OWASPが発表した2026年版AIセキュリティ脅威ランキングで、プロンプトインジェクション（AIへの悪意ある命令の注入攻撃）が首位に認定されました。さらにPalo Alto NetworksのUnit 42研究チームは、2026年3月に初めて大規模な間接プロンプトインジェクション攻撃が実環境で記録されたことを報告しており、これまで「理論上のリスク」とも見なされていたこの脅威がついに現実の攻撃手法として定着しつつあります。
プロンプトインジェクションとは、AIモデルへの入力（プロンプト）に悪意ある指示を紛れ込ませ、開発者が意図しない動作を引き起こす攻撃手法です。Webアプリケーションにおける「SQLインジェクション」（データベースへの不正命令埋め込み）の、AI版に相当する脅威と考えるとわかりやすいでしょう。
攻撃には大きく2種類があります。直接プロンプトインジェクションは、ユーザーがAIチャットに直接「本来の制約を無視して〜しろ」といった命令を入力する手法です。一方、より深刻とされる間接プロンプトインジェクションは、Webページ・メール・ドキュメントなど外部コンテンツの中に攻撃命令を埋め込んでおき、AIがそのコンテンツを読み込んだ瞬間に命令が実行される手法です。ユーザー本人は何もしていないにもかかわらず、AIが攻撃者の意図通りに動作してしまう点で、より危険性が高いとされています。
Unit 42が記録した実環境攻撃は、RAG（Retrieval-Augmented Generation：外部知識を検索して回答を生成するAIの仕組み）やツール連携機能を経由した間接プロンプトインジェクションでした。企業内で運用されているAIエージェントが、業務上参照した外部コンテンツに埋め込まれた攻撃命令を実行し、情報漏えいや意図しないツール操作が発生したとみられています。
Hacker Newsでは「間接プロンプトインジェクションがRAGやツール経由で主流になりつつある。サンドボックス（隔離環境）だけでは防げない」という指摘が多くの共感を集めました。AIエージェントが業務システムと深く統合されればされるほど、外部コンテンツ経由の攻撃面は広がる一方であり、入力元を問わず全てのデータを「信頼できない外部入力」として扱う設計思想が求められています。
OWASP（Open Worldwide Application Security Project）は、Webアプリの「OWASP Top 10」でも知られるセキュリティ標準化団体です。同団体がAI脅威ランキングの1位にプロンプトインジェクションを据えたことで、業界全体への影響は小さくありません。Redditでは「OWASPのランキングが業界標準化に貢献している。ペネトレーションテスト（侵入テスト）にAI攻撃面の評価が必須になった」という声が上がっており、セキュリティ監査や調達基準にAI固有のリスク評価が組み込まれる流れが加速しそうです。
また、X（旧Twitter）では「プロンプトインジェクション対策はもはやMLOpsではなくセキュリティチームの仕事」という投稿が広く拡散されました。これまでAIの安全性はデータサイエンティストやMLエンジニアの領域とされてきましたが、実環境での攻撃が現実化した今、組織のセキュリティ部門が主体的に対応する体制への移行が求められています。
現時点で有効な対策として挙げられるのは、AIへの入力データの厳格な検証・サニタイズ（無害化処理）、エージェントに付与する権限の最小化、そして外部コンテンツとシステム命令を明確に分離するアーキテクチャ設計です。ただし、自然言語を処理するAIの特性上、SQLインジェクションのように完全なパターンマッチングで防ぐことは難しく、根本的な解決策はいまだ研究段階にあります。OWASP1位という認定は、この未解決の課題が産業全体の優先事項であることを改めて宣言するものといえます。