間接プロンプトインジェクション

LLMが参照するWebページ、電子メール、文書などの外部データに悪意のある指示を埋め込んでおき、LLMがそれを処理したときに意図しない動作をさせる攻撃。利用者が気づかないうちに情報の外部送信やツールの不正な実行が起こり得るため、外部データを指示として扱わない設計が求められる。

文書、メール、画像、音声、動画のように、項目や形式が定まっておらず、そのままでは表形式で検索・集計できないデータ。企業が持つデータの大半を占めるとされ、自然言語処理や画像認識などで特徴を取り出すことで分析に使えるようになる。生成AIの普及で、検索拡張生成（RAG）の情報源としての活用も進んでいる。

生成AIのアプリケーションで、利用者の入力とは別に、開発者や管理者があらかじめ与えておく指示。AIの役割、口調、回答の範囲、禁止事項、参照する情報などを定め、すべての対話に共通して適用される。利用者の入力で上書きされないよう、プロンプトインジェクションへの対策も必要になる。

大規模言語モデルに長い文脈を与えたとき、冒頭と末尾にある情報はよく使われるのに、中ほどにある情報が回答に反映されにくくなる現象。2023年の研究で報告された。RAGで多数の文書を渡す場合などは、重要な情報を先頭か末尾に置く、渡す文書を絞り込むなどの工夫が要る。

大規模言語モデルやAIエージェントがよい結果を出せるよう、コンテキストウィンドウに入れる情報全体を設計・管理すること。システムプロンプト、ツールの定義、検索で取り出した文書、記憶、会話の履歴などから、その時点で必要な情報を選び、要約や圧縮をして、適切な順序で渡す。指示文の書き方を工夫するプロンプトエンジニアリングより広い考え方で、長い入力による性能の劣化（コンテキスト腐敗）への対策にもなる。

AIシステムそのものを攻撃や悪用から守るための対策。LLMへのプロンプトインジェクション、学習データに不正なデータを混入させるデータポイズニング、モデルの窃取、RAGを通じた機密情報の漏えいなどの脅威に対し、入出力の検証、外部参照データの分離、参照データへのアクセス制御、学習データの品質と来歴の管理などを行う。AIをセキュリティ対策に活用する「AI for Security」と対になる考え方。

RAG（検索拡張生成）でLLMに参照させる文書やベクトルデータベースに対し、利用者の権限に応じたアクセス制御を行うこと。検索の段階で権限のない文書を除外しないと、本来は閲覧できない機密情報が回答に含まれて漏えいする。参照データへの書込み権限を絞り、悪意ある指示や虚偽の情報を含む文書が混入するのを防ぐことも含む。