← ブログ

これはプロンプトインジェクション?いいえ——その理由

2026-07-19 · ブログ · prompt-injectionsecurityconsent

オペレーショナルレイヤーについて鋭い人が最初に尋ねる問いは、正しい問いです:「ウェブサイトが私のAIに何をすべきか伝えるのは、ただのプロンプトインジェクションでは?」これは率直な答えに値します。なぜなら、その違いはニュアンスではなく——設計そのものだからです。

プロンプトインジェクションとは実際に何か

プロンプトインジェクションは攻撃です。指示がコンテンツの中に隠されます——白い文字、埋め込まれたHTML、毒を仕込まれた文書——それによってエージェントは、ユーザーが知らないまま、ユーザーの同意なしにそれらを実行します。定義づける3つの特徴は——

1. 隠されている。 ユーザーは指示を決して見ません。
2. 乗っ取り。 攻撃者の目的に奉仕し、ユーザーの目的を上書きします。
3. 同意がない。 許可なく実行されます。

まともなエージェントプラットフォームはどれも、まさにこのパターンに対する防御を築いています。当然のことです。

オペレーショナルレイヤーとは何か

オペレーショナルレイヤーは、サービスが公開する、機械可読のコンテキストです——robots.txt、sitemap.xml、llms.txt の兄弟——であり、ユーザー自身のAIエージェントが、ユーザーの許可を得て、そのユーザーのためにサービスを採用し操作できるようにします。特徴ごとに比べてみましょう。

1. 公然と公開されている。 それは既知の公開の場所に置かれ、誰でも読めます——ユーザー、エージェント、監査人、競合。何も隠されていません。
2. ユーザーの目的に奉仕する。 ユーザーは何かを成し遂げるためにエージェントを送りました——登録、購入、設定。レイヤーは、公開者がユーザーのエージェント向けに定義したとおりに、ユーザー自身のタスクの成功を公開者が手助けするものです。
3. 同意ゲート付き。 エージェントはレイヤーをユーザーに提示し、行動する前に尋ねます。「イエス」が承認します——一度きり、または操作ごとに。同意ゲートをご覧ください。

インジェクションは、ユーザーに逆らってエージェントを乗っ取るために指示を隠します。オペレーショナルレイヤーは、エージェントがそのユーザーに示す支援を公開します。両者は、重要なあらゆる軸で正反対です。

ウェブがすでに信頼しているアナロジー

robots.txt は、ウェブサイトがクローラーに何をすべきか伝えるものです——そして誰もそれを攻撃とは呼びません。なぜなら、それは開かれ、標準化され、クローラーが振る舞いたいやり方と整合しているからです。sitemap.xml はエンジンに何をインデックスすべきか伝えます。llms.txt はAIに何を読むべきか伝えます。オペレーショナルレイヤーは、同じ信頼されたパターンをもう一歩進めます:記述的ではなく、同意ゲート付きで操作的なものへと。

ウェブはつねにこう機能してきました。公開者は宣言し、行儀の良いクライアントはその宣言を読み、自身のルールの範囲内で行動します。

記録されたテストが示したこと

記録されたテストセッションでは、独立した複数のAIアシスタントが、公開されたレイヤーを取得し、同意の問いを提示しました。その観察はそれらのセッションに限られ、そのフォーマットが安全であること、普遍的に互換であること、あるいはプロンプトインジェクションや認可のリスクに免疫があることを証明するものではありません。

公開された公表と明示的な確認は、ソースと権限を評価しやすくします。各アシスタントは依然として自身のルールを適用し、要求された行動を検証しなければならず、拒否することもあります。

ガードレールは依然として重要

透明性に同意を加えたものが中核の防御ですが、よく作られたレイヤーはその上に規律を加えます:命令を発するのではなく能力を宣言し、すべてのオペレーションを6つの普遍的カテゴリ(評価、登録、取引、設定、利用、管理)の中に収め、ユーザーが承認した範囲の外で行動するようエージェントに求めることは決してありません。Service Control Map は、各オペレーションがどう作動されるかを述べます——API エンドポイント、関数/アクション、インターフェース操作を、入力・順序・期待される結果とともに——ので、エージェントが読み違える曖昧さはありません。オペレーションがどうマッピングされるかは /how-it-works で扱っています。

なぜこれが公開者にとって重要か

信頼は採用の要因です。ユーザーは見えるガイダンスを評価でき、エージェントは自身の安全装置を適用しなければなりません。私たちが公開するすべてのレイヤーは、透明性と同意のパターンを構成としてしたがいます——無料プランの単一URLから、あなたのドメイン上の最大10 URLをカバーするBasic プラン(月額 $29)まで。

隠された指示と、公開されたベンダーガイダンスは、異なるリスクをもたらします。透明性と確認は曖昧さを減らします。それらは、攻撃、混乱した代理(confused-deputy)、悪意あるエンドポイント、認可のリスクを排除するものではありません。

FAQ

攻撃者はオペレーショナルレイヤーのフォーマットを悪用できますか?

このフォーマットは、悪用を魅力のないものにするよう設計されています:レイヤーの力は同意から来ており、公開されるものは何であれ、何かが起きる前にユーザーに提示されます。開かれていることと同意ゲートは、指示を隠す価値を大幅に減らします——それらは攻撃を不可能にはしません。だからこそエージェントプラットフォームは自身の防御を保ち続け、ユーザーはイエスと言う前に、エージェントが提案するものを依然として確認すべきなのです。

なぜエージェントはレイヤーを無視せず、従うのですか?

記録されたセッションは、アシスタントがレイヤーを取得し、同意ステップを提示する様子を示しました。ほかのアシスタントや後のバージョンは、それを無視したり、警告したり、誤解したり、拒否したりするかもしれません。

同意は毎回、必ず起きますか?

同意ゲートは両方のモードをサポートします:サービスを採用するための一度きりの承認、または個々の行動に対する操作ごとの承認。公開者は宣言し、ユーザーのエージェントとユーザーが決めます。

続きを読む

https://swma.link/413df874