1. これは何の話？

AIエージェントの導入を検討するセキュリティ担当者や開発チーム向けに、OpenAIが認めた根本的なリスクについて解説します。

OpenAIは2025年12月、AIが処理するコンテンツに隠された悪意ある指示をコマンドとして扱ってしまう「プロンプトインジェクション攻撃」について、「完全には解決できない可能性がある」と公式に認めました。この発表は、ChatGPT Atlasのブラウザエージェント機能に関するセキュリティ強化の取り組みの中で行われたものです。

AIエージェントが価値を生む仕組みそのものが、同時に脆弱性の根源となっています。ユーザーの代わりにウェブページを閲覧し、クリックやキー入力を行う機能は便利ですが、その「アクセス」こそが攻撃者に悪用される可能性を生んでいます。

AIエージェントのセキュリティリスク全体俯瞰

2. 何がわかったか

OpenAIの内部テストでは、さらに深刻な攻撃シナリオが実証されています。悪意あるメールがエージェントにCEO宛ての辞表を送信するよう指示し、ユーザーが不在通知の作成を依頼した際に、エージェントがそのメールを読み込んで指示に従ってしまうケースが確認されました。ユーザーが求めた不在通知は作成されず、代わりに本人に代わって辞表が送信されるという結果になります。

セキュリティ研究者がGoogle Docsに数語を書き込むだけで、ブラウザエージェントの動作を変更できることも実証されています。この脆弱性は、セーフガードが導入されていても、エージェントが広い権限を持つ限り悪意あるコンテンツの影響を受けやすいことを示しています。

Wizのプリンシパルセキュリティ研究者Rami McCarthy氏は、「AIシステムのリスクを考える有効な方法は、自律性にアクセス範囲を掛け合わせることだ」と指摘しています。エージェントができることが多いほど、そしてアクセスできるデータが多いほど、リスクは高まります。

プロンプトインジェクション攻撃のフロー

3. 他とどう違うのか

従来のセキュリティ対策は、外部からの攻撃を遮断するという発想に基づいていました。ファイアウォールやアクセス制御は、信頼できる領域と信頼できない領域を明確に分けることで機能します。

しかしプロンプトインジェクションは、エージェントが正当にアクセスするコンテンツの中に攻撃が埋め込まれるため、従来の境界防御では対処できません。エージェントが業務上読むべきメールや文書の中に、悪意ある指示が隠されている可能性があるのです。これは、エージェントの有用性そのものがリスクの源泉になるという、構造的なジレンマです。

従来のセキュリティとプロンプトインジェクションの違い

4. なぜこれが重要か

OpenAIがこの問題を「解決できない可能性がある」と認めたことは、業界全体に対する警告として受け止めるべきです。

AIエージェント導入の判断は、今後「リスクゼロを目指す」から「許容可能なリスクを管理する」という発想に転換する必要があります。完全な安全性が保証されないことを前提に、どこまでの権限を付与するか、どのような確認プロセスを設けるかという実務的な判断が求められます。AIエージェントを従業員と同じように考え、権限管理と監査の対象とする必要があります。

リスク = 自律性 × アクセス範囲

5. 未来の展開・戦略性

OpenAIのガイダンスでは「広い裁量権を与えると、セーフガードがあっても隠れた悪意あるコンテンツの影響を受けやすくなる」と明記されています。これは、エージェントの自律性を高めるほどリスクも高まるというトレードオフが構造的に存在することを示しています。

今後、企業はAIエージェントの導入において「どこまで任せるか」という線引きを慎重に行う必要があります。全自動化を急ぐのではなく、人間の確認を介在させるハイブリッドなワークフローが現実的な選択肢になるでしょう。セキュリティベンダーからは、エージェント専用の監視・検知ツールが登場する可能性もあります。

6. どう考え、どう動くか

例えば、社内でChatGPTのエージェント機能を試験導入する場合を考えてみます。「メールを読んで返信を下書きする」という便利な使い方でも、悪意あるメールを受信した瞬間にリスクが発生します。

AIエージェントのセキュリティチェックリスト

指針：

  • 現在のAIエージェントへのアクセス権限を棚卸しし、本当に必要な最小限の権限に絞る。
  • 金銭移動、メッセージ送信、機密データ操作を伴う処理には、必ず人間の確認ステップを設ける。
  • エージェントに広い権限を与える提案があった場合は、「誰かが書いたメールを読んだとき何が起きるか」を問い返す。

次の一歩：

  • 今日やること：自社で利用中のAIツールの権限設定を1つ確認する。
  • 今週やること：エージェント導入計画がある場合、確認ステップの設計を検討する。

7. 限界と未確定

  • OpenAIが公開したのは問題の認識と一部の対策であり、Atlas以外のエージェント機能への影響範囲は不明。公式ブログの詳細を追跡することで判明する可能性がある。
  • プロンプトインジェクション対策の具体的な技術手法は非公開。セキュリティ研究コミュニティの分析を待つ必要がある。
  • 他のAIプロバイダー（Anthropic、Googleなど）が同様の問題をどう認識しているかは公式発表がない。各社のセキュリティブログを監視することで情報が得られる可能性がある。

8. 用語ミニ解説

  • AIが処理するコンテンツに悪意ある指示を埋め込み、その指示を実行させる攻撃手法。（プロンプトインジェクション / prompt injection）

9. 出典と日付

Shelly Palmer（公開日：2025-12-28）：https://shellypalmer.com/2025/12/openai-admits-agentic-ai-may-never-be-secure/