プロンプトインジェクション・AIの脆弱性の事例（10件）
AIに読み込ませた文書・Webページ・メールに仕込まれた指示でAIが本来の指示から外れて動く「プロンプトインジェクション」や、AIを組み込んだ製品の脆弱性の事例です。AIに社内データへのアクセスや操作の権限を与えるほど、影響は大きくなります。
-
社内Wiki「GROWI」のAIアシスタント機能のAPIに権限チェック欠如の脆弱性、他の利用者のスレッドやメッセージを閲覧・改ざんできるおそれ（JVN#46373837）
JVNによると、株式会社GROWIが提供する社内Wiki「GROWI」のv7.4.5およびそれ以前に、AIアシスタント機能のスレッド・メッセージのAPI（JVNの表題では「OpenAIスレッド・メッセージ API」）の権限チェック欠如の脆弱性（CWE-862、CVE-2026-25083）があった。共有AIアシスタントの識別子を知っているログイン済みの利用者が、他の利用者のAIアシスタントのスレッドやメッセージを閲覧したり改ざんしたりできる可能性がある。開発者は、各APIでスレッドの所有者を確かめていなかったと説明している。v7.4.6で修正された。
-
Gemini Enterpriseに、共有されたドキュメントや予定・メール1件で社内のGmail・カレンダー・ドキュメントの情報を持ち出され得る脆弱性「GeminiJack」（Noma Security報告）
Noma Securityは、Gemini Enterprise（以前はVertex AI Searchにも）に、攻撃者が指示を仕込んだGoogleドキュメント・カレンダーの予定・メールを社員と共有しておくだけで、社員が普段どおり検索したときにGeminiが社内のGmail・カレンダー・ドキュメントを探し、結果を外部の画像の読み込みに見せかけて攻撃者に送ってしまう脆弱性があったと公表した。社員がクリックする必要はなく、従来のセキュリティ製品では見分けにくいとしている。
-
GitHub Copilot Chatで、PRに隠した指示により非公開リポジトリのコードや秘密情報を引き出せる脆弱性「CamoLeak」（Legit Security報告）
Legit Securityの研究者は、プルリクエストの説明文に見えないコメントで指示を隠しておくと、被害者がそのPRについてCopilot Chatに質問したときに被害者の権限で指示が実行され、GitHub自身の画像プロキシ（Camo）を経由して非公開リポジトリのソースコードやシークレットを外部に送らせられることを示した。深刻度はCVSS 9.6とされた。GitHubはCopilot Chatでの画像表示を無効化して対処した。
-
Geminiの3つの機能（Cloud Assist・検索のパーソナライズ・ブラウジング）に、利用者の保存情報や位置情報を持ち出され得る脆弱性（Tenable報告「Gemini Trifecta」）
Tenableは、Geminiの3つの機能に脆弱性があったと公表した。Google CloudのGemini Cloud Assistでは、攻撃者が書き込んだログをGeminiが要約するときに、その中の指示に従ってしまうおそれがあった。検索のパーソナライズのモデルでは、悪意あるWebサイトが閲覧者のChromeの検索履歴に指示を書き込み、Geminiに利用者の保存情報や位置情報を漏らさせ得た。ブラウジング機能では、外部のサイトへのアクセスを使って、それらの情報を攻撃者のサーバーに送らせ得た。
-
Salesforce Agentforceに、問い合わせフォーム経由の間接プロンプトインジェクションでCRMデータを外部送信させ得る脆弱性「ForcedLeak」（Noma Security報告）
Noma Securityは、攻撃者がWeb-to-Leadフォームに隠した指示を送っておくと、社員が後でそのリードについてAgentforceに尋ねたときに指示が実行され、CRMデータを外部に送らせられる脆弱性チェーンを公表した。外部送信には、CSPの許可リストに残っていた期限切れドメインを使った。深刻度はCVSS 9.4とされた。
-
ChatGPTのDeep Researchエージェントに、メール1通でGmailの情報をOpenAI側から外部送信させ得る脆弱性「ShadowLeak」（Radware報告）
Radwareは、ChatGPTのDeep ResearchエージェントをGmailとWeb閲覧に接続している場合、攻撃者がHTMLに見えない指示を仕込んだメールを1通送るだけで、利用者が何もしなくてもエージェントが受信箱の個人情報などを攻撃者のサーバーに送ってしまう脆弱性を公表した。送信はOpenAIのクラウド側から行われるため、利用者の組織側では検知が難しいとしている。
-
Googleカレンダーの招待1件でGeminiに攻撃者の指示を実行させ、予定の削除やメールの持ち出しなどをさせ得る攻撃手法（SafeBreach報告）
SafeBreachの研究者は、予定の題名に指示を仕込んだGoogleカレンダーの招待を送るだけで、利用者がGeminiに予定やメールについて尋ねたときに、Geminiが攻撃者の指示に従ってしまう攻撃手法を公表した。実証では、予定の削除、スパムやフィッシングの表示、メールの持ち出し、位置の特定、Zoomでのビデオ配信、つないだ家電の操作などを示した。
-
AIコーディングツール「Gemini CLI」に、信頼できないコードを調べさせると気づかれずに任意のコマンドを実行され得る脆弱性（Tracebit報告）
Tracebitは、Googleが2025年6月25日に公開したコマンドライン用のAIエージェント「Gemini CLI」に、既定の設定のまま信頼できないコードを調べさせると、利用者に気づかれずに任意のコマンドを実行され得る脆弱性があったと公表した。READMEなどのファイルに仕込んだ指示（プロンプトインジェクション）と、利用者が許可したコマンドとの照合の甘さを組み合わせ、無害なコマンドに見せかけて環境変数を外部に送る手口を示した。
-
Microsoft 365 Copilotに、メールを受け取るだけで社内データを外部送信させ得る脆弱性「EchoLeak」（CVE-2025-32711）
Aim Security（Aim Labs）は、攻撃者がメールを送るだけで、利用者が何もしなくてもMicrosoft 365 Copilotが参照できる社内データを外部へ送らせる攻撃チェーン『EchoLeak』を見つけ、Microsoftに報告した。Microsoftは『M365 CopilotにおけるAIコマンドインジェクション』としてCVE-2025-32711を公表した。
-
Slack AIに間接プロンプトインジェクションの問題、参加していない非公開チャンネルのデータを引き出せる可能性（PromptArmor報告）
PromptArmorは、同じワークスペースにいる攻撃者が自分だけの公開チャンネルに悪意ある指示を書いておくと、被害者がSlack AIに質問した際にその指示が取り込まれ、被害者の非公開チャンネルにあるAPIキーなどをURLに含めたリンクを表示させられると報告した。Slackは、非常に限定的な条件下で同じワークスペースの攻撃者がフィッシングによりデータを取得できる問題だったとして、2024年8月20日にパッチを適用したと公表した。