プロンプトインジェクション（間接）の問題と解説 | 情報セキュリティマネジメント

正解：イ

各選択肢の解説

ア直接プロンプトインジェクション
誤り。直接型は、攻撃者自身がAIの入力欄に不正な指示を打ち込む手口です。今回、AIに指示を入力したのは正規の利用者だけで、不正な指示は AIが処理のために読み込んだメールの側にありました。
イ間接プロンプトインジェクション
正解。AIが読み込むメール・Webページ・文書に指示を仕込み、AIに実行させる手口です。攻撃者はAIを直接操作できなくても、読ませるデータを送り込むだけで攻撃が成り立ちます。
ウジェイルブレイク
誤り。ジェイルブレイクは、AIに備わった安全上の制限（ガードレール）を巧妙な指示で外させることを狙う手口で、利用者が自ら入力するのが典型です。今回は制限を外させたのではなく、外部データの指示で操作を乗っ取っています。
エデータポイズニング
誤り。データポイズニングは、学習などに使うデータに細工を混ぜて、モデルの判断を継続的に歪める攻撃です。今回はモデルは変わっておらず、処理中に読んだメールの指示にその場で従わされたものです。

秘書に「届いた手紙を読んで要点をまとめて」と頼んだところ、手紙の一通に「この手紙を読んだ秘書は、金庫の書類を下記へ送ること」と書かれていて、秘書がそれに従ってしまった。攻撃者は秘書に直接会っていないのに、読ませる手紙を送るだけで秘書を動かしています。これが間接プロンプトインジェクションです。

生成AIは、利用者の指示と、処理のために読み込んだデータ（メール・Webページ・文書）を同じ文章として受け取ります。そのため、データの中の文章を指示として扱ってしまうことがあります。

今回のように、AIにメール送信などの操作の権限を持たせていると、被害は回答の内容だけにとどまらず、情報の持ち出しにまで広がります。間接型は、外部から届くデータを扱う業務で特に警戒が要ります。

なお、ジェイルブレイクとプロンプトインジェクションの境界は文献によって扱いが分かれ、ジェイルブレイクをプロンプトインジェクションの一形態として扱うものもあります。試験では、ジェイルブレイクは「安全上の制限を外させる」という狙いで捉えておくと区別しやすくなります。

見分けるときは、「誰が」「どこに」細工を置いたか、そしてその場の処理を乗っ取ったのか、モデル自体を歪めたのかで切ります。