プロンプトインジェクションは「根絶不可能」——EchoLeakからAgentforce侵害まで実例が示す設計思想の転換

プロンプトインジェクションが「いつか解決される一時的なバグ」ではなく、AIエージェント時代に恒久的に付き合うリスクだという認識が業界に広がっている。OWASPが2026年8月4日に公開したLLMアプリケーション向けTop10第3版では、プロンプトインジェクションが3年連続で脅威ランキング1位となった。scworldによれば、実際に報告されたインシデント数だけで順位を決めれば上位10位にすら入らない水準だが、成熟したセキュリティチームがこの脅威を抑え込むために多大なコストを投じている実態が、逆にランキングを押し上げているという。2位は機密情報漏洩、3位に浮上したのが過剰な権限付与（Excessive Agency）で、誤情報の拡散は9位から7位へ順位を上げた。

ゼロクリックで発火したEchoLeak

実例として最も象徴的なのが、Aim Securityが発見したMicrosoft 365 Copilotの脆弱性EchoLeak（CVE-2025-32711）だ。csoonlineの報道によれば、攻撃者はメールやWord文書といった日常的な業務ファイルに隠し命令を埋め込み、Copilotがそのファイルを処理した瞬間に命令が自動実行される仕組みだった。ユーザーのクリックを一切必要としない「ゼロクリック」型攻撃としてAIエージェントを標的にした初の事例とされる。Microsoftはパッチ適用に加え、Copilotのアクセス制限、共有ファイルからの隠しメタデータ除去、組み込みAIセキュリティ管理の有効化を推奨した。SOCRadarのSeker氏は、マクロや埋め込みプロンプトの実際の挙動をサンドボックスや静的解析で事前検証すべきだと助言している。

フォームとURLパラメータが新たな侵入経路に

2026年に入り、攻撃面は業務フォームやURLパラメータにまで広がった。csoonlineが報じた「PipeLeak」では、SalesforceのAgentforceが標的となり、公開されているリード登録フォームに悪意ある命令を埋め込む手口が確認された。社内担当者がそのリード情報の確認をエージェントに依頼すると、エージェントは埋め込まれた命令をタスクの一部として実行し、CRMデータを外部にメール送信してしまう。研究者はCapsuleの実証で、単一フォームの投稿を起点に複数レコードを一括抽出できることを示した。並行して発覚したMicrosoft Copilot側の脆弱性にはCVE-2026-21520が割り当てられ、CVSSスコアは7.5と評価されている。さらにcsoonlineが報じた「SearchLeak」では、VaronisがMicrosoft Copilot PersonalでURLのq=パラメータを介した「Reprompt」攻撃を確認し、二要素認証コードをメールボックスから抽出してURL変数に格納する概念実証を公開した。同種の手口は2025年10月のPerplexity Cometブラウザ、2025年7月のChatGPTでもTenableが報告しており、URLクエリパラメータ経由のプロンプト実行は今後さらに悪用が広がる可能性がある。

攻撃側もAIを逆手に取る

興味深いのは、防御側だけでなく攻撃側もプロンプトインジェクションを武器化している点だ。SentinelLabsが報告したmacOS向けRust製バックドア「macOS.Gaslight」は、サンドボックス検知回避の代わりに、マルウェア解析者が使うAIトリアージツールそのものを標的にした。Infosecurity Magazineによれば、偽のシステムメッセージをMarkdown形式で38個も連鎖的に埋め込み、トークン期限切れやメモリ・ディスクエラーを装ってAIエージェントに解析の中断や拒否を誘導した。SentinelLabsは高い確度で北朝鮮系の攻撃活動と結びつけており、Apple純正のXProtectがこの手口を検出した。

「根絶は不可能」というNCSCの警告

英国家サイバーセキュリティセンター（NCSC）は、こうした事例の根本原因が「命令」と「データ」を区別できないLLMの構造的欠陥にあると指摘する。Infosecurity Magazineによれば、専門家David C氏は、プロンプトインジェクション検知や「命令をデータより優先させる」学習といった対策は、LLMが本質的に「混同されやすい代理人（confusable deputy）」である以上、根本的な解決にはならないと論じた。NCSCはETSI TS 104 223に沿い、リスクを完全に排除できないという組織的な認識、ツール呼び出し権限を制限する安全設計、命令とデータのセクションを明示的に分離する工夫、失敗したAPI呼び出しなど不審な挙動のログ監視を推奨している。

設計思想の転換が求められる対策

OWASPも同様の結論に至っている。Infosecurity Magazineによれば、最も効果的なアプローチは「モデルの命令境界はいずれ突破される」という前提でシステム全体を設計し、モデルに許可する行動と出力の到達範囲を制約することだとしている。具体策として、LLMエージェントが使えるツールの種類・機能・権限を最小化することが挙げられた。csoonlineが報じたAgentforce事例でもSalesforceは「設定依存の問題」と説明し、人間承認（HITL）を任意オプションとして提示したが、Capsuleの研究者は「手動承認を必須にすること自体が自律エージェントの存在意義を損なう」と反論している。両陣営の議論が収斂する結論は、外部からの入力はすべて信頼できないものとして扱い、データと命令を分離するフィルターを設けること、入力検証・最小権限アクセス・メール送信など特定アクションへの厳格な制御を組み合わせることだ。企業は個別脆弱性へのパッチ適用にとどまらず、エージェントが処理する外部コンテンツの検査体制とアクセス権限の設計を、恒常的な運用課題として位置づける必要がある。