セキュリティ
中級
インジェクション（インジェクション）
不正なコードを入力として注入する攻撃手法。SQL Injection・XSS・Command Injection・LLM Prompt InjectionがOWASP 2025 Top 10上位に位置し、パラメータ化クエリ・CSP・入力サニタイズが基本対策。
0 回閲覧
0 いいね
2026/4/25 更新
関連タグ
SQL Injection
XSS
OWASP
LLM
概要
インジェクションとは、攻撃者が入力欄に不正なコードを注入し、システム内部で実行させる手法である。
代表的な種類は SQL Injection、XSS、Command Injection、LLM Prompt Injection である。
OWASP 2025 Top 10 にも上位に位置し、2026年には新たな脆弱性が報告されるケースが増えている。
対策は主に「パラメータ化クエリ」「CSP」「入力サニタイズ」の三本柱で構成される。
主な特徴・仕組み
- 受信側が入力をそのまま実行エンジンへ渡す
- 文字列結合でクエリを生成すると、攻撃者が SQL を埋め込める
- JavaScript が埋め込まれた HTML をブラウザが解釈すると XSS が発生
- シェルコマンドに変数を渡す際にバリデーションが欠如すると Command Injection
- LLM Prompt Injection はプロンプトの先頭に制御文字を挿入し、モデルの出力を操作
- すべてのケースで「入力→実行」の流れが共通
- 2025年に公開された「PromptGuard」ではプロンプトの先頭を検査する手法が採用される
- 2026年のサーバーは「入力スコープ制御」を標準化予定
- 次世代の Web アプリケーションでは CSP のレベルが 3 以上に設定されるケースが多い
- 企業向けでは「Zero Trust」モデルにより、内部からのインジェクションも検知対象に
- 監査ログは「インジェクション試行」イベントを必ず残すように設定する
スペック/製品比較表
| 製品名 | 型番 | コア数 | ベースクロック | ブースト | TDP | L3キャッシュ | PCIeレーン | メモリタイプ | メモリ容量 | 備考 |
|---|---|---|---|---|---|---|---|---|---|---|
| Intel Core i9-13900K | 13900K | 24 | 3.0GHz | 5.8GHz | 125W | 36MB | x16 | DDR5 | 32GB | 2025年最新モデル |
| AMD Ryzen 9 7950X | 7950X | 16 | 4.5GHz | 5.7GHz | 170W | 64MB | x16 | DDR5 | 64GB | 次世代デスクトップ向け |
| NVIDIA RTX 4090 | 4090 | 16,384 | 2.23GHz | 2.52GHz | 450W | 48MB | x16 | GDDR6X | 24GB | 2026年リリース予定 |
具体例・対応製品
- SQL Injection
- データベース: PostgreSQL 15, MySQL 8.0
- 対応製品: PostgreSQL 15 では「prepared statement」デフォルト有効化、MySQL 8.0 では「sql_mode=STRICT_ALL_TABLES」設定
- XSS
- ブラウザ: Chrome 120, Firefox 120
- 対応製品: CSP レベル 3 を設定した「NextGen Web Framework」
- Command Injection
- OS: Ubuntu 24.04, Windows Server 2026
- 対応製品: 実行ファイルのサンドボックス化を行う「OpenBSD Jail」
- LLM Prompt Injection
- モデル: GPT-4o, Claude 3.5
- 対応製品: 「PromptGuard 2.0」, 「LLM Shield」
自作PCでの選び方・注意点
- CPU
- 高クロックと多数コアを備えた「Intel Core i9-13900K」や「AMD Ryzen 9 7950X」がおすすめ
- 2025年のベンチマークでは、クロック 5.7GHz での実行が最も高いパフォーマンスを示す
- メモリ
- DDR5-6000 以上を選択し、64GB 以上を推奨
- 2026年のサーバーでは 128GB まで拡張可能なチップセットが登場
- GPU
- RTX 4090 24GB GDDR6X は 2026年リリース予定だが、現在は RTX 4080 16GB でも十分
- PCIe 5.0 x16 をサポートするマザーボードを選ぶと将来性が高い
- ストレージ
- Samsung 990 Pro 2TB NVMe 4.0 を選択すると、読み書き速度 7,000MB/s 以上を実現
- 2025年の SATA SSD では 3,500MB/s が最高
- 電源
- 450W TDP の RTX 4090 に対し、550W 以上の電源を推奨
- 2026年の次世代電源は 80+ Platinum を標準化予定
- ケース
- 高い冷却性能を備えた「Corsair iCUE 4000X」
- 2025年の最新ファンは 140mm で 70dB 以内
- OS
- Linux では「SELinux」や「AppArmor」を有効化
- Windows では「Windows Defender Application Guard」
- ネットワーク
- 10Gbps Ethernet コントローラを搭載した「Intel X710」
- 2026年の Wi‑Fi 7 対応モジュールが登場
関連用語との違い
- クロスサイトリクエストフォージェリ（CSRF）
- ユーザーが意図しないリクエストを送信させる攻撃で、入力内容自体を変更しない
- ディレクトリトラバーサル
- ファイルパスに
../を挿入してアクセス権外のファイルを取得する攻撃で、入力のパス操作に焦点
- ファイルパスに
- バッファオーバーフロー
- メモリ境界を越えて書き込むことでコード実行を狙うが、インジェクションは入力内容自体を実行に変換
- ゼロデイ脆弱性
- 公知でない脆弱性を利用するが、インジェクションは既知の入力検証欠如を利用
よくある質問（FAQ）
- Q1: インジェクション対策はどのように実装すればよいですか？
- A1: まず入力を必ずサニタイズし、パラメータ化クエリを使用する。CSP を設定し、XSS の場合は HTML エスケープを行う。
- Q2: LLM Prompt Injection は実際に危険ですか？
- A2: はい。プロンプトの先頭に制御文字を挿入すると、モデルの出力を不正に操作できるケースが報告されています。
- Q3: 2025年以降に新しいインジェクション手法が登場する可能性は？
- A3: 2026年に公開予定の「PromptGuard 2.0」では、プロンプトの先頭検査が強化されるため、既存の手法は難しくなる見込みです。
まとめ
インジェクションは入力をそのまま実行に転送することで発生する攻撃であり、2025年・2026年の最新技術動向に合わせた対策が不可欠である。
自作PCを構築する際は、CPU・メモリ・GPU・ストレージ・電源といったハードウェアを選定するだけでなく、OS・ネットワーク設定、そしてセキュリティポリシーの策定も同時に行うことが重要だ。
次世代のハードウェアとソフトウェアが進化する中、インジェクション対策は「パラメータ化クエリ」「CSP」「入力サニタイズ」の三本柱を軸に、継続的に見直しを行うべきである。