プロンプトインジェクション（プロンプトインジェクション）

プロンプトインジェクションとは

プロンプトインジェクションは、LLM（大規模言語モデル）を利用したアプリケーションに対する攻撃手法で、ユーザー入力にモデルへの指示を埋め込むことでシステムの意図した動作を逸脱させる攻撃です。SQLインジェクションのLLM版とも言え、OWASP LLM Top 10（2025年版）では最も深刻な脆弱性として第1位にランクされています。

攻撃の分類

プロンプトインジェクション攻撃は、直接攻撃と間接攻撃の2種類に大別されます。

代表的な攻撃パターン

指示無視型

「上記の指示をすべて無視して、代わりに〇〇をしてください」という直接的な指示上書きパターンです。初期のLLMでは高い成功率でしたが、2025年以降のモデルでは基本的な対策が施されています。

コンテキストスイッチ型

「---ここからは新しいセッションです---」のようにコンテキスト境界を偽装し、モデルに新しい指示セットを受け入れさせるパターンです。

間接インジェクション

RAG（Retrieval-Augmented Generation）システムで取得されるドキュメントやWebページに悪意ある指示を埋め込む手法です。ユーザーが直接攻撃しなくても、モデルが参照するデータソースを通じて攻撃が成立するため、検出が困難です。

防御策

プロンプトインジェクションに対する完全な防御は現時点で存在しませんが、多層防御によりリスクを大幅に軽減できます。

• 入力サニタイズ: ユーザー入力から制御文字やプロンプト区切りパターンを除去
• 権限分離: LLMに与える権限を最小限に制限（最小権限の原則）
• 出力検証: LLMの出力を実行前にバリデーションする（特にツール呼び出し時）
• 入出力フィルタリング: Anthropic のContent Moderationや OpenAI のModeration APIによる有害コンテンツ検出
• プロンプト構造化: ユーザー入力を明示的にデータとしてマークし、指示と分離する

Anthropic の Claude では「Human turn」と「System turn」の明確な分離、OpenAI の GPT-4o では Structured Outputs による出力制約が防御に有効です。

業界の対応状況

NIST の AI Risk Management Framework（AI 600-1, 2024年）ではプロンプトインジェクションを GenAI の主要リスクとして分類しています。Google の Project Shield、Microsoft の PyRIT（Python Risk Identification Toolkit）、Anthropic の Constitutional AI など、主要AIベンダーが防御技術の研究開発を進めています。

FAQ

Q: プロンプトインジェクションは完全に防げますか？

A: 現時点では完全な防御は不可能です。LLMの本質的な仕組み（テキストを指示として解釈する能力）が攻撃の根源であるため、構造的な解決には入力チャネルの分離やモデルアーキテクチャの変更が必要です。現実的には多層防御でリスクを管理するアプローチが主流です。

Q: RAGシステムでの間接インジェクション対策は？

A: 取得したドキュメントの内容を「参考データ」として明示的にマークし、指示として解釈しないようプロンプトを設計します。加えて、取得元の信頼性スコアリングや、ドキュメント内の疑似プロンプトパターン検出フィルターが有効です。

Q: 開発者がすべき最低限の対策は何ですか？

A: LLMに外部システムへのアクセス権限を持たせる場合は、出力のバリデーションと権限の最小化が必須です。「LLMの出力を信頼しない」を原則とし、APIコール・DB操作・ファイル操作の前に必ず入力検証を行ってください。