AIエージェントのPrompt Injection対策

AIエージェントがWeb、メール、ドキュメントを読み、そのままToolを実行できるほど、Prompt Injectionへの備えは重要になります。対策の軸は、入力を完全に判定することではありません。外部データを命令と分け、Agentが使える権限を絞り、重要な操作を確認できる設計にします。

まず結論：4つの層で意図しない動作の影響を限定する

層	確認すること	目的
外部データ	外部テキストを命令として直接使わず、必要な値だけ構造化する	制御フローへの影響を減らす
権限	使えるTool・データ・操作を必要な範囲に限定する	影響範囲を狭くする
実行	重要な操作は承認を挟む	自動で確定させない
隔離・監視	sandbox、通信制御、Toolログ、evalを組み合わせる	異常を検知し改善できるようにする

OpenAIの現行ガイダンスも、単一の入力判定だけではなく、アクセス制限、確認、隔離、監視を重ねる考え方を示しています。まずはAgentが何を読めるかだけでなく、読んだ情報をもとに何を実行できるかを確認します。

用語解説：Prompt Injection
Webページ、メール、ドキュメント、ユーザー入力などに含まれる指示によって、AIが本来の目的から外れた動作へ誘導されるリスクです。外部情報を読むAgentでは、第三者が作成した内容が会話コンテキストへ入るため、外部データの扱いを明確にします。

ポイントは、外部から取得した本文を「参考データ」として扱い、ユーザーや開発者が与えた目的と同じ権限を持つ命令として扱わないことです。

（AIエージェントがタスクを実行する仕組みを概念から確認したい場合については『ChatGPT Agentとは？AI秘書が仕事を“代行”する時代が来た』をご参照ください）

外部テキストをそのまま次の処理へ渡すのではなく、後段が必要とする項目だけを固定した形式へ抽出します。自由文がTool選択や次の処理を直接決める範囲を減らします。

入力判定だけで安全を保証しようとしない点も重要です。OpenAIが2026年3月に公開したAgent向けガイダンスでは、実際のPrompt Injection対策は入力フィルタだけに依存できず、影響を制約するシステム設計が必要だと説明されています。

調査だけを行うAgentへ、更新や削除を行うToolまで渡す必要はありません。タスクに必要な能力だけを公開し、参照範囲も必要なデータへ限定します。

この設計はAgentの能力を弱くするためではなく、判断がずれた場合でも影響が必要な範囲を超えないようにするためです。

外部サービスへの送信、削除、権限変更など、結果への影響が大きい操作は自動確定させず、実行前に対象と内容を確認できるようにします。MCPやConnectorを使う場合も、重要な操作に承認を設定できるか確認します。

（MCPがAIと外部Toolをどう接続するのかを確認したい場合については『MCPサーバーとは？仕組みと使い方』をご参照ください）

権限と承認に加えて、実行環境の隔離やログも重ねます。OpenAIの現行Agent向けドキュメントでは、構造化出力、確認、guardrail、隔離、trace/evalを組み合わせる考え方が示されています。