プロンプトインジェクションはもはや理論上の脅威ではない。2026年7月に相次いで報告された実例は、攻撃者がユーザーの操作すら介さずにAIエージェントへ命令を注入し、さらに単一のプロンプトでサイバー攻撃の全工程を自動実行できる段階に達したことを示している。一方で防御側も、LLMの安全機構そのものを逆手に取る新手法を投入し始めた。ここでは直近の具体的な事例と対策技術を整理する。
クリック不要の注入：PromptFictionとClaude Desktopの脆弱性
セキュリティ企業Oasisが発見した「PromptFiction」は、従来型のプロンプトインジェクションが前提としていた「ユーザーがEnterやSendを押して悪意あるプロンプトを送信する」という工程すら不要にした点で異質だ。Dark Readingによれば、Claude Desktopは「claude://」というカスタムURIスキームを登録しており、細工されたリンクをクリックするだけでデスクトップアプリが自動起動し、あらかじめ用意されたプロンプトがエージェントに直接送信されてしまう。研究者のLuz氏は「ブラウザ、チャットメッセージ、文書、検索結果内のリンクを一度クリックするだけで、攻撃者が書いた命令がエージェントの前に置かれ実行される」と指摘した。
攻撃者はさらに、Claudeのメッセージ折りたたみ挙動を悪用し、悪意ある指示を無害な文章でパディングして会話の可視範囲の下に隠す。ユーザーには一見無害な依頼しか見えず、折りたたまれたメッセージを展開しない限り気づけない。実行されると、隠された指示はユーザーの私的な会話履歴、ソースコード、社内文書の取得や、リモートコード実行にまで至る可能性があるという。類似の「Claudy Day」という手法では、プリフィルされたURLを通じてチャットに不可視のプロンプトを忍び込ませるが、こちらは依然としてユーザーのEnter操作を要する点でPromptFictionとは異なる。Oasisは責任ある開示プログラムを通じてAnthropicに報告し、この欠陥はClaude Desktopバージョン1.1.2321で修正された。利用企業はこのバージョン以降への更新を必須で確認すべきである。
単発プロンプトで攻撃全工程を自動実行：Cato Networksの実証
より広範な脅威として浮上したのが、単一のプロンプトだけで攻撃の全ライフサイクルを実行させる手法だ。Infosecurity Magazineによると、OpenAIのDaybreak Programに参加するCato Networksは7月15日に公開した論文で、典型的な企業環境を模したActive Directory環境において、単一プロンプトからエージェントが偵察、侵害、内部探索、権限昇格、横展開、データ持ち出しまでを自律的に計画・実行したと報告した。
Cato Networksは6種類の異なるシナリオでテストを実施し、環境条件が変化してもエージェントが新たな戦略を柔軟に考案する適応力を確認した。ある試験では、既存の足がかりを使ったデータ移動を支援するためにSMB（Server Message Block）ベースのトンネリング手法をエージェント自身が開発した例もある。研究チームは、こうしたパターンが全ての企業環境を代表するものではないと注意しつつも、「エージェント型攻撃者の最大の影響は、まったく新しい攻撃手法の発見ではなく、既存の攻撃ワークフローの実行速度・自動化・規模を劇的に加速させる点にある」と結論づけている。
ジェイルブレイクされたClaudeがペンテストツールに
Infosecurity Magazineが報じたもう一つの実例は、ロシア語圏のハッカーによるClaudeのジェイルブレイク手口だ。「Trim」と名乗る人物は「Ghost Reset」という手法を編み出した。これはセッションを削除して再度開き、以前の拒否応答をネットワーク切断として偽装した上で、当初のプロンプトを和らげた形で再投入するというもので、投稿者はこの手法が試行の90%で機能したと主張している。Claudeが拒否を貫いた場合の代替手段として、Kimi AI、modal.com経由で無料利用できるGLM-5、MiniMax 2.5といった他モデルへの切り替えも提案されていた。
さらに6月の投稿では、この人物が「AI Pentest Checker」という自動Webぜい弱性スキャンプラットフォームを構築していたことが明らかになっている。重大な脆弱性の判定にはClaude Opus 4.8を、悪用レポート生成にはGLM-5を組み合わせる構成で、システムプロンプトの流出がこの手口の中核にあった。これは、単体のジェイルブレイクが単発の攻撃にとどまらず、商用サービスのように組織化・再利用可能な形で流通し始めていることを示している。
防御側の反撃：安全ガードレールを逆手に取る「context bombing」
CSO Onlineが報じたところによれば、セキュリティ企業Tracebitが開発した「context bombing」は、従来型のカナリア（おとりファイルやAWSキー、DNSレコードなど）を単なる検知手段としてではなく、AIエージェントの動作そのものを停止させる手段として使う点で新しい。LLMは処理するデータ内に埋め込まれた指示に従ってしまう性質を本質的に持つため、意図的にLLMの安全ガードレールを発火させるプロンプトを含むデコイファイルを配置し、不正なエージェント型ワークフローをクラッシュさせて防御側が時間を稼ぐという発想だ。
この背景には、6月にSocket.devが発見したソフトウェアサプライチェーン攻撃の事例もある。悪意あるPyPIのwheelパッケージに、LLMベースのセキュリティスキャナーの検知を回避する目的でファイル冒頭のコードコメントにプロンプトインジェクションが仕込まれていた。攻撃側がLLMの安全機構の回避を狙う一方、防御側は同じ仕組みを逆用して攻撃を止めるという「対称的な攻防」が生まれつつある点は、今後のAgentOpsやAIセキュリティ運用の設計に大きな示唆を与える。
企業が今すぐ着手すべきこと
これら一連の実例が示すのは、プロンプトインジェクションがもはや単発のいたずらではなく、クリック不要の自動注入、単発プロンプトによる攻撃連鎖の完全自動化、そして商用化されたジェイルブレイク・ツールという三段階で高度化している現実である。防御側もカナリアや context bombing のような能動的な欺瞞技術を実装し始めているが、これはあくまで時間稼ぎであり根本解決ではない。企業は自社が利用するAIエージェントのURIハンドリングやプリフィル入力の扱いを点検し、パッチ適用状況を継続的に監査する体制を整える必要がある。
