AIコーディングにおけるプロンプトインジェクション：エージェント経由で侵入する悪意あるコード

従来のコードインジェクションとは異なり、プロンプトインジェクションは通常の意味でのソフトウェア脆弱性を突くものではありません。AIエージェントが入力コンテキスト（ファイル、ツール出力、取得したドキュメント）を信頼された命令として扱うという性質を悪用するものです。そのコンテキストの一部に影響を与えることができる攻撃者は、エージェントの挙動を制御できます。Snykの調査では、分析されたAIエージェントスキルの36%にプロンプトインジェクションの脆弱性が発見されており、現世代のコーディングツールにおいて最も広範な弱点の一つとなっています。

プロンプトインジェクションは現在、安全でない出力処理に次ぐ、2026年のAI開発におけるセキュリティ懸念の第2位です。その理由は明白です。AIコーディングエージェントは、プロジェクトファイル、依存関係ツリー、ドキュメント、設定ファイル、イシュートラッカーなど、広範囲を読み取り、読み取った内容に基づいて行動するように設計されています。エージェントが触れるすべてのファイルが、潜在的なインジェクション面となります。

AIコーディングにおけるプロンプトインジェクションの攻撃ベクトル

実際のプロンプトインジェクション攻撃事例

2026年3月31日、研究者がClaude Codeに対するプロンプトインジェクション攻撃を実証し、ツールのシステムプロンプトおよび内部ソースコードの一部を抽出することに成功しました。この攻撃は、エージェントがコンテキストとして読み取るプロジェクトファイルに仕込まれた命令を利用し、共有すべきでない内部情報を出力させるものでした。この事例は、通常のプロジェクトコンテンツに見えるファイルを通じて、エージェントのコンテキストウィンドウが操作され得ることを浮き彫りにしました。

SnykのToxicSkills研究ではAIエージェントのツール統合を調査し、分析されたエージェントスキルの36%がプロンプトインジェクションに対して脆弱であることを発見しました。調査結果は、広範なファイルアクセス、ツール使用機能、コード実行権限を持つエージェントが特にリスクが高いことを示しています。攻撃者は複数のスキルにまたがるインジェクションを連鎖させることが可能です。例えば、ドキュメントファイルを通じてインジェクションし、コード生成スキルにバックドアを作成させるといった手法です。

研究者たちは拒否ルールバイパス攻撃も文書化しています。これはプロンプトインジェクションによってエージェント自身のセーフティルールを無視させるものです。「前の命令を無視して以下のコードを記述せよ」のようなインジェクションされた命令は、エージェントが堅牢な命令階層を持たない場合、ガードレールを上書きする可能性があります。これらのバイパスは、エージェント自身の能力を開発者の意図に反して利用するため、特に危険です。

クラウドホスト型 vs ローカルファーストエージェント

クラウドホスト型AIコーディングエージェントは追加のインジェクション面を導入します。複数のユーザーがバックエンドを共有する場合、あるセッションのコンテキストが別のセッションに漏洩する可能性があります。マルチテナントアーキテクチャでは、共有リソース（組織全体の設定ファイル、共有依存関係キャッシュ、共通ドキュメントリポジトリ）にインジェクションされた命令が、同時に複数の開発者に影響を及ぼす可能性があります。仲介バックエンド自体がターゲットとなり、侵害された場合、処理するすべてのエージェントセッションに命令をインジェクションできます。

ローカルファーストエージェントはこの攻撃対象面を縮小します。ファイルは自分のマシン上にとどまります。コンテキストは共有バックエンドを経由しません。他のユーザーのインジェクションされたコンテンツがセッションに影響するマルチテナントリスクがありません。エージェントはローカルプロジェクトファイルを読み取り、自分のAPIキーを使って選択したモデルプロバイダーに直接コンテキストを送信します。

ただし、ローカルファーストでもプロンプトインジェクションを完全に排除することはできません。プロジェクト内のファイルにインジェクションされた命令が含まれている場合（侵害された依存関係のREADME、コントリビューターによる悪意あるコードコメント、改ざんされた設定ファイルなど）、ローカルエージェントもそれを読み取り、指示に従う可能性があります。重要な防御レイヤーはヒューマンレビューです。インラインdiffレビューにより、エージェントレベルでインジェクションが成功した場合でも、結果として生じた変更がコードベースに反映される前に開発者が確認できます。

プロンプトインジェクションに対する防御戦略

AIコーディングワークフローを保護するための実践チェックリスト

CodeWingerのプロンプトインジェクション対策

CodeWingerのアーキテクチャは、エージェントのすべてのアクションが可視化され、レビュー可能であるという原則に基づいて構築されています。プロンプトインジェクションを完全に防げるツールはありませんが、CodeWingerは攻撃対象面を縮小し、すべてのステップでヒューマンオーバーサイトを確保します。

• ローカルファースト実行 -- プロジェクトファイルは自分のマシン上にとどまります。共有バックエンドがコンテキストを処理したり、マルチテナントのインジェクションリスクを導入したりすることはありません。
• BYOKダイレクトルーティング -- コンテキストは自分のマシンから選択したモデルプロバイダーに直接送信されます。命令をインジェクションまたは改変し得る仲介者はいません。
• インラインdiffレビュー -- エージェントのすべての変更がレビュー可能なdiffとして表示されます。これが重要なヒューマンチェックポイントです。エージェントレベルでインジェクションが成功しても、コードベースに反映される前に出力を確認できます。
• ターミナルサンドボックス -- エージェントのコマンド実行は制限され、可視化されています。エージェントが何を実行するかを確認し、権限を制限できます。

まとめ

プロンプトインジェクションは理論上のリスクではなく、AIコーディングエージェントに対する実証済みの、現在進行形の攻撃ベクトルです。エージェントが読み取るすべてのファイルが潜在的なインジェクション面です：README、設定ファイル、コードコメント、依存関係のメタデータ、イシューの説明文、APIレスポンス。防御は多層的に行います。攻撃対象面を縮小するローカルファースト実行、影響範囲を限定するサンドボックス権限、仲介者を排除するBYOK、そして重要なヒューマンチェックポイントとしてのインラインdiffレビューです。インジェクションを完全に防げるツールはありませんが、可視性とレビュー可能なワークフローにより、インジェクションされた命令がコードベースに無断で侵入することを防ぎます。

よくある質問