AIツールの普及に伴い、プロンプトインジェクション攻撃が企業のセキュリティを脅かす深刻な問題として浮上している。2026年に入って相次いで発覚した攻撃事例は、従来の直接的な「ジェイルブレイク」手法を超えて、より巧妙で検出困難な間接攻撃へと進化していることを示している。
AI統合開発環境における実際の攻撃事例
2025年8月に発生した開発環境での間接プロンプトインジェクション攻撃では、攻撃者が公開GitHubリポジトリのREADMEファイル内に悪意のあるテキストを巧妙に埋め込んだ。開発者がCursor IDEのAIアシスタント機能を使用してリポジトリの概要を確認する際、AIが知らずにこれらの隠されたコマンドを実行し、攻撃者に開発者マシンへの不正アクセスを許してしまった。この攻撃手法は、開発者の日常的な作業フローを悪用する点で特に危険性が高い。
より深刻な事態として、CVE-2026-26268として追跡される脆弱性がCursor バージョン2.5未満で発見された。この欠陥は、CVSS評価で9.9という極めて高いスコアを記録し、悪意のあるエージェント（プロンプトインジェクション経由）がGitフックを含む.git設定への書き込みを通じて、サンドボックス外でのリモートコード実行を可能にする。攻撃者は正規のGit機能であるフックとベアリポジトリを悪用し、一見正常なプロジェクト内に悪意のあるベアリポジトリを埋め込み、有害なpre-commitフックを仕掛ける。開発者がgit checkoutなどの routine操作を実行すると、自動的に攻撃者のコードが実行される仕組みだ。
MCPフレームワークでの大規模セキュリティ侵害
OX Securityの監査により、Model Context Protocol（MCP）フレームワークにおいて約20万台のAIエージェントサーバーが攻撃に晒されていることが判明した。同監査では4つの主要な攻撃ファミリーが特定されており、その中でもLangFlowとLiteLLMに対するAIフレームワークのWebインターフェース経由での認証されていないコマンドインジェクションが実証された。
特に重大なのは、FlowtiseとUpsonicで実装されたコマンド許可リスト機能の迂回攻撃だ。OXの研究者は「npx -c」を使用した引数インジェクションにより、これらの防御機能を容易に突破できることを証明した。さらに深刻なのは、WindsurfのCVE-2026-30615で確認されたゼロクリック・プロンプトインジェクション攻撃で、これは唯一ユーザーの操作を一切必要としない真の自動実行攻撃として位置付けられている。Cursor、Claude Code、Gemini-CLIもより広範な攻撃ファミリーに対して脆弱性を抱えている状況だ。
知識ベース汚染による情報操作攻撃
2026年3月に発生した大規模な知識ベース汚染攻撃では、攻撃者が外部知識ベースに操作されたデータを大量注入する「データ灌漑」手法を用いた。RAG（Retrieval-Augmented Generation）システムに依存するAI応答システムは、この汚染された情報を信頼できるコンテキストとして取得し、数百万人のユーザーに虚偽情報や偽装された広告を配信する結果となった。
この攻撃手法は従来のプロンプトインジェクションとは本質的に異なり、実行ロジックではなく知識ベースの完整性を標的としている。攻撃者は摂取パイプラインに供給されるデータソースに操作された、偏向した、または虚偽の情報を注入し、LLM（大規模言語モデル）が取得したコンテキストを本質的に信頼する特性を悪用する。結果として、AIシステムは有害または事実誤認の応答を確信を持って生成し、SaaSアプリケーションへの信頼を根本から破壊する。
RAGパイプラインにおけるセキュリティ脆弱性の構造的問題
RAG（検索拡張生成）システムでは、間接プロンプトインジェクションが最も重要な脆弱性として位置付けられている。従来の直接インジェクションがユーザーによるチャットボットのジェイルブレイク試行であるのに対し、RAGは間接プロンプトインジェクションという新たな攻撃ベクターを導入している。この手法では、攻撃者が外部ドキュメント（カスタマーサポートチケットやアップロードされたPDFなど）内に悪意のある指示を隠蔽し、RAGシステムがこの汚染されたドキュメントをコンテキストとして取得した際に、LLMが無意識に隠されたコマンドを実行する。
この攻撃により、データの窃取やAIエージェントのアクション乗っ取りが可能となる。さらに、機密情報の開示とベクトル弱点も重要なリスク要因として挙げられている。企業のRAGシステムは、しばしば内部文書、顧客データ、proprietary情報を処理するため、これらの脆弱性は深刻なデータ漏洩リスクを内包している。
包括的なセキュリティ対策と防御戦略
プロンプトインジェクション攻撃に対する効果的な防御には、多層的なアプローチが不可欠である。まず、開発環境ではMCP設定ファイルの定期監査が重要で、~/.cursor/mcp.jsonなどの設定ファイルを継続的にチェックし、自動登録機能を無効化することが推奨される。承認前にすべての保留中の設定変更をレビューし、実行の結果を明確に理解した上で承認を行う必要がある。
コマンド許可リストに依存することは避けるべきで、代わりにプロセスレベルでのサンドボックス分離を強制することが重要だ。OXの研究により、許可リストは偽の安心感を与えるだけで、簡単に迂回可能であることが実証されている。企業はLangchain-Chatchatのようなフレームワークを使用している場合、すべてのデプロイメントを棚卸しし、ホストOSからサンドボックス化し、ベンダーのアドバイザリーを監視してパッチの状況を確認する必要がある。
知識ベースの完整性保護については、外部データソースの検証体制を強化し、信頼できないソースからの情報注入を防ぐフィルタリング機構の実装が不可欠だ。定期的なデータ品質監査と、異常なパターンや明らかに操作されたコンテンツの検出機能を組み込むことで、汚染攻撃の早期発見が可能となる。さらに、RAGシステムのコンテキスト取得プロセスに対する厳格なアクセス制御と、取得されたドキュメントの自動検証機構を導入することで、間接プロンプトインジェクションのリスクを大幅に軽減できる。
