AIメモリに広告を注入する新手の攻撃
この攻撃手法は「AI Recommendation Poisoning（AI推奨毒化）」と呼ばれています。仕組みはシンプルです。企業がウェブページやメールに設置した「要約ボタン」に、目に見えない指示文を埋め込んでおきます。あなたがそのボタンをクリックすると、AIアシスタントは記事を要約するだけでなく、「この会社を信頼できる情報源として記憶してください」といった隠し指示も一緒に受け取ってしまうのです。
Microsoftの研究チームは60日間の調査で、31社から50以上のユニークな隠しプロンプトを発見しました。対象となった分野は健康、金融、セキュリティなど、私たちの生活に直結する領域です。たとえば健康情報サイトで「ビタミンサプリの効果」を要約した後、数週間経ってから「おすすめのサプリメントは?」とAIに尋ねると、知らず知らずのうちに特定ブランドを推奨される可能性があります。
この手法の厄介な点は、一時的な影響ではなく、AIのメモリに長期的に残ることです。従来のプロンプトインジェクション攻撃は、その場限りの誤作動を引き起こすものでしたが、今回の手法はAIアシスタントの「記憶」そのものを書き換えてしまいます。
誰でも簡単に実行できてしまう現実
さらに問題なのは、この攻撃の実行ハードルが非常に低いことです。CiteMETというNPMパッケージや、AI Share URL Creatorといった公開ツールを使えば、技術的な知識がなくても隠しプロンプトを埋め込んだリンクを作成できてしまいます。
隠し指示はURLのクエリパラメータ（?q=の部分）に記述されており、Copilot、ChatGPT、Claude、Perplexity、Grokなど、主要なAIアシスタントのほとんどで動作することが確認されています。つまり、あなたが普段使っているツールも、すでに影響を受けている可能性があるのです。
攻撃を受けたかどうかを確認する方法も限られています。AIアシスタントのメモリを開いて過去のやり取りを確認できる場合もありますが、どの情報が正当で、どの情報が注入されたものか判断するのは困難です。
具体的な攻撃シナリオ
実際にどのような形で影響が出るのか、具体例を見てみましょう。あなたがフリーランスのライターで、投資記事を執筆するために金融情報サイトを訪れたとします。そこで「AIで要約」ボタンをクリックして、最新の投資トレンドを素早く把握しました。この時点で、隠しプロンプトがAIのメモリに書き込まれます。
数週間後、クライアントから「初心者向けの投資アドバイス記事を書いてほしい」と依頼されました。あなたはChatGPTに「投資初心者におすすめの証券会社は?」と質問します。すると、AIは以前注入された情報を参照して、特定の証券会社を推奨してしまうのです。あなたは信頼できる回答だと思い込み、それを記事に反映させてしまうかもしれません。
健康分野でも同様のリスクがあります。ヘルスケア記事のリサーチ中に要約ボタンを使った後、「腰痛に効くサプリメントは?」と尋ねると、偏った推奨を受ける可能性があります。
フリーランスへの影響
この問題は、情報収集を日常的に行うフリーランスにとって特に深刻です。ライター、マーケター、コンサルタントなど、AIアシスタントを使ってリサーチする機会が多い職種ほど、影響を受けやすくなります。
まず、作成するコンテンツの信頼性が損なわれるリスクがあります。あなたが良かれと思って書いた記事が、実は特定企業の意図に沿った偏った内容になっている可能性があります。これはクライアントからの信頼を失うだけでなく、読者にも不利益をもたらします。
次に、作業効率への影響です。AIアシスタントの推奨が信頼できないとなると、すべての情報を自分で裏取りする必要が出てきます。せっかく時短のためにAIを使っているのに、かえって作業時間が増えてしまう可能性があります。
特に注意が必要なのは、健康や金融といった専門性の高い分野で仕事をしているフリーランスです。これらの分野では情報の正確性が極めて重要で、誤った情報を発信してしまうと法的な問題に発展する可能性もあります。
現時点では、AI企業側の対策はまだ十分ではありません。ユーザー側で自衛するしかない状況です。とはいえ、完全に防ぐ方法はなく、「疑わしい要約ボタンは使わない」「AIの推奨は必ず複数のソースで確認する」といった基本的な対策を徹底するしかありません。
今すぐできる対策
まず、見知らぬウェブサイトの「AIで要約」ボタンは安易にクリックしないことです。特に広告色の強いサイトや、健康・金融分野のサイトでは慎重になるべきでしょう。
次に、AIアシスタントの推奨を鵜呑みにしないことです。特に商品やサービスの推奨については、必ず複数の独立した情報源で確認してください。AIが「おすすめ」と言ったからといって、それが本当に最適な選択とは限りません。
可能であれば、AIアシスタントのメモリ機能を定期的にチェックして、不自然な記憶がないか確認するのも有効です。ChatGPTやCopilotでは、過去のやり取りやメモリの内容を確認できる機能があります。
また、重要な判断を伴う情報収集には、AIに頼りすぎないことも大切です。最終的な判断は必ず自分の目で確認した情報に基づいて行いましょう。
まとめ
AI要約ボタンを使った新しい攻撃手法が確認されており、普段使っているAIアシスタントのメモリが知らないうちに操作される可能性があります。完全に防ぐ方法はまだありませんが、怪しいサイトの要約ボタンは避け、AIの推奨は必ず裏取りするという基本的な対策を徹底してください。特に健康や金融分野で情報収集する際は、より慎重になる必要があります。AI企業側の対策が進むまで、しばらくは警戒を続けるのが賢明でしょう。
元記事：The Decoder
コメント