仕組みと手口を見てきました。最後は、いちばん知りたいところ。自分は何をすればいいのかです。
先に結論を言います。プロンプトインジェクションは作る側でも完全には防げていない問題ですが、被害の大きさは利用者側の設定と習慣で大きく変わります。攻撃を100%止めることはできなくても、当たっても痛くない状態は作れる。ここでは専門知識のいらない7つを、優先度の高い順に並べました。
① AIに与える権限を、必要な分だけにする【最重要】
これが全体の8割です。プロンプトインジェクションの被害は、AIに与えた権限の範囲を超えません。読んで答えるだけのAIは、偽の命令に従っても文章を返すだけ。しかしメール送信・ファイル削除・決済の権限を持つAIは、その命令を実行に移せてしまう。
「便利だから」と何でも連携させる前に、本当にその権限が必要かを一度止まって考える。使わない連携は切る。とくにお金・メール送信・ファイル削除に触れる権限は、与える相手を厳しく選ぶ。ここを絞るだけで、最悪の被害はほぼ消えます。
② 「確認なしの自動実行」を安易に許可しない【最重要】
AIが操作の前に「これを実行していいですか？」と聞いてくる確認プロセスは、面倒に感じても最後の安全装置です。攻撃者が真っ先に外そうとするのがここだ、というのは手口の記事で見たとおりです。
「毎回確認されるのが煩わしい」と全自動モードにした瞬間、その安全装置は無効になります。取り返しのつく操作（下書きの作成など）は自動でよくても、取り返しのつかない操作（送信・送金・削除）は必ず人間が最終ボタンを押す。この線引きを、自分のルールとして持っておきます。
③ 機密情報を、AIの作業場に置かない【最重要】
盗まれて困るものが、そもそもAIの手の届く場所になければ、盗みようがありません。
- パスワードやAPIキーを、AIが読めるファイルやチャットにべた書きしない
- クレジットカード番号・マイナンバー・口座情報を、AIとのやり取りに貼らない
- 「このファイルを整理して」と渡すフォルダに、無関係な機密ファイルを混ぜておかない
AIに手伝ってもらう作業場と、大事なものをしまう金庫を、物理的に分ける発想です。
④ 出どころの怪しいものを、AIに読ませない
間接プロンプトインジェクションは、AIが読んだものから始まります。ということは、読ませるものを選べば入口を塞げます。
見知らぬ相手からのメール、怪しいWebページ、出所の不明なファイルや画像を、安易にAIへ「要約して」「読んで」と渡さない。とくに「このページの指示どおりに操作して」といった、AIに主導権を渡す使い方は、信頼できる相手のものだけに絞ります。人間なら開かない添付ファイルは、AIにも開かせない。
⑤ AIの「報告」を鵜呑みにしない
AIは「攻撃を検出しました」とありもしない話をでっち上げることがあります（前記事参照）。逆に、危険な操作を「問題ありません」と請け合うこともあります。
AIの自己申告は、事実確認の代わりにはなりません。大事な操作の前後では、AIの言葉ではなく実際の結果を自分の目で確かめる。送信履歴、ファイルの状態、変更点。この一手間が、AIの思い込みも攻撃も同時に受け止めます。
⑥ 実行結果が見えるようにしておく
AIが何をしたか後から追えるようにしておくと、被害に早く気づけます。送信したメールは送信済みフォルダに残す、操作ログを残す設定にする、といった「足あとが残る」状態にしておく。
万一おかしな操作をされても、気づくのが早ければ被害は小さくて済みます。カード会社への連絡、パスワード変更、送信の取り消し——初動の速さがすべてです。
⑦ 提供元の更新を、面倒がらず適用する
AIツールの提供側も、防御を日々強化しています。自動化した攻撃テストと学習を組み合わせて穴を塞ぐ取り組みが、各社で続いています。その成果はアップデートの形で届きます。
「完全には防げない」問題だからこそ、少しでも守りの厚いバージョンを使う意味があります。更新通知を後回しにしない。これは手間ゼロでできる、地味に効く一手です。
まとめ：怖がるためではなく、使い続けるために
7つを一度に完璧にやる必要はありません。上の3つ——権限を絞る・自動実行を許さない・機密を近づけない——だけで、被害の大部分は防げます。残りは、余力があれば足していく習慣です。
プロンプトインジェクションは、AIが便利になった代償として生まれたリスクです。裏を返せば、リスクを理解して線を引ける人は、AIの便利さを安心して使い倒せるということでもあります。怖がって遠ざけるのでも、無警戒に任せきるのでもなく、その間に立つ。それが、これからのAIとの付き合い方の基本になります。