AIへのプロンプトインジェクション対策、総務省ガイドラインは何を求めているか──「AIエージェントは対象外」の理由まで読む

AIサービスを開発・提供する事業者にとって、プロンプトインジェクションへの対策は「気をつける」だけでは済まない段階に来ている。総務省が2026年3月27日に公表した「AIのセキュリティ確保のための技術的対策に係るガイドライン」は、この課題に対して国が示した最初の体系的な技術指針だ。公式資料と、報道を丁寧に伝えたINTERNET Watchの記事から内容を確認する。

何が公表されたか

INTERNET Watchの記事（2026年4月1日付）によれば、総務省は2026年3月27日、AI開発者・AI提供者向けに本ガイドラインを公表した。公開の経緯は次の通りだ。

• 2025年6月に閣議決定された「デジタル社会の実現に向けた重点計画」にもとづく
• 2025年9月から開催されていたサイバーセキュリティタスクフォースの「AIセキュリティ分科会」における検討・意見募集を経て策定
• 2025年12月に実施した意見募集の結果とともに、2026年3月27日に公表

ガイドラインは、総務省が経済産業省とともに策定した「AI事業者ガイドライン」の共通の指針や、AIセーフティ・インスティテュート（AISI）による「AIセーフティに関する評価観点ガイド」の考え方を踏まえて策定された。

想定読者と対象範囲

ガイドライン本編（別紙2、総務省公式PDF）を確認すると、想定読者は、AI事業者ガイドラインの定義における「AI開発者」（AIシステムを開発する事業者）と「AI提供者」（AIシステムをアプリケーションなどに組み込んだサービスを提供する事業者）の2者だ。

対象とするAIは、社会実装が進み脅威が顕在化し始めている大規模言語モデル（LLM）およびLLMを構成要素に含むAIシステムだと明記されている。本編は代表的なAIシステム構成の流れも図解しており、脚注では「(1)入力データ（プロンプト）がガードレールの検証を経てオーケストレータに渡される→(2)オーケストレータが外部連携システムやRAG関連システムと連携しながらLLMに入力データと回答に必要な情報を渡す→(3)LLMが生成した回答がガードレールの検証を経てユーザに出力される」という一連のデータの流れが説明されている。

ここで重要なのは、AIエージェントが明示的に対象外とされている点だ。INTERNET Watchの記事はその理由をこう伝えている。

AIエージェントについては、「技術が急激な発展の途上にあり、これに特有の脅威や対策を安定的に確定することが現時点では困難である」ことを理由に、対象外としている。

意見公募で指摘された「論理的な矛盾」

このAIエージェント除外という設計判断は、パブリックコメントの段階で複数の企業から疑問が寄せられていた。総務省が公開した意見募集の結果（52件の意見のうち法人・団体14件、個人38件）を見ると、たとえばシスコシステムズ合同会社は次のように指摘している。

「第1章1.2節図1（5ページ）のAI構成の例において、AIエージェントの適用除外に論理的な矛盾があることに留意する。本ガイドラインの背景の項では、AIエージェントやMCPの自律性の高まりを『新たな脅威』と明確に位置づけ、技術の進歩に合わせた継続的な見直しの重要性を強調している。にもかかわらず、AIエージェントを除外している点は、本ガイドラインの政策方針と論理的に矛盾している。」

これに対する総務省の回答は次の通りだ。

「御意見として承ります。AIエージェントについては、技術が急激な発展の途上にあり、これに特有の脅威や対策を安定的に確定することが現時点では困難であることから、対象外としています。今後については、引き続き関係省庁及び関係機関とも連携しながら、AIの技術進展を十分に踏まえ、新たな脅威や対策の動向を注視し、対応をはかっていくものです。」

つまり、AIエージェントを含めるかどうかは「現時点で確定できないから今回は見送る」という判断であり、指摘そのものは受け止めつつ、今後の見直しの余地を残す回答になっている。

扱われている2つの主要な脅威

INTERNET Watchの記事によれば、ガイドラインは「不正操作による機密情報の漏えい、AIシステムの意図せぬ変更や停止が生じないような状態」に対する脅威への技術的対策例を整理している。具体的に、策定時点における脅威として挙げられているのは次の2つだ。

1. プロンプトインジェクション攻撃：LLMに細工をした入力を行うことで不正な出力をさせる攻撃
2. DoS攻撃（サービス拒否攻撃）：膨大な処理を必要とする入力によりAIシステムへ負荷をかける攻撃

ガイドライン本編を読むと、DoS攻撃についてはさらに3つの具体的な手口が挙げられている。(1)LLMの計算負荷を意図的に高める「スポンジ攻撃」、(2)AIシステムに組み込まれたLLMに無駄な出力やツール呼び出しを続けさせることでAI提供者に経済的損失を与える攻撃、(3)同一のAPIキーで大量のリクエストを送りつけてAPI利用上限に到達させ、サービスを停止させる攻撃だ。また本編の「2.2 その他の脅威」では、この2つの主要な脅威とは別に、学習データに細工をして不正な出力を誘発する「データポイズニング攻撃」も、実行に一定の前提条件を要する脅威として言及されている。

本編が示す2つの想定事例

ガイドライン本編には、読者が自分のAIサービスに引き付けて対策を検討できるよう、具体的な「想定事例」が2件示されている。

• 想定事例1「内部向けチャットボット（RAG利用）」:組織内のユーザからプロンプトを受け取り、内部のRAG用データストアから回答に必要なデータを取得して回答するシステム(外部から基盤モデルの提供を受ける運用を想定)。想定される攻撃シナリオは、RAG用データストアからのデータ窃取を狙う直接プロンプトインジェクション攻撃と、RAG用データストア内のファイルを経由した間接プロンプトインジェクション攻撃の2つ。対策としては、安全基準等の学習による耐性向上・システムプロンプトによる耐性向上・ガードレールによる入出力/外部参照データの検証・オーケストレータやRAGの権限管理が挙げられている
• 想定事例2「外部向けチャットボット（外部連携利用）」:組織外のユーザからプロンプトを受け取り、外部システム(インターネット公開情報)から回答に必要なデータを取得するシステム

本編の脚注には、想定事例1の攻撃シナリオに関連して、AISI(AIセーフティ・インスティテュート)が公開する「AIセーフティに関するレッドチーミング手法ガイド」も参照先として挙げられている。2つの想定事例を整理すると次のようになる。

「AIを守る」か「AIで守る」か──パロアルトネットワークスの意見

意見募集では、ガイドラインの視点そのものへの提言も寄せられている。パロアルトネットワークス株式会社は、本ガイドラインが「AIを守る（Cybersecurity for AI）」ことに主眼を置いている点を指摘した上で、「AIで守る（AI for Cybersecurity）」の視点も不可欠だと主張し、次のようなデータを引用している。

「パロアルトネットワークスのUnit42のデータによれば、攻撃者が侵入からデータ持ち出しに至るまでの時間は4年前と比較して100倍高速化しており、エージェントAIを悪用したランサムウェアキャンペーンに至っては、偵察から侵害までがわずか25分程度で完了する事例も確認されている。」

これに対して総務省は「御意見として承ります。今後の政策の検討にあたり、参考とさせていただきます」と回答しており、今回のガイドライン自体には直接反映されていない（今後の政策検討の参考情報として位置づけられている）。

ヒューマンエラーへの言及が追加された

PwCコンサルティング合同会社からは、第2章の脅威整理が主に攻撃手法中心で、設定ミス・運用ミスといったヒューマンエラーが主要な脅威として十分に整理されていないという指摘があった。この意見を受けて、総務省は次の対応を行ったと回答している。

「御意見を踏まえ、本編P11の脚注に、『悪意のある攻撃以外では、ヒューマンエラーによる設定ミス等によって生じる脅威についても留意が必要である。』と記載しました。」

意見公募が実際に本文の記載に反映された、数少ない具体例の一つだ。

なぜ日本語圏でまだ薄いのか

このガイドラインは2026年3月27日という比較的最近の公表であり、報道もIT専門メディア中心にとどまっている。プロンプトインジェクション対策という技術的なテーマを、日本の行政文書の一次資料（意見募集の結果を含む）まで遡って解説した記事は、本記事執筆時点ではまだ少ない。プロンプトインジェクションの仕組み自体についてはプロンプトインジェクションとは、企業側のセキュリティリスク全般についてはAIセキュリティリスク──プロンプトインジェクション・データ漏洩対策、日本のAI規制の全体像は日本のAI規制2026も参照してほしい。

それでも確認できなかったこと

• 本記事は総務省公式サイトから、意見募集の結果文書に加えて、ガイドライン本編（別紙2）・別添付属資料（別紙3）のPDFを直接ダウンロードして確認した。ただし別添（付属資料、18ページ）のうち「II 画像識別AI（CNN）に対する脅威と対策」の節（LLM以外の画像認識AIへの攻撃手法）は今回読み込んでおらず、本記事はLLM関連の記載に絞って紹介している
• ガイドラインに法的拘束力はなく、あくまで「対策例」を示すものである点は、INTERNET Watchの記事・総務省の資料のいずれからも明確に読み取れる。違反時の罰則等は定められていない
• AIエージェントが対象外とされたことについて、いつ・どのような基準で見直されるかの具体的なロードマップは、本記事のソースには示されていなかった
• 意見募集で寄せられた52件の意見のうち、本記事で紹介できたのはごく一部（4〜5件）にとどまる。ガイドライン全体に対する意見の傾向（賛成・反対の比率など）についての集計は、本記事のソースには含まれていなかった
• 参照先として挙げられている「AIセーフティに関するレッドチーミング手法ガイド」(AISI発行)そのものは、本記事では確認していない