技術要約：プロンプトインジェクションの解剖学
問題提起
2022年にプロンプトインジェクションが最初に特定されてから4年が経過したが、この分野には攻撃を分析するための標準化されたコンポーネントベースのモデルが欠如している。現在、プロンプトインジェクションのアーティファクトは、構造化されたエクスプロイトとしてではなく、主に逐語的な文字列として記録されている。この「文字列マッチング」によるアプローチは、分析において重大な不一致を生じさせている。例えば、あるアナリストは「DAN（Do Anything Now）」プロンプトと、履歴書の中に隠された白地に白のテキスト（white-on-white text）が、同じ種類の脅威であるかどうかで意見が分かれる可能性がある。
LLM（大規模言語モデル）エージェントの能力が増大するにつれ、攻撃は技術的なITシンク（データベース、Webアプリケーション）を標的にし、AIによるセキュリティ分析（例：マルウェアのトリアージ）を操作するようになっている。現在のコンポーネントモデルの欠如により、防御者、レッドチーマー、およびサイバー脅威インテリジェンス（CTI）チームは、攻撃を効果的にラベル付け、比較、および変異させることができない。また、SQLインジェクションの類推に頼ることは、緩和策の指針として不適切である。なぜなら、LLMにはデータと命令の固有の区別が存在せず、パラメータ化クエリによって残留リスクを排除することが困難だからである。問題は単なる攻撃文字列ではなく、アーティファクトの機能的役割を記述するための共通言語の不在にある。
メソドロジー
本論文は、プロンプトインジェクションのアーティファクトの構造を定式化するために、7つのコンポーネントモデルを提案している。このモデルは、アーティファクト自体を記述する5つのフィールドと、環境を記述する2つのフィールドに分解して構成される。メソドロジーは以下の通りである：
- 機能的役割の定義： 表層的な言い回しを超えて、攻撃が成功するために実行しなければならない特定の役割（例：「隠蔽（concealment）」と「キャリア（carrier）」の区別など）を特定する。
- ラベル付けルールの確立： コーダー間の不一致を減らすための決定ルールを作成し、同じ意図にマッピングされる異なる自然言語の実装が、同じ構造的ラベルを受け取るようにする。
- 先行研究との相互参照： 新しいモデルを既存のフレームワーク（キャンペーン・タクソノミー、テクニック・タクソノミー、HOUYI、ReNeLLM、Promptware Kill Chain）と照らし合わせ、新モデルがこれまでのフレームワークが部分的にしかカバーしていなかった機能空間をどのように網羅しているかを実証する。
- 実例の適用： EchoLeak脆弱性（CVE-2025-32711）や、AIによるセキュリティ分析を回避しようとする実世界のマルウェアサンプルを含む、現実世界および例示的なケースにモデルを適用する。
主な貢献
1. 7つのコンポーネントモデル
核心となる貢献は、プロンプトインジェクションを7つのコンポーネントに構造的に分解することである：
アーティファクト・フィールド（プロンプト本体）：
- キャリア (Carrier): 悪意のある命令を運ぶ、一見無害に見えるコンテンツ（例：バグ報告、履歴書、カレンダーの招待状）。これは人間のレビューや機械による検索を生き残らなければならない。
- 隠蔽 (Concealment): 人間やフィルターによる検知を回避するために設計された、難読化レイヤー（例：白地に白のテキスト、Base64エンコーディング、言語の切り替え）。
- コンテキスト・ブレイク (Context-Break): プロンプトインジェクションにおける「');--」のような構文脱出であり、信頼された命令のコンテキストを終了させ、後続のテキストを新しい命令として解析させる。
- 権限昇格 (Privilege Escalation): コンテキスト・ブレイクとは異なり、モデルが「何をできるか」または「何をしようとするか」を変更する。これは、アライメント回避 (Alignment Bypass)（ペルソナや感情的操作による拒絶訓練の打破）と、能力濫用 (Capability Abuse)（「困惑した代理人（confused deputy）」パターンのように、エージェントが既に保持している権限を使用するように強制すること）に分かれる。
- ペイロード (Payload): 実行可能な命令（シェルコード）。論文では機能クラス（偵察、漏洩、アクション、永続化、DoS、セキュリティ転覆）を定義し、表層的な言い回しではなく意図 (Intent)（対象となるツール、シンク、効果）を追跡することを強調している。
環境フィールド：
- 配信ベクトル (Delivery Vector): アーティファクトが信頼境界にどのように入るか（直接的 vs 間接的）。間接的な配信（例：毒されたRAGドキュメント）は、攻撃者の労力とは独立してスケールする。
- リターンチャネル (Return Channel): 結果がどのように攻撃者に到達するか（インライン、HTTP、DNS、メール、コラボレーションプラットフォーム、または「Null」による送りっぱなしの攻撃）。
2. 論理分析レコード
論文は、インシデントを記録するためのJSON形式のスキーマを導入している。このレコードは、意図 (Intent)（目的、例：show_current_customer_information）、サーフェス (Surface)（具体的な言い回しやエンコーディング）、およびコンパイルされた効果 (Compiled Effect)（実際のツール呼び出しやアクション）を分離する。これにより、レキシカル（語彙的）な重複が全くなくても、同じ「テクニックの形状」を共有するキャンペーンを分析者がクラスタリングすることが可能になる。
3. クロスウォークと投影
論文は、7つのコンポーネントをPromptware Kill Chainにマッピングするクロスウォークを提供し、既存のフレームワーク（HOUYI、ReNeLLM）がこのモデルの制限された部分空間への投影であることを示す。例えば、ReNeLLMの2つのコンポーネントによる結果は、直接的なジェイルブレイクの有効だが限定的なビューであることが示されており、複雑なエージェント型攻撃には完全なモデルが必要である。
結果と例示的ケース
論文は、以下の実例を通じてモデルを検証している：
- EchoLeak (CVE-2025-32711): キャリアが不正なメールであり、配信がRAG経由の間接的なものであり、ペイロードがエージェントが既に保有していた権限を使用して秘密情報を抽出するという、**能力濫用 (Capability Abuse)**攻撃として実証された。リターンチャネルは、Microsoftのサーバーを経由してデータをプロキシするために、参照形式のMarkdown画像を利用した。
- AI回避マルウェアサンプル: VirusTotalにアップロードされた実世界のサンプル（プロジェクト「Skynet」）は、AIアナリストを操作しようとした。バイナリはキャリアとして機能し、ペイロードの意図はセキュリティ転覆 (Security Subversion)（具体的には
mark_benign）であった。リターンチャネルはNullであり、目的は情報の漏洩ではなく、トリアージの決定を変更することであった。
- エージェント型複合体: 毒されたJiraチケット（キャリア）とHTMLコメント（隠蔽）、および偽造されたシステムタグ（コンテキスト・ブレイク）を組み合わせ、ダウンストリームのツールを介してSQLインジェクションを誘発する例示的な例。
意義と主張
論文は、このコンポーネントモデルが、現在欠落している攻撃、防御、および脅威インテリジェンスのための共通言語を提供すると主張している。その意義は以下の点にある：
- 標準化: 脆弱な文字列シグネチャではなく、意図と構造に基づいて攻撃を分類することを可能にする。異なる言い回しであっても、コンポーネントのタプル（配信、コンテキスト・ブレイク、権限昇格、意図、リターンチャネル）が同じであれば、それらは同じテクニックの形状として識別される。
- 検出と分析の向上: 機能的役割（例：アライメント回避と能力濫用の区別）に焦点を当てることで、防御者は攻撃のメカニズムをより深く理解できる。論文は、タクソノミに基づいたプロンプティングがジェイルブレイクの検出率を向上させる（先行研究において65.9%から78.0%へ）という証拠を引用しており、構造化されたラベルが分析を強化することを示唆している。
- CTIへの有用性: モデルは、AIによる分析を操作するためにプロンプトインジェクションを埋め込んでいる場合でも、キャンペーンやマルウェアサンプルをクラスタリングすることを可能にする。また、STIX 2.1やMITRE ATLASといった業界標準へのマッピングをサポートする。
- レッドチームの有効化: レッドチーマーが、意図の連鎖を固定したまま一つのコンポーネントずつ変化させることを可能にし、不透明な文字列の反復試行ではなく、体系的な変異とテストを促進する。
論文は、このモデルはガードレール構築のための規範的なものではなく、記述的なものであるという控えめな立場を維持している。成功はモデルに依存し、非決定的であることを認めており、バイナリな成功指標ではなく、期待される攻撃成功率（ASR）の範囲を記録することを推奨している。主な価値提案は、エージェント型およびハイブリッド型の攻撃に不可見な、プロンプトインジェクションのアーティファクトを機能的役割に沿って分解できる能力であり、これは単一の先行フレームワークでは不可能であった。