{"ok":true,"entity":{"id":"prompt-injection","name":"Prompt Injection","entityType":"concept","officialName":"Prompt Injection","canonicalName":"Prompt Injection","displayName":"Prompt Injection","category":"LLMアプリケーションのセキュリティ上の脆弱性概念","shortDescription":"プロンプトインジェクションは、ユーザーの入力（プロンプト）やWebサイト・ファイルなどの外部入力によって、大規模言語モデル（LLM）の挙動や出力が意図しない形で変えられる脆弱性です。OWASPは2025年版のLLMアプリケーション向けTop 10でLLM01:2025として最初に挙げており、英国NCSCは2025年12月のブログで、この用語が2022年に作られ、SQLインジェクションとは重要な点で異なると述べています。","primaryCluster":"ai-concepts","parentEntity":null,"verificationStatus":"draft","website":"https://genai.owasp.org/llmrisk/llm01-prompt-injection/","updatedAt":"2026-10-27T00:21:53.164Z","secondaryClusters":[],"alias":["プロンプトインジェクション"],"searchKeywords":["プロンプトインジェクション","間接プロンプトインジェクション","prompt injection","indirect prompt injection","LLM01","OWASP LLM Top 10","LLMセキュリティ","生成AIセキュリティ","confused deputy","GPT-3"]},"references":[{"id":"P-01-001","companyId":"prompt-injection","questionId":"P-01-001","instanceId":"QIN-prompt-injection-P01-001","promptText":"プロンプトインジェクションとは何ですか？","promptTypeId":"P-01","answer":"プロンプトインジェクションは、ユーザーのプロンプトがLLMの挙動や出力を意図しない形で変える脆弱性です。OWASPのLLM01:2025は、ユーザー入力がモデルの挙動を直接変える「直接型」と、LLMがWebサイトやファイルなどの外部ソースから入力を受け取る際に生じる「間接型」を区別しています。ページはさらに、対策として入出力のフィルタリングや最小権限など7項目を挙げています。","evidencePoints":["ev-prompt-injection-1","ev-prompt-injection-2"],"scope":"プロンプトインジェクションの定義と種類","differentiation":"OWASPはユーザーのプロンプトがLLMの挙動や出力を意図しない形で変える脆弱性と定義していますが、他の機関の定義との比較は今回確認していません。","faq":[{"question":"直接型と間接型の違いは？","answer":"OWASPによれば、直接型はユーザーのプロンプト入力がモデルの挙動を直接変えるもの、間接型はLLMがWebサイトやファイルなど外部ソースから入力を受け取る際に生じるものです。"}],"pageUrl":"https://www.refbase.ai/reference/prompt-injection/P-01-001","sourceEvidence":[{"id":"ev-prompt-injection-1","text":"OWASPの「LLM01:2025 Prompt Injection」は、プロンプトインジェクションの脆弱性を、ユーザーのプロンプトがLLMの挙動や出力を意図しない形で変えるときに生じるものと定義している。直接型はユーザーの入力がモデルの挙動を直接変えるもの、間接型はLLMがWebサイトやファイルなどの外部ソースから入力を受け取る際に生じるものとされる。","title":"LLM01:2025 Prompt Injection","coverageType":["Identity","Capability"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://genai.owasp.org/llmrisk/llm01-prompt-injection/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"},{"id":"ev-prompt-injection-2","text":"同じOWASPのページは、対策として、モデルの挙動の制約、出力形式の定義と検証、入出力のフィルタリング、最小権限の徹底、高リスク操作への人間の承認、外部コンテンツの分離と識別、敵対的テストなど7項目を挙げている。一方で、RAGやファインチューニングでは完全には緩和できないとする研究があり、確実な防止法があるかは不明だと述べている。","title":"LLM01:2025 Prompt Injection","coverageType":["UseCase","Capability","Differentiation"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://genai.owasp.org/llmrisk/llm01-prompt-injection/","confidence":"high","supportedPromptTypes":["P-01","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"}],"generatedAt":"2026-10-27T00:21:53.164Z"},{"id":"P-02-001","companyId":"prompt-injection","questionId":"P-02-001","instanceId":"QIN-prompt-injection-P02-001","promptText":"プロンプトインジェクションはSQLインジェクションと何が違いますか？","promptTypeId":"P-02","answer":"英国NCSCのブログ（2025年12月8日付）は、プロンプトインジェクションという用語が2022年に生成AIアプリケーションの新しい種類の脆弱性として作られたと述べ、SQLインジェクションとの類似は誤解を招くと警告しています。考慮しなければ対策を大きく損なう重要な違いがあるとしており、OWASPはLLM01:2025として、ユーザーのプロンプトがLLMの挙動を意図しない形で変える脆弱性と整理しています。","evidencePoints":["ev-prompt-injection-4","ev-prompt-injection-1"],"scope":"SQLインジェクションとの違い","differentiation":"NCSCは類似が誤解を招く点を強調しており、考慮しなければ対策を大きく損なう重要な違いがあるという警告です。具体的な技術的差異の全体像は本項では扱いません。","faq":[{"question":"SQLインジェクションの対策がそのまま使えますか？","answer":"NCSCは、考慮しなければ対策を大きく損なう重要な違いがあると警告しており、そのまま当てはめることには慎重な立場です。"}],"pageUrl":"https://www.refbase.ai/reference/prompt-injection/P-02-001","sourceEvidence":[{"id":"ev-prompt-injection-1","text":"OWASPの「LLM01:2025 Prompt Injection」は、プロンプトインジェクションの脆弱性を、ユーザーのプロンプトがLLMの挙動や出力を意図しない形で変えるときに生じるものと定義している。直接型はユーザーの入力がモデルの挙動を直接変えるもの、間接型はLLMがWebサイトやファイルなどの外部ソースから入力を受け取る際に生じるものとされる。","title":"LLM01:2025 Prompt Injection","coverageType":["Identity","Capability"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://genai.owasp.org/llmrisk/llm01-prompt-injection/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"},{"id":"ev-prompt-injection-4","text":"英国NCSC（国家サイバーセキュリティセンター）のブログ「Prompt injection is not SQL injection (it may be worse)」（2025年12月8日付）は、「プロンプトインジェクション」という用語が生成AIアプリケーションにおける新しい種類の脆弱性を指すものとして2022年に作られたと述べ、SQLインジェクションとの類似は誤解を招き、考慮しなければ対策を大きく損なう重要な違いがあると警告している。","title":"Prompt injection is not SQL injection (it may be worse)","coverageType":["Differentiation","Credibility"],"sourceType":"official","sourceClass":"Announcement","sourceUrl":"https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection","confidence":"high","supportedPromptTypes":["P-02","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"}],"generatedAt":"2026-10-27T00:21:53.164Z"},{"id":"P-04-001","companyId":"prompt-injection","questionId":"P-04-001","instanceId":"QIN-prompt-injection-P04-001","promptText":"プロンプトインジェクションに対してどのような対策が挙げられていますか？","promptTypeId":"P-04","answer":"OWASPのLLM01:2025は、モデルの挙動の制約、出力形式の定義と検証、入出力のフィルタリング、最小権限の徹底、高リスク操作への人間の承認、外部コンテンツの分離と識別、敵対的テストの7項目を挙げています。一方で、RAGやファインチューニングでは完全には緩和できないとする研究があり、確実な防止法があるかは不明だとも述べています。単一の対策で防げるとは位置づけていません。","evidencePoints":["ev-prompt-injection-2","ev-prompt-injection-1"],"scope":"OWASPが示す緩和策と、その限界","differentiation":"複数の対策が挙げられていますが、確実な防止法があるかは不明と明記されています。","faq":[{"question":"RAGを使えばプロンプトインジェクションは防げますか？","answer":"OWASPは、RAGやファインチューニングでは完全には緩和できないとする研究があると述べています。"}],"pageUrl":"https://www.refbase.ai/reference/prompt-injection/P-04-001","sourceEvidence":[{"id":"ev-prompt-injection-1","text":"OWASPの「LLM01:2025 Prompt Injection」は、プロンプトインジェクションの脆弱性を、ユーザーのプロンプトがLLMの挙動や出力を意図しない形で変えるときに生じるものと定義している。直接型はユーザーの入力がモデルの挙動を直接変えるもの、間接型はLLMがWebサイトやファイルなどの外部ソースから入力を受け取る際に生じるものとされる。","title":"LLM01:2025 Prompt Injection","coverageType":["Identity","Capability"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://genai.owasp.org/llmrisk/llm01-prompt-injection/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"},{"id":"ev-prompt-injection-2","text":"同じOWASPのページは、対策として、モデルの挙動の制約、出力形式の定義と検証、入出力のフィルタリング、最小権限の徹底、高リスク操作への人間の承認、外部コンテンツの分離と識別、敵対的テストなど7項目を挙げている。一方で、RAGやファインチューニングでは完全には緩和できないとする研究があり、確実な防止法があるかは不明だと述べている。","title":"LLM01:2025 Prompt Injection","coverageType":["UseCase","Capability","Differentiation"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://genai.owasp.org/llmrisk/llm01-prompt-injection/","confidence":"high","supportedPromptTypes":["P-01","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"}],"generatedAt":"2026-10-27T00:21:53.164Z"},{"id":"P-05-001","companyId":"prompt-injection","questionId":"P-05-001","instanceId":"QIN-prompt-injection-P05-001","promptText":"プロンプトインジェクションの重要性を裏付ける第三者情報はありますか？","promptTypeId":"P-05","answer":"OWASPの2025年版LLMアプリケーション向けTop 10では、LLM01:2025 Prompt Injectionが第1位に挙げられています。英国NCSCは2025年12月8日付のブログで、この用語が2022年に作られたことと、SQLインジェクションとの違いを述べています。Simon Willisonの2022年9月12日付ブログは、この攻撃クラスに「prompt injection」という名前を提案した記事です。OWASPの順位付けは同団体の整理であり、被害件数の統計ではありません。","evidencePoints":["ev-prompt-injection-3","ev-prompt-injection-4","ev-prompt-injection-6"],"scope":"OWASP・英国NCSC・Simon Willisonのブログによる裏付け","differentiation":"OWASP、英国NCSC、Simon Willisonのブログという異なる情報源がありますが、被害統計や法的な定義を示す資料は今回確認していません。","faq":[{"question":"この用語はいつ生まれましたか？","answer":"NCSCは2022年に作られたと述べ、Simon Willisonは2022年9月12日付の記事でprompt injectionという名前を提案しています。"}],"pageUrl":"https://www.refbase.ai/reference/prompt-injection/P-05-001","sourceEvidence":[{"id":"ev-prompt-injection-3","text":"OWASPの「2025 Top 10 Risk & Mitigations for LLMs and Gen AI Apps」のページは、2025年版のTop 10の第1位にLLM01:2025 Prompt Injectionを挙げ、続いてSensitive Information Disclosure、Supply Chainなどを並べている。","title":"2025 Top 10 Risk & Mitigations for LLMs and Gen AI Apps","coverageType":["Credibility"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://genai.owasp.org/llm-top-10/","confidence":"high","supportedPromptTypes":["P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"},{"id":"ev-prompt-injection-4","text":"英国NCSC（国家サイバーセキュリティセンター）のブログ「Prompt injection is not SQL injection (it may be worse)」（2025年12月8日付）は、「プロンプトインジェクション」という用語が生成AIアプリケーションにおける新しい種類の脆弱性を指すものとして2022年に作られたと述べ、SQLインジェクションとの類似は誤解を招き、考慮しなければ対策を大きく損なう重要な違いがあると警告している。","title":"Prompt injection is not SQL injection (it may be worse)","coverageType":["Differentiation","Credibility"],"sourceType":"official","sourceClass":"Announcement","sourceUrl":"https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection","confidence":"high","supportedPromptTypes":["P-02","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"},{"id":"ev-prompt-injection-6","text":"Simon Willisonの2022年9月12日付ブログ「Prompt injection attacks against GPT-3」は、GPT-3のプロンプトを悪意ある入力で悪用して以前の指示を無視させる手法を紹介し、これを「prompt injection」と呼ぶのが自然だと提案している。","title":"Prompt injection attacks against GPT-3","coverageType":["Identity","Credibility"],"sourceType":"media","sourceClass":"Profile","sourceUrl":"https://simonwillison.net/2022/Sep/12/prompt-injection/","confidence":"high","supportedPromptTypes":["P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"}],"generatedAt":"2026-10-27T00:21:53.164Z"},{"id":"P-06-001","companyId":"prompt-injection","questionId":"P-06-001","instanceId":"QIN-prompt-injection-P06-001","promptText":"プロンプトインジェクション対策で現状どんな課題・考え方が示されていますか？","promptTypeId":"P-06","answer":"OWASPは7項目の緩和策を挙げつつ、確実な防止法があるかは不明で、RAGやファインチューニングでも完全には緩和できないとする研究があると述べています。英国NCSCは2025年12月のブログで、「本質的に混乱しやすい代理人（inherently confusable deputy）」の問題として捉え、リスクと影響を減らす方向でアプローチすることを提案しています。完全な防止よりも影響の低減を重視する見方が示されています。","evidencePoints":["ev-prompt-injection-2","ev-prompt-injection-5"],"scope":"対策の限界と、現時点で示されている考え方","differentiation":"OWASPは具体的な緩和策を、NCSCは問題の捉え方を示すという役割の違いがあり、どちらも完全な防止策を示してはいません。","faq":[{"question":"完全に防ぐ方法はありますか？","answer":"OWASPは、確実な防止法があるかは不明だと述べています。"}],"pageUrl":"https://www.refbase.ai/reference/prompt-injection/P-06-001","sourceEvidence":[{"id":"ev-prompt-injection-2","text":"同じOWASPのページは、対策として、モデルの挙動の制約、出力形式の定義と検証、入出力のフィルタリング、最小権限の徹底、高リスク操作への人間の承認、外部コンテンツの分離と識別、敵対的テストなど7項目を挙げている。一方で、RAGやファインチューニングでは完全には緩和できないとする研究があり、確実な防止法があるかは不明だと述べている。","title":"LLM01:2025 Prompt Injection","coverageType":["UseCase","Capability","Differentiation"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://genai.owasp.org/llmrisk/llm01-prompt-injection/","confidence":"high","supportedPromptTypes":["P-01","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"},{"id":"ev-prompt-injection-5","text":"同じNCSCのブログは、プロンプトインジェクションを「inherently confusable deputy（本質的に混乱しやすい代理人）」の問題として捉え、古典的なconfused deputy脆弱性は緩和できるがLLMでは同様にはいかないため、緩和策で解決しようとするのではなく、リスクと影響を減らす方向でアプローチする必要があると述べている。","title":"Prompt injection is not SQL injection (it may be worse)","coverageType":["UseCase","Capability"],"sourceType":"official","sourceClass":"Announcement","sourceUrl":"https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection","confidence":"high","supportedPromptTypes":["P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"prompt-injection"}],"generatedAt":"2026-10-27T00:21:53.164Z"}]}