プロンプトインジェクションとは？Apple Intelligenceの脆弱性発覚から学ぶ「AI時代のセキュリティ常識」

【3行でわかる要点】
・Apple Intelligenceのオンデバイスモデルに「プロンプトインジェクション」攻撃が成功したとの研究が公開
・攻撃成功率は100回中76回（76%）。Unicode文字の逆転とNeural Execの組み合わせでフィルターを突破
・AI導入を検討する経営層が知るべき「AIシステム固有のセキュリティリスク」の代表例

何が起きたのか
プロンプトインジェクションとは何か——「AI版の振り込め詐欺」
Apple Intelligenceはどう破られたのか
なぜ経営層が気にすべきなのか
SYNCONの視点
1. ソース

何が起きたのか

2026年4月9日、セキュリティカンファレンスRSACのブログに2本の研究論文が公開された。研究者たちがApple Intelligenceのオンデバイス（端末内蔵）AIモデルに対して「プロンプトインジェクション」攻撃を実行し、Appleのセキュリティ保護を突破することに成功したという内容だ。

テスト100回中76回の成功率。すでにiOS 26.4およびmacOS 26.4で修正済みだが、「世界で最も厳重なはずのAppleのAI」が破られたという事実は、AI導入を検討するすべての企業に警鐘を鳴らしている。

プロンプトインジェクションとは何か——「AI版の振り込め詐欺」

プロンプトインジェクション（Prompt Injection）とは、AIシステムに対して巧妙に細工した指示を入力し、本来の動作を無視させて攻撃者の意図通りに動かす手法だ。

たとえるなら「AI版の振り込め詐欺」。正規のユーザーからの指示に見せかけて、AIに「本来やってはいけないこと」をやらせる。従来のハッキングがシステムの「鍵」を破るものだとすれば、プロンプトインジェクションはAIを「言葉で騙す」攻撃だ。

2020年のGPT-3の時代からこの問題は認識されていたが、2026年現在も完全な解決策は存在しない。ChatGPT、Claude、Geminiなど、あらゆるAIが程度の差こそあれ、この脆弱性を抱えている。

Apple Intelligenceはどう破られたのか

研究者たちは2つの攻撃手法を組み合わせた。

①Unicode逆転トリック：有害な文字列を逆順に記述し、Unicodeの「RIGHT-TO-LEFT OVERRIDE」文字を使って画面上では正常に表示させる。AIの入出力フィルターは逆順のまま検査するため、有害と判定できずにすり抜ける。

②Neural Exec：AIモデルの基本指示（システムプロンプト）を上書きし、攻撃者の新しい指示に従わせるテクニック。

この2つを組み合わせることで、①がフィルターを突破し、②がAI本体の動作を書き換える——という二段構えの攻撃が成立した。研究者たちはAppleの内部アーキテクチャの全容を把握していたわけではないにもかかわらず、高い成功率を達成した点が注目される。

なぜ経営層が気にすべきなのか

プロンプトインジェクションは「テキストの書き換え」程度で済む問題ではない。Apple Intelligenceはシステム全体のAPIと連携しており、攻撃が成功すればアプリの動作変更や機密データへのアクセスにまでつながる可能性がある。RSACの研究チームは、潜在的に影響を受けるユーザーが10万〜100万人規模と推定している。

これは自社でAI機能を組み込む際にも同じことが言える。社内チャットボットに顧客データを参照させている場合、プロンプトインジェクションによって本来表示すべきでない情報が漏洩するリスクがある。