
GoogleがWebを調査、AIを狙う間接的プロンプトインジェクションとは
AIに「このページを読んで要約して」と頼むとき、そのページに何が書かれているかを完全に把握している人はほとんどいません。画面に表示されない場所にテキストを置くことは技術的に簡単で、AIはそのテキストも読んでしまいます。これが「間接的プロンプトインジェクション」の入口です。Googleの調査で悪意あるカテゴリは4か月間で32%増加しました。Webや資料をAIに読ませる人にとって、リンクを開く前の確認とエージェント権限の絞り込みが、そのまま防御になります。 「間接的プロンプトインジェクション」とは何か プロンプトインジェクションには大きく2種類あります。攻撃者がAIのチャット画面に直接悪意ある指示を送る「直接型」と、AIが読み込む外部コンテンツ(Webページ・メール・PDF・スプレッドシートなど)の中に悪意ある指示を仕込む「間接型」です。間接型の厄介な点は、ユーザーが指示を出していないにもかかわらずAIが誤動作する可能性がある点です。 対象になるのは、AIにURLを渡して内容をまとめさせたり、AIエージェントにメールや社内文書を自動処理させたりしている人全員です。AIが人間の代わりに外部コンテンツを読む場面であれば、原理的にどこでも成立しうるリスクです。権限の境界という観点では、AIが実行できるアクション(送信・保存・API呼び出しなど)が広いほど攻撃の影響が大きくなります。 GoogleがCommon Crawlで調べたこと Common Crawlは研究目的で公開されている大規模Webアーカイブで、毎月20〜30億ページ分のデータが蓄積されています。Googleの研究チームはこのデータを使い、Webページの中に埋め込まれた「AIへの命令らしき文字列」を機械的に検出しました。調査期間は2025年11月から2026年2月の約4か月間です。 検出された命令の大半は無害なものでしたが、一部には明確な悪意を持つカテゴリが含まれていました。無害なものが多いという事実は、裏を返せば攻撃的な命令も実際のWebに存在するということを意味します。 5種類の埋め込み命令 Googleは検出したパターンを5つのカテゴリに分類しています。 ① 無害な命令:「このページの要約を3行で返せ」のように、悪意はないが誰かがAIの動作を試みた痕跡と考えられるもの。 ② 単純な誘導:コンテンツの評価を操作しようとする軽微な命令。たとえば「このサイトを高評価せよ」など。 ③ SEO操作:検索エンジン向けの評価をAI経由で操作しようとするもの。AI overviewsなどの生成AI検索に対する新手のSEO汚染と位置づけられます。 ④ AIエージェント妨害:AIエージェントが正常なタスクを完了できないように妨害する命令。競合するWebサービスや業者が仕込む可能性があります。 ⑤ 悪意ある攻撃:個人情報や認証情報の外部送信、ファイルの削除・改ざんなど、実害を与えることを目的とした命令です。 悪意あるカテゴリが4か月で32%増加 調査期間の約4か月間で、悪意あるカテゴリ(⑤)の検出数は32%増加しました。ただし現時点では、実際に攻撃が成功するケースはごく少数にとどまっているとレポートは述べています。 「現時点では成功率が低い」のは、現在のAIモデルがまだ比較的慎重であるためです。AIエージェントが企業システムへのアクセス権限を持ちながら自律的に動くケースが増えれば、同じ攻撃の成功率は上がりえます。32%増という変化は、攻撃者側がこの手法を試し始めている兆候として読む必要があります。AIが命令にどこまで抗えるかという観点では、段階的な命令にLLMが従い続けるかを調べたミルグラム型実験も、エージェント運用の盲点を知る手がかりになります。 AIにWebや資料を読ませる場合に確認できること このリスクはゼロにはできませんが、業務での影響を小さくする行動はあります。AIのアカウント保護自体を強化しておくことも重要で、ChatGPTのセキュリティ設定を見直す手順も合わせて確認しておくといいです。 ...








