Open Worldwide Application Security Project(OWASP)の最新分析によると、プロンプトインジェクション攻撃は、これに関連する記録済みインシデント件数が比較的少ないにもかかわらず、大規模言語モデル(LLM)がもたらす脅威の中で依然として最も危険なものであるとされています。
この非営利団体は、2026年8月4日にコミュニティ主導で作成したTop 10 for LLM Applicationsリストの第3版を公開しました。3年連続で、実務担当者たちはプロンプトインジェクションを生成AIツール利用に起因するセキュリティ課題の第1位に挙げています。
OWASPの他のTop 10リストと同様に、この文書は開発者、データサイエンティスト、セキュリティ専門家がセキュリティ戦略を改善し、優先順位を付ける際の助けとなるよう設計されています。
プロンプトインジェクションとは、正規ユーザーまたは悪意ある攻撃者がLLMに入力した内容によって、アプリケーション開発者が意図しない形でモデルの挙動が変化してしまう現象を指します。これはバイアスやその他の有害コンテンツ、機密情報の漏えいなど、さまざまな悪影響につながるベクトルとなります。
OWASPのレポートでは、もし順位付けが純粋なインシデント件数のみに基づいていたら、プロンプトインジェクションはTop 10にすら入らなかっただろうと指摘しています。それでもセキュリティ実務担当者たちがこれを最上位に位置づけているという事実は、この脅威への対処にチームがどれほど多くの労力を割いているかを物語っています。
「各チームがインジェクションと真剣に戦っているからこそ、クリーンな形での攻撃成功例が公開データベースに届く件数は少なくなります。つまり公開されている件数は、成熟したチームがすでに実際の費用をかけて抑え込んでいるリスクの実態を過小評価しているのです」とOWASPのレポートは述べています。
プロンプトインジェクションに対処する最も効果的なアプローチは、モデルの指示境界がいずれ突破されることを前提としてシステム全体を設計し、モデルに許可する動作と、その出力が到達できる範囲を制限することだと、OWASPは記しています。
関連記事: OWASP Top 10 for LLMsがAIセキュリティの未来にとって意味するもの
機密情報の漏えい
機密情報の漏えいは、2年連続でLLMの脅威第2位にランクされました。これはLLMを組み込んだシステムが、機密情報、規制対象データ、権限保護されたデータ、あるいは専有データを、権限のないチャネルを通じて露出させてしまう事象です。
通常これは、保護された個人情報、財務データ、認証情報といった機密データがユーザーによって誤ってモデルに入力され、その後ユーザーとのやり取りの中で露出してしまうことで発生します。この脅威は組織にとって重大なデータ侵害や規制上の危険を意味します。
プロンプトインジェクションとは異なり、OWASPのレポートは、機密情報漏えいに関しては実務担当者の脅威認識と実際のインシデント件数の証拠がよく一致していると指摘しています。
OWASPはこのリスクに対処するためにセキュリティチームが講じるべき複数の緩和策を挙げ、段階的な実装パスとなる階層構造を提示しています。
最も急速に拡大しているLLMの脅威
過剰な自律性(Excessive Agency)は、実務担当者から脅威として大幅に拡大したとみなされ、順位は6位から3位へと上昇しました。この脆弱性は、LLMからの予期しない出力、あいまいな出力、あるいは操作された出力に応じて、被害をもたらす行動が実行されてしまうことを可能にします。主な原因は、過剰な機能、過剰な権限、過剰な自律性の3つです。
過剰な自律性による典型的な影響としては、ドキュメントの削除や変更といった、本来意図されていなかった機能をLLMに与えてしまうことや、アプリケーションの意図された動作に必要な範囲を超えたコマンドをLLMが入力指示から適切にフィルタリングできないことなどが挙げられます。
OWASPが推奨する緩和策には、LLMエージェントが使用できるツールを最小限に絞ること、ツールの機能を最小限に抑えること、ツールの権限を最小限に抑えることが含まれます。
誤情報(Misinformation)も2026年における大きな変動項目の一つで、9位から7位へと順位を上げました。
誤情報とは、LLMが不正確、不完全、裏付けのない、あるいは誤解を招く情報を生成し、それが人間の判断、自動化されたワークフロー、あるいはエージェントの行動に影響を与えるほど信頼性があるように見えてしまう現象です。これはセキュリティインシデント、金銭的損失、業務の混乱など、危険な結果につながる可能性があります。
OWASPは、誤情報がインシデント発生件数に基づけばLLMの脅威トップに位置すると指摘しています。
この原因には、ハルシネーション、あいまいなプロンプト、偏ったデータなど、さまざまな要因が挙げられます。
セキュリティチームへの推奨緩和策には、出力を信頼できる最新の情報源に基づかせることを義務付けることや、LLMが行動する前に主張を検証させることなどが含まれます。
無制限な消費(Unbounded Consumption)は10位から6位へと順位を上げましたが、OWASPはこれをこの問題への対処に必要なリソースとコストの結果によるものだと述べています。
無制限な消費とは、LLMアプリケーションが過剰かつ制御されない推論を許してしまう状態を指し、攻撃者がサービスの可用性を妨害したり、持続不可能な金銭的コストを負わせたり、モデルの複製を通じて知的財産を窃取したりすることを可能にします。
これは、LLMによるリソース消費を適切に制御する仕組みが欠如していることによって生じます。OWASPは、特定の送信元エンティティが一定期間内に行えるリクエスト数を制限するためにクォータを適用するようチームに助言しています。さらに、サンドボックス技術を用いてLLMのネットワークリソース、内部サービス、APIへのアクセスを制限することで、攻撃者が外部の宛先にデータを持ち出す能力を制限できます。
6月に、OWASPは新たなエージェント型AIセキュリティ成熟度フレームワークを発表しました。これは、組織が展開するエージェントシステムと、そのシステムが必要とするガバナンスとの間のギャップを埋める手助けをすることを目的としています。
翻訳元: https://www.infosecurity-magazine.com/news/prompt-injection-llm-risk/
