セキュリティ研究者らは、敵対的な指示を暗号化でラップすることでGrokがユーザーデータを漏洩するよう誘導できることを実証した。この手法は暗号コンテキストインジェクションと名付けられている。具体的なモデルは、それが露呈するパターンほど重要ではない。

今日の主要なガードレールはすべて、本質的にはプレーンテキスト内の悪意を認識するフィルターである。暗号化、エンコード、難読化は、ペイロードがコンテキスト内でデコードされた後のモデルの応答意欲には触れることなく、そのフィルターを無効化する。これは同じ核心的弱点の3度目か4度目の再定式化である。安全層はプロンプトの表面を検査するが、それが引き起こすアクションの結果は検査しない。防御が入力層に存在する限り、攻撃者は指示を密輸する新しい封筒を見つけ続けるだろう。

グローバル企業にとっての戦略的転換点は、リスクがモデルからそれを取り巻くハーネスに移行したことだ。不快な発言をするチャットボットは評判上の問題である。ツールアクセス、メモリ、ネットワーク出口を持ち、隠された指示に従うエージェントは、データ流出問題である。モデルがAPIを呼び出し、内部文書を読み、外部リクエストを送信できる瞬間、プロンプトインジェクションはコンテンツモデレーション問題ではなくなり、パッチ未適用のリモートコード実行クラスの脆弱性となる。真の防御はアーキテクチャレベルに属する。最小権限のツールスコープ、厳格な出口許可リスト、出力検証、そして発信元に関わらずすべてのモデル入力を信頼できないものとして扱うことだ。

日本企業とSIerにとって、これは不都合なタイミングで到来している。多くの企業がAIエージェントをパイロットから本番環境へ移行し、LLMを既存のRPA基盤に重ね合わせており、多くの場合レガシー自動化への後付けとして実装している。日本の企業セキュリティは長年、境界とネットワーク境界モデルに依存してきたが、これは操作されると自発的に外部に手を伸ばすエージェントには不適合である。LLM自律性を与えられたRPAボットは、処理する文書やウェブページ内のあらゆるインジェクション経路を継承する。

ここでの機会は、それを構築する意欲のあるSIerにとって具体的である。防御可能な層はモデルではなく、急速にコモディティ化しているモデルではなく、その周囲の安全なオーケストレーションである。サンドボックス化された実行、機密アクションに対する人間参加型承認、エージェント出口での情報漏洩防止、J-SOXと内部ガバナンスを満たす監査証跡だ。出口制御や出力検証なしに日本企業へAIエージェントを出荷するベンダーは、責任を出荷している。エージェントセキュリティを機能チェックボックスではなく第一級の成果物として扱うベンダーが、最終的に導入を左右する企業の信頼を勝ち取るだろう。