新シラバス 第3章 AIエージェントのリスク・安全性・評価
プロンプトインジェクションとは（直接型・間接型と対策）
生成AIパスポートの新シラバス（2027年2月試験より適用）では、AIエージェントが第3章として独立し、学習項目にプロンプトインジェクションが入っています。第4章のリスクの項目にも同じ語が出ます。プロンプトインジェクションは、AIへの入力に悪意ある指示を紛れ込ませ、AIの動作を意図しない方向に誘導する攻撃です。対策は一つで防ぎきるのではなく、重ねて守ります。
このページは、公式シラバスの項目に沿って、IPA（情報処理推進機構）の人材育成プログラムの成果物である手引書と、AIの脆弱性を整理している国際的な民間プロジェクトOWASPの解説の範囲で整理しています。個別のシステムの安全性への助言ではなく、試験対策としての整理です。
公式情報の確認
試験日、料金、申込条件、試験方式など変動する情報は、公式情報を最終確認してください。 当サイトの一次情報確認日: 2026-08-31。
試験の出題範囲・実施要項は変動するため、受験前に公式情報を確認してください。
結論
- プロンプトインジェクションは、AIへの入力文に悪意ある指示を埋め込み、AIの動作を意図しない方向に誘導する攻撃手法
- 直接型は利用者の入力が挙動を直接変えるもの、間接型はWebサイトやファイルなど外部の入力を通じて起きるもの
- 原因は、AIがシステムの指示と、利用者の入力・外部データを内部的に区別できないこと
- 対策は、最小権限、高リスクの操作への人の承認、外部コンテンツの区別などを重ねる多層防御。完全な防御は保証できない
プロンプトインジェクションの定義
IPAの手引書は、プロンプトインジェクションを、AIへの入力文に悪意ある指示を埋め込み、AIの動作を意図せぬ方向に誘導する攻撃手法と説明しています。OWASPは、利用者のプロンプトがモデルの挙動や出力を意図しない形で変えてしまう脆弱性として定義しています。どちらも、入力として渡した文章がAIの動作を左右してしまう点を指しています。
一次資料: IPA「生成AIおよびAIエージェントを安全に活用するための手引書」第1版（2026年7月31日）。OWASPの解説は、OWASP Gen AI Security Projectの「LLM01:2025 Prompt Injection」（リンクなし、出典名のみ）を参照しています。
直接型と間接型
| 種類 | 起き方 | 補足 |
|---|---|---|
| 直接型 | 利用者が入力したプロンプトが、AIの挙動を直接変える | チャットAIの利用者自身が、不正な指示を入力する。IPAは、通常のプロンプトインジェクションはチャットAIの利用者でなければできないと説明している |
| 間接型 | AIがWebサイトやファイルなど外部の入力を受け取ることで起きる | IPAは、AIの直接の利用者ではない第三者が、RAGなどを通じてプロンプトに入り込むデータへ不正な指示を混ぜる攻撃としている。Webサイトに指示文を紛れ込ませる例や、AIブラウザが開いたページの指示を利用者の指示と誤認する例がある |
AIブラウザの場合
IPAのセキュリティ豆知識は、AIブラウザで開いたWebページに悪意ある不正な指示が含まれると、利用者の指示と誤認して、情報漏洩や不正送金などを生成AIが実行してしまう可能性があると説明しています。
社内文書を参照するAI（RAG）の場合
同じ資料は、RAGで社内文書と不正なメールが同時にプロンプトに取り込まれると、社内情報が不正な指示によって社外に流出する可能性もあると説明しています。
起きる原因
IPAの手引書は、この攻撃の原因を、AIがシステムの指示と、利用者の入力・外部データを内部的に区別できないことに起因すると説明しています。AIにとっては、開発者が与えた指示も、読み込んだ文章の中の指示も、同じ文章として並んで見えます。
対策として、指示とデータを構造的に分離する方法が挙げられています（研究が進んでいる段階です）。ただし同じ手引書は、多くのAIモデルがこの分離を十分に実現できておらず、現時点ではAIシステムに広く組み込まれていないとしています。
対策の考え方
IPAの手引書は、分離の対策に過度に頼らず、多層防御の一部として位置づける必要があるとしています。未知の巧妙な攻撃には、完全な防御を保証できないとも明記しています。そのため、攻撃を受けても被害が広がらないように、AIに与える権限や参照先から絞ります。
| 対策 | 出典とシラバスとの関係 |
|---|---|
| 権限を必要最小限にする | OWASPが挙げる緩和策の一つ（最小権限）。公式シラバスのキーワード「最小権限の原則」「権限の過剰付与」に対応する |
| 高リスクの操作には人の承認を求める | OWASPが挙げる緩和策の一つ。公式シラバスのキーワード「Human-in-the-Loop」（第3章）、「人間による確認・承認」（第4章）に対応する |
| 外部コンテンツを区別して明示する | OWASPが挙げる緩和策の一つ。間接型の入り口になる外部の入力を、利用者の指示と分けて明示する |
| 不特定多数が書き込める外部ソースの参照を減らす | IPAの手引書が補完策として挙げる。多層防御の一部として位置づけ、完全な防御を保証できないことも明記されている |
選択肢に「この設定を一つ入れれば完全に防げる」とあれば、多層防御の考え方に合いません。
シラバスとの対応
プロンプトインジェクションは、新シラバスの二か所に出ます。第3章の中項目の詳細キーワードには、最小権限の原則、サンドボックス、ホワイトリスト、連鎖的なエラー、Human-in-the-Loop、プロンプトインジェクション、多層防御、Eval、継続的なモニタリング、権限の過剰付与、アクセス範囲、情報漏えい、ガードレール、安全性が挙がっています。
| 場所 | 内容 |
|---|---|
| 第3章 AIエージェント／AIエージェントのリスク・安全性・評価 | 学習項目に「プロンプトインジェクション」「権限の過剰付与のリスク」「連鎖的なエラーの拡大」「安全に使うための原則」などが並ぶ |
| 第4章 生成AIのリスク予防・AI倫理・ガバナンス／生成AIの代表的リスク | 学習項目に「自律型AIエージェントの想定外の挙動・プロンプトインジェクション」がある |
章立ての変更点は2027年2月試験の新シラバスに、リスク全般の演習は第4章の問題を解くから取り組めます。試験での出題を予想するものではありません。
よくある質問
プロンプトインジェクションとは、一言でいうと何？
IPAの手引書は、AIへの入力文に悪意ある指示を埋め込み、AIの動作を意図しない方向に誘導する攻撃手法と説明しています。AIの入力に紛れ込ませた指示で、AIを動かす攻撃と押さえます。
直接型と間接型は何が違う？
OWASPは、利用者のプロンプト入力がモデルの挙動を直接変えるものを直接型、AIがWebサイトやファイルなど外部の入力を受け取ることで起きるものを間接型としています。間接型は、AIの直接の利用者ではない第三者が仕掛けられる点が特徴です。
なぜ防ぎきれないの？
IPAの手引書は、AIがシステムの指示と、利用者の入力・外部データを内部的に区別できないことに起因すると説明しています。指示とデータを構造的に分ける対策は研究が進んでいる段階で、多くのAIモデルでは十分に実現できていないとされ、完全な防御は保証できないと明記されています。
対策は何を覚えればよい？
一つの対策に頼らず、最小権限、人の承認、外部コンテンツの区別、入出力の確認などを重ねる多層防御の考え方を覚えます。公式シラバスのキーワードにも、最小権限の原則、Human-in-the-Loop、多層防御が並んでいます。
