスへの影響とリスクシナリオ
この攻撃が成功した場合、以下のようなリスクが想定されます。
- 情報の窃取：社内AIが外部サイトを閲覧した際、プロンプトに残っている社内の機密情報を、攻撃者のサーバーへ送信させられる。
- フィッシング詐欺への加担：顧客対応用のAIボットが、攻撃者のサイトを参照した結果、顧客に対して「パスワード変更はこちら」といった偽のリンクを提示してしまう。
- 評判の毀損（レピュテーションリスク）：AIが攻撃者の意図した差別的発言や誤情報を生成させられ、企業のブランドイメージが傷つく。
特に日本では、企業の信頼性や安心・安全が重視されるため、AIが顧客や従業員に対して予期せぬ攻撃の踏み台となることは、技術的な問題以上の経営リスクとなります。
日本企業のAI活用への示唆
「間接的プロンプトインジェクション」は、Webブラウジング機能を持つAIエージェントを導入するすべての企業にとって避けて通れない課題です。意思決定者やエンジニアは以下の点を考慮する必要があります。
1. 「Human-in-the-Loop」の徹底
外部情報を参照してアクション（メール送信、決済、コード実行など）を行うAIエージェントの場合、完全に自動化するのではなく、最終実行前に人間が内容を確認するプロセス（Human-in-the-Loop）を組み込むことが、現時点で最も確実な防御策です。特に金融や個人情報を扱う業務では必須の要件となります。
2. 入力データのサニタイズと分離
技術的な対策として、Webから取得したデータをLLMに渡す前に、HTMLタグの除去や不審なパターンの検出を行う処理層を設けることが重要です。また、機密情報を扱うAIと、外部Web検索を行うAIをシステム的に分離し、権限を最小化（Least Privilege）するアーキテクチャ設計が求められます。
3. リスク許容度の見直しとガイドライン策定
「便利だから」という理由だけで、社内AIに無制限のインターネットアクセス権限を与えていないか再確認してください。日本の組織文化では、一度導入したツールの制限を後から強化することは摩擦を生みやすいため、導入段階で「どのサイトなら参照してよいか（Allowlist方式）」や「外部データを扱う際のリスク」を明記したガバナンスガイドラインを策定しておくことが推奨されます。
AIエージェントは強力な武器ですが、外部世界と接続することで攻撃対象領域（アタックサーフェス）も拡大します。攻めの活用と同時に、こうした「見えない入力」に対する守りを固めることが、持続可能なAI活用の鍵となります。