ブラウザに「ページをAIに読ませる」「手続きをAIに任せる」機能が入り始め、調べものや予約をAIに代行させる人が増えてきました。その流れと一緒に一気に名前を聞くようになったのが、プロンプトインジェクションという攻撃です。
ところが検索して出てくる解説は、企業や開発者に向けたものがほとんどです。対策の中身も「入力を検査する」「連携の権限を絞る」といった、サービスを作る側の話に寄っていて、使う側の自分が何をすればいいのかまでは書かれていません。
この記事では、仕組みをかみくだいたうえで、AIを提供する側の防御がどこまで進んでいるのか、そして使う人が今日からできることまでをまとめます。引用と数値は2026年8月25日に各社の公式資料とIPAの公表資料で確認したものです。
プロンプトインジェクションは、ページや資料に隠された文章をAIが「あなたの指示」と取り違えて実行してしまう攻撃です。守り方は難しい技術ではなく、AIに渡す権限と、自分が承認する場面を決めておくことに尽きます。
- 原因は、AIが「利用者の命令」と「読ませたデータの中身」を区別できないこと（Brave公式の指摘）
- 危ないのは会話そのものより、AIがログイン済みのブラウザで実際に操作する場面
- 提供側の防御で成功率は大きく下げられるが、ゼロを前提にはできない（Anthropicが公表した2025年時点の試験）
プロンプトインジェクションとは？AIが「隠された指示」にだまされる攻撃
プロンプトインジェクションとは、Webページやメール、共有された資料などに隠して仕込まれた文章を、AIが利用者本人からの指示だと勘違いして実行してしまう攻撃のことです。攻撃者はAIそのものを壊すのではなく、AIが読むものに細工をします。
Googleがセキュリティブログで公開した解説では、外部データに隠されたこうした指示について「メールや文書、カレンダーの招待などに潜み、利用者のデータを持ち出させたり不正な動作をさせたりする」と説明されています。
なぜ通用してしまうのか。理由はシンプルで、AIには「あなたの命令」と「読ませたデータの中身」を切り分ける仕組みがもともと無いからです。ページの内容がそのままAIに渡されれば、そこに書かれた命令文も同じ重みで届いてしまいます。
Braveが2025年8月20日に公開した調査記事も、AIブラウザがページの一部をAIに渡すとき、利用者が出した指示と信頼できないページの中身を区別していない点を原因として挙げています。読ませ方の設計そのものに穴がある、という指摘です。
直接型と間接型の違い（読者に関係するのは間接型）
プロンプトインジェクションは大きく2種類に分かれます。ひとつは、使っている本人がAIに向かって仕掛ける直接型。もうひとつは、第三者がページや資料に指示を仕込み、何も知らない利用者が巻き込まれる間接型です。
| 比べる点 | 直接型 | 間接型 |
|---|---|---|
| 仕掛ける人 | AIを使っている本人 | 第三者（ページや資料を作った側） |
| 仕込む場所 | 自分で打ち込むチャット欄 | Webページ・メール・共有資料・SNSの投稿 |
| 主な狙い | AIにかけられた制限を外す | 利用者になりすました操作・情報の持ち出し |
| 気づきやすさ | 自分でやるので分かる | 人間の目に見えない形で仕込める |
| 一般の利用者との関係 | 薄い | ここが本題 |
直接型でよく話題になるのが、ジェイルブレイクと呼ばれる行為です。これはAIにかけられた制限を利用者自身が外そうとするもので、狙いは「制限の突破」。一方の間接型は、狙いが利用者の乗っ取りに近いという違いがあります。
よくある疑問：昔からあるサイトへの攻撃と、どこが違うの？
データベースを狙うSQLインジェクションのような従来の攻撃は、プログラムの書き方の穴を突くものでした。プロンプトインジェクションはそこが違い、普通の日本語や英語の文章だけで成立します。特別なコードは要りません。
だまされたAIは何をしてしまうのか
Anthropicは公式ブログで、この攻撃によってAIがファイルの削除やデータの窃取、金銭のやり取りまで起こし得ると説明しています。起こり得ることを整理すると、大きく4つに分かれます。
- 情報の持ち出し：メールや資料、ログイン中のサービスの中身が外部へ送られてしまう
- 連携サービスの不正な操作：送信・購入・削除など、AIに任せられる操作が勝手に実行される
- 答えそのものの書き換え：攻撃者に都合のよい内容を混ぜた回答が返ってくるおそれがある
- 誤情報の広がり：書き換えられた回答をそのまま信じて引用すると、誤りが広がってしまう
前の2つは被害が自分の外側まで及ぶのが厄介なところです。後ろの2つは実害が見えにくい分、気づかないまま人に伝えてしまう危険があります。どちらの場合も、AIの答えを最後に確かめるのは自分だという前提を手放さないでください。
つまり読者側の受け止め方としては、「AIは読んだものを疑わずに受け取ることがある」と覚えておけば十分です。仕組みが分かれば、次に気にすべきは「そのAIに何ができるのか」という権限の話に移ります。
なぜ今こわいのか？AIが「読む」から「操作する」に変わったから
数年前まで、AIは「聞かれたことに文章で答える」存在でした。ところがAIブラウザのように、ページを読んで代わりに動く形が広まったことで、話の重さが変わります。
ポイントは、AIが動く場所があなたがログイン済みのブラウザの中だということです。仕事を任せて手を離せるAIエージェントほど、隠された指示が「変な返事」ではなく実際の操作に化けてしまいます。
指示は人間に見えない形で仕込める
Braveの記事によると、隠し方は白い背景に白い文字、HTMLのコメント、その他の見えない要素など。SNSのように誰でも書き込める場所の投稿に紛れ込ませることもできる、とされています。
そのうえで同記事は、攻撃が次の流れで成立すると整理しています。特別な操作は必要ありません。
- 攻撃者がページの中に、人には見えない指示を埋め込む
- 利用者がそのページを開き、「要約して」などAIの機能を実行する
- AIが隠された指示まで読み込み、利用者の依頼と区別できない
- 仕込まれた命令が実行され、別のサイトへのアクセスや情報の持ち出しにつながる
気をつけたいのは、AIに見えている範囲の広さです。Anthropicの公式ヘルプには、AIが作業中のタブのスクリーンショットを撮り、そこに映っているものはすべて会話の一部になると明記されています。
明細や社内資料を開いたままAIを呼ぶと、その画面もまとめて渡ります。開くタブを選ぶだけでも、守れる範囲は変わります。
日本でも「組織の脅威」として順位が付いた
IPA（情報処理推進機構）が2026年1月29日に発表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの3位に初めて選出されました。1位はランサム攻撃による被害、2位はサプライチェーンや委託先を狙った攻撃です。
これは組織向けの順位で、個人向けの脅威は順位を付けず五十音順で公表されています。とはいえ、仕事で使うPCと自宅のPCで同じAI機能を使う人は多いはずです。会社で警戒されている話が、自分の手元だけ無関係ということはありません。
実際に何が起きた？公表された2つの事例（いずれも修正済み）
抽象的な話が続くと実感が湧きにくいので、公表されている事例を2つだけ紹介します。どちらもすでに修正されたもので、特定の製品を危ないと決めつけるためではなく、仕組みを理解するための材料として見てください。
事例1：AIブラウザで「要約して」と頼んだだけで成立した
Braveが2025年8月20日に公開した調査では、AIブラウザのCometを対象に、ページに隠した指示によって認証情報の持ち出しにつながる動作が実演されました。利用者がしたのは、開いたページの要約を頼むことだけです。
Braveはこれを一製品の不具合ではなく、AIが代わりに操作するブラウザ全体に共通する構造の問題として扱っています。これまでのWebの安全の前提が、AIが動くブラウザではそのまま通用しない、という整理です。
事例2：リンクを1回押しただけで動き得た
もうひとつは、Microsoft Copilot の個人向けサービスで見つかった問題です。セキュリティ企業のVaronis Threat Labs が報告し、細工されたリンクを1回クリックすると、ページの読み込み時に攻撃者が用意した指示が利用者のログイン済みの状態で動き得たと報じられています。
報告は2025年12月に行われ、修正は2026年8月18日に公開されたとされています。また、実際に悪用された形跡は確認されていないとも報じられました。すでに直っている問題である点は、あわせて押さえておきたいところです。
心当たりのないAIチャットへのリンクは、押す前に送り主とURLを確認してください。
2つの事例に共通するのは、利用者の操作がごく普通だったことです。危ないファイルを開いたわけでも、怪しいソフトを入れたわけでもありません。AIに操作を任せる仕組みそのものに共通する弱点だと捉えるのが正確です。
AI側の対策はどこまで進んだ？結論はゼロにはならない
提供側が手をこまねいているわけではありません。Googleは前述のセキュリティブログで、多層防御という考え方で5つの層を重ねていると説明しています。それぞれが利用者の画面でどう見えるかまで並べると、次のようになります。
| 防御の層 | やっていること | 利用者の画面での見え方 |
|---|---|---|
| 有害な指示の検出 | メールやファイルに紛れた悪意ある指示を、専用の判定モデルで見つける | 気づかないうちに止まっている |
| 指示の念押し | 依頼文の周りに「利用者の指示を実行し、敵対的な指示は無視する」よう補強を加える | 画面上の変化はなし（内部の守り） |
| リンクと画像の無害化 | 外部の画像URLを表示せず、安全でない可能性のあるリンクを伏せる | 画像が出ない・リンクが伏字になる |
| 実行前の確認 | 一定の操作の前に、利用者の確認を必須にする | 「実行してよいですか」の確認が出る |
| 利用者への通知 | 防御が働いたことと、その内容を利用者に伝える | お知らせが表示され、詳しい説明へ辿れる |
表の3番目や4番目は、読者の側から見れば「リンクが読めない」「確認ダイアログが出て面倒」と感じる部分です。その煩わしさこそが守りの実体だと分かると、確認を惰性で押す気持ちも少し変わるはずです。
数値で見ると「大きく減るが、残る」
効き目を数字で示している例もあります。Anthropicが公表したブラウザ向け機能の試験結果では、AIが自律的に動くモードで狙い撃ちされた場合の攻撃成功率が23.6%から11.2%へ低下したとされています。
さらに、ブラウザ特有の4種類の攻撃を集めた検証では35.7%から0%になったと報告されています。試験の規模は29種類の攻撃シナリオ、123件のテストケース。これは2025年時点の同社の試験結果で、今の成功率を示す数字ではありません。
同社はあわせて、サイトごとにアクセス権を与えたり取り消したりできる仕組み、公開・購入・個人情報の共有といった高リスクな操作の前に確認を求める仕組み、金融やアダルトなど一部カテゴリのサイトを対象外にする措置なども導入したと説明しています。
読み取れる結論はひとつです。提供側の対策で危険は大きく減らせるが、ゼロを前提にした使い方はできない。だからこそ、残りの部分を埋めるのが利用者側の運用になります。
ウイルス対策ソフトと同じ考え方です。入れれば安心ではなく、踏まない習慣とセットで初めて意味を持ちます。
今日からできる自衛策5つ
ここからは使う側の話です。Anthropicが公式ヘルプで挙げている推奨事項をもとに、初心者でもそのまま実行できる形に並べ直しました。どれも設定画面と心構えの話で、専門知識は要りません。
まずは自分がよく知っているサイトでAI機能を試します。見慣れないサイトや、誰でも書き込める掲示板のようなページをいきなりAIに読ませないことが出発点です。
AI機能の設定には、操作を自動で承認するモードと、その都度自分で承認するモードがあります。Anthropicのヘルプもこの違いを理解しておくよう案内しています。最初に自分がどちらになっているかを見ておきます。
購入、送信、投稿、共有といった後戻りできない操作は、AIに提案させたうえで自分の目で確かめてから通します。確認画面が出たら、何をしようとしているかを読むひと呼吸を挟みます。
ブラウザプロファイル（＝ブックマークやログイン状態を分けて持てる、ブラウザの中の別の部屋のようなもの）を分け、ネットバンキングや行政サービスにログインしていない側でAIに操作させます。万一のときも届く範囲が狭まります。
話題が急に変わる、頼んでいないサイトを開こうとする。そうした動きに気づいたら操作を止め、サービス側の報告機能で伝えます。違和感を放置しないことが、いちばん手前の防御になります。
4番目の「分けて使う」は、出どころの違う資料が同じ結論に達している点で説得力があります。IPAとAIセーフティ・インスティテュートが2026年4月2日に公開した「AI利用者のためのセキュリティ豆知識」でも、AIブラウザは社内用と社外用を分けることが基本対策として挙げられています。
AIに何を渡してよいかという線引きも、あわせて決めておくと迷いません。詳しくはChatGPTに個人情報を入れて大丈夫？で整理しています。
自分のPCで動かすAIなら安全？
よくある疑問：クラウドが危ないなら、自分のパソコンでAIを動かせば解決するの？
半分は当たっています。ローカルLLM（＝自分のパソコンの中だけで動かすAI）は入力した内容を外部のサーバーへ送らないため、クラウドに預けることで情報が漏れるリスクは下げられます。IPAの豆知識にある「クラウドAIに営業秘密は教えない」の裏返しです。
ただし、だまされること自体は手元で動かしても防げません。原因はAIが指示とデータを区別できないことなので、ローカルのAIにWebページや資料を読ませれば、同じ構図がそのまま成立します。
それでも、自分の手元で完結する選択肢を持っておく価値は小さくありません。必要なメモリやVRAMの目安はローカルLLMとは？自分のPCでAIを動かす方法と必要スペックでまとめています。
＼AI時代の相棒探し／
まとめ
プロンプトインジェクションは、AIが読んだものを信じすぎることで起きる攻撃です。特別なコードは要らず、ページの中に人には見えない形で文章を置くだけで成立します。だから見た目で見抜こうとしても限界があります。
- 原因は、AIが利用者の命令とデータの中身を区別できないこと
- 危険度が上がったのは、AIが読むだけでなくログイン済みのブラウザで操作するようになったから
- 提供側の防御で成功率は大きく下がるが、ゼロを前提にはできない
- 使う側の要は、AIに渡す権限と、自分が承認する場面を決めておくこと
次の一歩は2つに分かれます。調べものが中心なら、信頼できるサイトから使い、確認は自分で押す設定のまま使う。予約や入力までAIに任せたいなら、機密のアカウントにログインしていない専用プロファイルを用意してからにする。
AI機能の対象プランや設定項目は変わりやすい部分です。本記事の内容は2026年8月時点で確認したものなので、手元の設定画面の名称や既定値は各サービスの公式情報で確かめてください。
怖がって使わないより、権限を絞って使うほうが現実的です。設定を一度見直すだけで、守れる範囲はぐっと変わります。
- 普通にChatGPTと会話するだけでも被害に遭いますか？
-
自分で打った文章だけをやり取りしている限り、外部から指示を差し込む余地はほとんどありません。注意が要るのは、外部のページや送られてきた資料を読ませる場面と、AIに操作を任せる場面です。Googleの解説も、メールや文書、カレンダーの招待といった外部データに隠される形を挙げています。
- AI側が対策しているなら、もう安心ではないですか？
-
大きく減らせますが、ゼロを前提にはできません。Anthropicが公表した2025年時点の試験では、狙い撃ちされた場合の攻撃成功率が23.6%から11.2%へ、ブラウザ特有の4種類の攻撃では35.7%から0%へ下がったとされています。数字が示すのは、対策の効果と同時に残るリスクの存在です。
- 怪しい指示が仕込まれているか、自分で見て分かりますか？
-
見た目では判断しにくいのが実情です。Braveの調査では、白い背景に白い文字、HTMLのコメント、その他の見えない要素として仕込めることが示されています。誰でも書き込めるSNSの投稿に紛れ込ませることもできるため、目視での判別は当てにしないほうが安全です。
- AIブラウザは使わない方がいいですか？
-
使うなという話ではありません。権限と承認の決め方でリスクの大きさが変わります。信頼できるサイトから使い始める、購入や送信は自分で承認する、機密のアカウントにログインしていないプロファイルで動かす。この3点を守るだけでも、被害の届く範囲は狭められます。
- 自分のパソコンでAIを動かせば安全ですか？
-
入力した内容を外部へ送らないので、預けることによる漏えいは減らせます。ただし、だまされること自体は防げません。原因はAIが指示とデータを区別できない点にあり、手元のAIにWebページや資料を読ませれば同じことが起こり得ます。安全になるのではなく、リスクの種類が変わると考えてください。
関連記事
