評価・安全性

プロンプトインジェクションとは

この記事の結論

プロンプトインジェクションとは、AIが受け取る文章に命令を紛れ込ませ、開発者が与えた本来の指示から外れた動きをさせる攻撃です。
利用者が自分で打ち込む「直接型」と、AIが読みに行ったWebページやファイルに仕込まれている「間接型」があります。怖いのは、利用者本人が気づかない間接型です。
話題と関係のない操作を急に提案する、頼んでいない宛先へ送ろうとする、といった振る舞いが注入を疑うサインです。対策の一覧は別の記事にまとめています（2026-09-26 更新）。

ぷろんぷといんじぇくしょん／Prompt Injection

AIが受け取る文章に命令を紛れ込ませ、開発者が与えた本来の指示から外れた動きをさせる攻撃です。

最終更新: 2026-09-26

プロンプトインジェクションとは（意味と読み方）

プロンプトインジェクションとは、AIが受け取る文章の中に命令を紛れ込ませ、開発者が与えた本来の指示から外れた動きをさせる攻撃のことです。読み方は「ぷろんぷといんじぇくしょん」、英語では prompt injection と書きます。injection は「注入」という意味です。

OWASP は、LLMアプリの代表的なリスクをまとめた一覧の2025年版で、これを LLM01 に置いています（OWASP LLM01:2025 Prompt Injection）。同じページは、仕込まれた命令が人の目に見える必要はなく、モデルが読み取れる内容であれば注入になりうると書いています。

プロンプトインジェクションが起きる仕組み

AIは、開発者が書いたシステムプロンプトも、利用者の質問も、検索で拾ってきた資料も、ひと続きの文章として受け取ります。どこまでが「従うべき指示」で、どこからが「読むだけの資料」なのかを、仕組みとして厳密に分ける線がありません。

2023年に発表された論文は、この状態を「LLMを組み込んだアプリはデータと指示の境界をあいまいにする」と表現しました。そのうえで、AIが後から読み込みそうなデータに命令を置いておけば、攻撃者は画面に触れずに遠隔から悪用できると示しています（Greshake ほか「Not what you've signed up for」（arXiv））。

データベースへの攻撃である SQL インジェクションも、データの中に命令を紛れ込ませる点で構造が似ています。ただ、SQL には値と命令を分けて渡す書き方がありますが、自然言語を読むAIにはそれにあたる確実な区切りがありません。

直接型と間接型の違い

プロンプトインジェクションの2つの型
型	命令の入り口	仕掛ける人と被害に遭う人
直接型	利用者が入力欄に打ち込む文章	多くは同じ人。本人が制限を外そうとする
間接型	AIが読み込むWebページ、メール、ファイル、検索結果	別の人。仕掛けた人は画面の前にいない

日本のAIセーフティ・インスティテュートも、代表的な攻撃手法として直接プロンプトインジェクションと間接プロンプトインジェクションを分けて挙げています（レッドチーミング手法ガイド概要（AISI、PDF））。

よく似た言葉にジェイルブレイクがあります。OWASP の整理では、ジェイルブレイクはプロンプトインジェクションの一種で、モデルに安全上の決まりを丸ごと無視させるものを指します。

AIコーディングエージェントで起こりうる例

AIコーディングエージェントは、Issue の本文、依存ライブラリの README、エラーを調べるために開いたWebページなど、他人が書いた文章を日常的に読みます。たとえば、ある Issue の末尾に次のような HTML コメントが入っていたとします。

画面で Issue を読む人には見えません。しかしエージェントには普通の文章として届きます。これが間接型の典型です。エージェントがファイルの読み書きやコマンド実行の権限を持っていると、被害は「変な回答」では済まなくなります。

注入を疑うサイン（見分け方）

頼んだ作業と関係のない操作を提案する：バグ修正を頼んだのに、認証情報のファイルを開こうとする、知らない URL に curl で送ろうとする、といった動きです。
誰も出していない指示に触れる：「指示に従い〜します」と言うのに、その指示を自分も開発者も書いていない場合は、読み込んだ資料のどこかに命令があると疑います。
特定の資料を読んだ直後に振る舞いが変わる：実行記録を見て、逸脱の直前に読み込んだファイルやページを開き、白い文字、HTML コメント、画像の代替テキストなど人の目に入りにくい場所を確かめます。

サインに気づいたら、その作業は止めて、読み込ませた資料を外してからやり直します。入力の検査、権限の絞り方、人の承認の入れ方といった対策の全体像は、プロンプトインジェクション対策一覧 2026で層ごとに整理しています。

プロンプトインジェクションのよくある誤解

誤解：自分が変な入力をしなければ起きない → 実際：間接型は、利用者が普通に使っていても、AIが読んだ資料の側から入ってきます。
誤解：人に見えない文字なら無害 → 実際：AIは見た目ではなく中身を読みます。見えない場所に置かれた命令ほど、人が気づきにくくなります。
誤解：ジェイルブレイクとは別物 → 実際：ジェイルブレイクは、プロンプトインジェクションの中でも安全上の決まりを外させるものを指す、と整理されています。

出典・参考資料

プロンプトインジェクションについてよくある質問

Q1. プロンプトインジェクションとは何ですか？
AIが受け取る文章に命令を紛れ込ませ、開発者が与えた本来の指示から外れた動きをさせる攻撃です。利用者の入力だけでなく、AIが読みに行った資料の側から入ってくることもあります。

Q2. 直接型と間接型は何が違いますか？
直接型は、利用者が入力欄に打ち込んだ文章で指示を上書きしようとするものです。間接型は、AIが読み込むWebページやファイルに命令が仕込まれているもので、仕掛けた人は画面の前にいません。

Q3. ジェイルブレイクとはどう違いますか？
OWASP の整理では、ジェイルブレイクはプロンプトインジェクションの一種です。中でも、モデルに安全上の決まりを丸ごと無視させようとするものをこう呼びます。

Q4. 注入されたかどうかはどう見分けますか？
頼んだ作業と関係のない操作を提案する、誰も出していない指示に従うと言い出す、特定の資料を読んだ直後に振る舞いが変わる、といった動きがサインです。気づいたら作業を止め、読み込ませた資料を確かめます。