プロンプトインジェクション、脆弱性スキャンで検出できない構造的問題

AIセキュリティの重要な指標であるOWASP（オープンウェブアプリケーションセキュリティプロジェクト）の「LLMアプリケーション向けTop10」で、プロンプトインジェクションは3年連続1位を占めてきた。ところが実際に公開されているインシデント記録と照らし合わせると、同じ攻撃が12位に留まっていた。この数字の大きなズレが、AI時代のセキュリティ管理に根本的な課題を突きつけている。

この分析を発表したのは、OWASPのLLMアプリケーションTop10プロジェクトを率いるKyriakos「Rock」LambrosとSteve Wilsonの両名だ。2025年8月18日にarXivで公開した論文の中で、両者はCVE（共通脆弱性識別子）やGitHub Security Advisories、OSV、そしてAIAIIC AIハームデータベースから集めた7,714件のLLMセキュリティインシデントを分析した。うち6,639件を20項目の分類体系に当てはめ、専門家の判断と実際のインシデント記録を比較している。なお、この論文は査読を経たものではなく、OWASPの公式見解でもないと著者自身が明記している。

分析では、専門家による評価と公開インシデント記録の間に統計的に有意な一致は見られなかった。一致の度合いを示す指標「コーエンのカッパ」は0.20で、90%信頼区間はマイナス0.16から0.57に及ぶ。区間がゼロをまたいでいるため、両者の順位の一致が偶然の範囲を超えるとは言い切れない、と著者たちは記している。Lambrosはこの結果を「二人の証人が互いに矛盾した証言をしており、どちらが正しいか判断できない状態」と表現した。

なぜプロンプトインジェクションはインシデント記録で見えにくくなるのか。その理由は、この攻撃の仕組みそのものにある。プロンプトインジェクションとは、攻撃者がAIモデルの読み込むコンテンツ—ログのエントリ、サポートチケット、検索で取得したドキュメントなど—に不正な指示を埋め込む手法だ。AIエージェントはそれを正規の指示と誤解し、自らが保持する権限の範囲で攻撃者の意図した操作を実行してしまう。この一連の流れにはソフトウェア上の欠陥が存在しないため、CVEとして記録されることなく、脆弱性スキャナーの目に触れることもない。

従来のセキュリティ管理では、CVEの件数が少なければリスクが低いと判断しがちだ。しかしプロンプトインジェクションはその前提を崩す攻撃と位置づけられる。脆弱性スキャナーが検出できる領域の外側で動作するため、CVEの数がゼロでも安全とは言えない状況が生まれる。AIエージェントが外部データを参照したり、ツールを呼び出したりする機能が普及するほど、この攻撃面は広がっていくという見方ができる。

対策として論文が示す方向性は二つある。一つは、実際に稼働しているシステムに対して攻撃を模倣したテストを行うこと。もう一つは、AIエージェントがアクセスできるリソースやツールの範囲をアーキテクチャ段階で厳しく制限することだ。エージェントのメモリ管理やMCP（モデルコンテキストプロトコル）ツールの境界設定に早期から取り組むことが、インシデント件数が積み上がってからではなく、構造として対処するために重要だという考え方が背景にある。

今回の研究が示す最大の示唆は、「何が危険か」の認識が測定方法によって変わりうるという点だ。専門家の知見に基づくリストと、実際に記録されたインシデントのリストが一致しないことは、どちらか一方だけを頼りにセキュリティ対策を組むことへの警告と見ることができる。AIシステムの安全性を評価するにあたり、スキャンできない領域をいかに可視化するか——その手法の整備が、業界全体の次の課題として浮かび上がっている。