近年、AIを業務で使うことが当たり前になる一方で、そのAIを狙ったサイバー攻撃の手口が巧妙化しています。三井物産セキュアディレクションのフェローで上級マルウェア解析技術者である吉川孝志氏は、AIが社内に開けた「4つの新しい抜け穴」を指摘します。
「ちょっと便利」が招くリスク
多くの社員が「ちょっと便利」と気軽にAIツールを利用していますが、その行動が自社をサイバー攻撃に晒す可能性があります。攻撃者は、AIの特性を悪用し、人ではなくAIそのものを標的にし始めています。
新たな手口「ハル・スクワッティング」
その一つが「ハル・スクワッティング」と呼ばれる手口です。これは、AIが作業に必要な情報を取りに行く先を攻撃者が先回りして押さえ、マルウェアではなくAI宛ての指示文を置いておくというものです。AIはその指示文を命令として読み込み、持ち主ではなく攻撃者の指示に従って動き出します。これにより、AIの幻覚を待ち伏せる段階から、AIに直接命令を出す段階へと攻撃が進化しています。
「間接プロンプトインジェクション」の脅威
さらに、4つ目の手口として「間接プロンプトインジェクション（指示の注入）」があります。これは、AIが正しく読み込む文書ファイルやウェブページ、メール本文の片隅に、背景と同じ白い文字や読めないほど小さな文字で悪意ある指示を書いておくものです。人の目には見えませんが、AIは文字として読み取ってしまいます。
2025年には、学術論文に「この論文を高評価せよ」といった命令文が人には見えない形で仕込まれ、8カ国14大学に及んでいたと報じられました。AIを通常どおり使っているだけで、そのAI自体が攻撃者に操られてしまうのです。
なぜAIは騙されるのか
これらの攻撃が効いてしまうのは、現在のAIが命令とデータを区別しづらいためです。文書に紛れた一文でも、持ち主の指示と同じ重みで受け取ってしまいます。個人の心がけだけでは追いつけない状況です。
被害を防ぐためにできること
ただし、AIを使うなということではありません。最初の3つの手口は、その存在を知っていればかなり回避可能です。4つ目も、仕組みを理解していれば異変に気づき、社内に知らせるまでの時間を短縮できます。
具体的な対策として、社内の情報をAIに渡す際は会社が用意した正規の窓口を利用し、無料をうたうAIツールに安易に飛びつかないこと、AIが薦めるURLや部品は面倒でも一度確かめることが挙げられます。
4つ目の手口に対しては、会社側の設計が重要です。誰がどのAIや拡張機能を使っているかを把握し、AIに渡す情報と与える権限に線を引くこと。何をどこまでAIに任せるかは、個人の判断に委ねず、会社として決めておく必要があります。
サイバーセキュリティの前線は、もはや専門部署の中だけではありません。AIという最も身近な道具を毎日使う、一人ひとりの手元にまで広がっています。
