実証されたプロンプトインジェクション攻撃の実例
2025年8月から2026年にかけて、プロンプトインジェクション攻撃の実例が相次いで報告されている。CSO Onlineによると、2025年8月には攻撃者が公開されたGitHubのREADMEファイル内に隠された悪意のあるテキストを埋め込む手法が確認された。開発者がCursor IDEのAIアシスタントを使用してこれらのリポジトリを要約した際、AIが無意識のうちに隠されたコマンドを実行し、攻撃者が開発者マシンへの不正アクセスを獲得した。
さらに深刻な事例として、2026年3月には大規模な知識ベース汚染作戦が実行された。外部の知識ベースに操作されたデータが大量に流し込まれ、RAG（検索拡張生成）機能に依存するAI回答システムが「データ潅漑」により汚染された。この攻撃により、AIシステムは数百万のユーザーに偽情報と偽装広告を自信を持って配信することとなった。これらの実例は、プロンプトインジェクションが理論的脅威から現実の脅威へと変貌していることを明確に示している。
Cursor IDE脆弱性CVE-2026-26268の技術的詳細
CSO Onlineの報告によると、Cursor IDEには重要度9.9という極めて高い脆弱性CVE-2026-26268が発見されている。この脆弱性は、AIエージェントがプロンプトインジェクションを通じて適切に保護されていないGit設定に書き込みを行い、次回のトリガーでサンドボックス外でのリモートコード実行（RCE）を可能にするものだ。
Noveeの脆弱性研究者Assaf Levkovich氏は、この脆弱性の根本原因について「Cursorのコア製品ロジックの欠陥ではなく、Gitの機能相互作用の結果であり、AIエージェントが制御していないリポジトリ内でGit操作を自律的に実行する瞬間に悪用可能になる」と説明している。攻撃はGitフックとベアリポジトリという標準的なGit機能に依存しており、攻撃者が合法的なプロジェクト内に悪意のあるベアリポジトリを埋め込み、その中に有害なpre-commitフックを仕掛けることで実現される。
この脆弱性はCursor 2.5未満のバージョンに影響し、「サンドボックスエスケープによる.git設定への書き込みがバージョン2.5以前で可能であった」とNVDの説明にある。現在は修正されており、実際の悪用事例は報告されていないが、エージェント型IDEの攻撃対象範囲の拡大を象徴する事例となっている。
RAGシステムにおける間接プロンプトインジェクションの脅威
RAG（検索拡張生成）システムでは、直接的なプロンプトインジェクションに加えて、間接プロンプトインジェクションという新たな脅威が浮上している。間接プロンプトインジェクションでは、攻撃者が外部文書（カスタマーサポートチケットやアップロードされたPDF等）内に悪意のある指示を隠し、RAGシステムがこの汚染された文書をコンテキストとして取得した際に、LLMが無意識のうちに隠されたコマンドを実行する。
この攻撃手法により、データの流出やAIエージェントの行動乗っ取りが可能となる。Dark Readingの報告では、Ciscoの最新攻撃がNode Package Manager（NPM）のpost-installフックを利用してClaude CodeのMemory.mdファイルを改変する事例が紹介されている。Memory.mdファイルの最初の200行がClaude Codeのシステムプロンプトに含まれるため、攻撃はセッションを跨いで持続した。
Princeton大学とSentient AIの研究者らは、攻撃者がAIが使用するデータに偽の記憶を挿入し、その応答と決定を操作できることを発見している。また、RadwareのThreat研究者らは、OpenAIのChatGPTがサードパーティサービスとのリンクに使用するコネクタを侵害するために間接プロンプトインジェクション（IPI）を使用する方法を実証した。
企業AI導入における基本的セキュリティ不備の再燃
Infosecurity Magazineによると、GoogleのMandiant社が実施した統制された攻撃シミュレーションにより、AI導入企業に重大なセキュリティギャップが発見されている。これには弱いデータ管理、AIツールとブラウザ間の暗号化されていないデータフロー、攻撃者がセキュリティ設定を変更し保護を迂回できる欠陥が含まれる。
Mandiant VP Chris Kutscher氏は「金融会社と作業する際、AIとブラウザ間の暗号化されていない通信ストリームを観察した」と述べ、基本的な衛生管理がいかに見落とされているかを強調した。複数の関与において、Mandiantのレッドチーマーはソーシャルエンジニアリングによる初期アクセスを獲得し、その後AIに後続アクション（流出やポリシー変更を含む）を実行させることができた。
特に注目すべきは、これらが「従業員が会社の監視なしにAIワークフローをデプロイしたシャドーAIケースではなく、承認されたAIデプロイメント」であったという点だ。Palo Alto NetworksのJay Chen上級主席セキュリティ研究者は「根本原因はプロンプトインジェクションであり、これは依然として未解決の問題である」と指摘し、LLMに記憶管理を依存するAIエージェントやGenAIアプリケーションは記憶汚染の影響を受けやすいと警告している。
AIメモリファイルとコンテキストデータへの攻撃手法
AIメモリファイルとコンテキストデータは、特定のユーザーセッションの状態や長期的なユーザー設定を保持するため、持続性を求める攻撃者の注目を集めている。Dark Readingの調査によると、claude.md（AnthropicのClaude）、agents.md（OpenAIのCodex）、soul.md（OpenClaw）などの依存ファイルも、エージェント型AIのユーザーが分析・保守すべきリスクとなっている。
毒化されたNPMコンポーネントがLLM攻撃の人気手法である一方で、多くの他のベクターが存在する。攻撃者は正当なソフトウェアインストーラーに偽装したフィッシング添付ファイル、ファイル共有プラットフォーム経由での配布、YouTube上のソーシャルエンジニアリング誘引などを使用してVidarなどのインフォスティーラーを配布している。
Model Context Protocol（MCP）サーバーとして知られる外部データソースも、AIアプリケーションに重大なリスクをもたらしている。これらの攻撃ベクターは、従来のセキュリティ対策だけでは対処が困難な新しい脅威景観を形成している。組織は、AIシステムが依存する全てのデータソースとメモリコンポーネントに対する包括的なセキュリティ戦略を早急に構築する必要がある。
プロンプトインジェクション対策とガバナンス体制の確立
プロンプトインジェクション攻撃に対する効果的な対策には、技術的防御措置とガバナンス体制の両方が必要である。組織は可能な限り早期にAIセキュリティガバナンスプロセスを構築すべきとMandiantは推奨している。これには、外部データソースの検証プロセス、AIシステムへの入力の適切なサニタイゼーション、システム間の通信の暗号化が含まれる。
法曹界でも同様の課題が浮上している。Bloomberg Law Newsによると、米国税法関連のケースでAIが生成した架空の判例引用により、Mata v. Aviancaではカウンセルに規則11制裁が課され、Thomas v. Commissionerでは米国租税裁判所が偽造ケースに依存した予審メモランダムを却下した。これらは「単なる引用ミスではなく、提出前に法的コンテンツを検証する委任不可能な義務の違反」とされている。
技術的対策としては、AIシステムが処理するデータの完全性チェック、異常な出力パターンの検出、セキュリティ設定への不正アクセスの監視が重要である。また、開発環境では特にCursor IDE等のAI支援ツールのバージョン管理と、GitHookやMCPサーバーなどの外部依存関係の定期的な監査が必要である。企業は「信頼するが検証する」原則の下、AIシステムの出力を人間が最終確認するプロセスを維持し、セキュリティ侵害の早期発見と対応体制を整備することが求められる。
