CrowdStrikeは2026年7月7日、AIエージェントを標的とする5つの新たなプロンプトインジェクション手法を公表した（海外のセキュリティメディアが報じたのは7月8日）。
同社は自社のプロンプトインジェクションの分類体系に18の新手法を追加し、文書化された手法の総数は200を超えた。今回取り上げられた5手法は、Trigger-Activated Rule Addition（PT0201）、Cognitive Token Suppression（PT0197）、Algorithmic Payload Decomposition（PT0200）、Special Token Injection（PT0198）、Unwitting User Context-Data Injection（IM0018）である。なお、5つ目については一部の二次報道でUnwitting User Delivery（IM0005）という表記も見られる。
これらはWebサイトの閲覧、内部データへのアクセス、コマンドの実行が可能なAIエージェントを対象とし、攻撃者がエージェントの取り込むデータに悪意ある指示を埋め込む間接的な攻撃を含む。CrowdStrikeは、組織がプロンプト、API、メール、SaaSプラットフォームを含むあらゆるデータソースを対象にAIの脅威モデリングを拡張し、複数手法を組み合わせた多段階攻撃を考慮する必要があると述べている。
From: 
CrowdStrike Unveils 5 New Prompt Injection Techniques Challenging AI Agents
【編集部解説】
CrowdStrikeが今回の18手法を公表したのは、正確には2026年7月7日です。翌8日に海外の各セキュリティメディアが一斉に報じたため、日付が混在して伝わっていますが、発表主体の一次情報は7月7日付、執筆はデビッド・ケラー氏です。まずこの点を押さえたうえで、なぜ今このニュースを取り上げるのかをお伝えします。
背景にあるのは、AIの使われ方が「チャットボット」から「エージェント」へと移り変わったことです。文章を返すだけのAIであれば、悪意ある指示を紛れ込ませても、被害は比較的限定的でした。ところが、Webを巡回し、社内ファイルを読み、コマンドまで実行できるエージェントが相手になると、同じ攻撃が実世界の操作へと直結します。今回の5手法が「エージェントを狙う」と明言されている意味は、ここにあります。
元記事では触れられていませんが、この分類体系には理解を助ける「二軸構造」があります。CrowdStrikeは攻撃を、悪意ある指示がどう届くか（Injection Method＝IM）と、届いた指示がどう仕立てられているか（Prompting Technique＝PT）の2つの軸で整理しています。手法コードの接頭辞がその手がかりで、今回の5手法のうち1つがIM番号、残る4つがPT番号なのは偶然ではありません。前者は「配送経路」の話、後者は「文面の細工」の話なのです。この視点を持つと、5手法が別々の奇策ではなく、一つの攻撃を構成する部品として見えてきます。
なお、5つ目の手法名・コードについては、典拠によって表記が分かれている点に触れておきます。CrowdStrike公式ブログの本文では「Unwitting User Context-Data Injection（IM0018）」と記載されています。一方、転記元のCyber Security Newsなど一部の二次報道では「Unwitting User Delivery（IM0005）」と表記されています。本記事では一次情報で確認できるIM0018を主表記とし、二次報道側の表記も補足しました。このIM0018は、ユーザーをだまして悪意ある「プロンプト」を直接入力させるのではなく、文書への貼り付け、添付ファイルのアップロード、メモの保存、メールの転送、チケットやCRMレコードの更新といった何気ない操作を通じて、AIが後で読み込む「コンテキストデータ」の側に指示を忍ばせる手口です。ユーザーの入力自体は無害でも、周囲のデータに毒が仕込まれている——そこが巧妙な点です。
他の手法もかみ砕くと、その巧妙さが分かります。トリガー起動型ルール追加は、審査の場では無害な文に見え、特定の合図で初めて牙をむく「時限式」の仕込みです。アルゴリズム的ペイロード分解は、命令をパズルのピースに切り分け、AI自身に組み立てさせることで、単語単位の検閲をすり抜けます。特殊トークン注入は、システムが内部で使う「仕切り」を偽造し、ただのユーザー入力を上位の命令へと昇格させてしまう手口です。
一点、訂正しておきたい箇所があります。参照元の一覧では、認知トークン抑制（Cognitive Token Suppression）を「重要な指示をAIに無視・見落とさせる手法」と要約していました。しかし一次情報の定義はより限定的で、これは拒否・謝罪・ポリシーに関する語彙をあらかじめ封じ、モデルが安全な断り方を選びにくくする手法です。必ず従わせるわけではなく、あくまで安全側の表現を細らせる、という点が本質になります。誇張のない理解のために補足します。
このニュースが示すのは、脅威が「派手なジェイルブレイク」から「静かな多段構え」へ移行したことです。CrowdStrikeの2026年グローバル脅威レポートによれば、2025年には90を超える組織で、正規の生成AIツールに悪意あるプロンプトが注入され、認証情報や暗号資産を窃取するためのコマンド生成に悪用されました。AIを悪用する攻撃者の活動は前年比89%増。OWASPはプロンプトインジェクションをLLMアプリの最重要リスク（LLM01）に位置づけています。数字が、この問題の現在地を物語っています。
規制の観点も見逃せません。米国では2026年6月2日に署名された大統領令14409を受けて、AIセキュリティの整備が進み、CrowdStrikeもその文脈で防御論を展開しています。攻撃手法が体系化・公開されることは、防御側の共通言語を育てる一方で、規制当局が「何を測り、何を求めるか」を定義する土台にもなり得ます。分類の充実は、いずれ監査やコンプライアンスの物差しへとつながっていくでしょう。
長期の視点で見れば、今回の公表は「AIの脆弱性が、ソフトウェアの脆弱性と同じように番号を振って管理される時代」の到来を告げるものです。ソフトの弱点に共通IDを与えるCVEが防御を前進させたように、プロンプトインジェクションにも地図が引かれ始めました。ただし、CrowdStrikeの分類体系はあくまで同社が整備するIDであり、CVEのような公的・業界横断の脆弱性識別制度そのものではない点には注意が必要です。それでも、攻撃者の創意が尽きない以上、地図があれば少なくとも「どこが未踏か」は分かります。AIを未来の道具として使いこなす私たちにとって、この地図を読む力こそが、次の必須リテラシーになるはずです。
【用語解説】
プロンプトインジェクション
AIへの入力（プロンプト）に不正な指示を紛れ込ませ、本来の命令や安全機構を無視させる攻撃の総称である。OWASPがLLMアプリの最重要リスクに挙げている。
AIエージェント
指示に応じて自律的にWeb閲覧、ファイル操作、コマンド実行などを行うAIシステムを指す。文章を返すだけのチャットボットより権限が広く、攻撃の被害が実際の操作へ波及しやすい。
タクソノミー（分類体系）
攻撃手法を体系立てて整理・命名した目録のこと。CrowdStrikeのものは「指示の届け方（Injection Method＝IM）」と「文面の仕立て方（Prompting Technique＝PT）」の二軸で構成される。手法コードの接頭辞（IM／PT）はこの軸を表す。
エクスフィルトレーション
機密データを外部へ密かに持ち出す行為を指す。今回の「休眠型」手法では、起動後にデータを外部へ送信する例が想定されている。
ジェイルブレイク
AIの安全制限を外して禁止された出力を引き出す試みのこと。OWASPは、安全プロトコルを無視させるプロンプトインジェクションの一形態と位置づけている。
大統領令14409
米国のAI政策に関する大統領令で、正式名称は「先進的な人工知能のイノベーションと安全保障の促進」。2026年6月2日に署名された。連邦政府のサイバー防御強化などを柱とし、CrowdStrikeもAIセキュリティ整備の文脈で言及している。攻撃手法の体系化は、こうした規制・監査の土台にもなる。
【参考リンク】
CrowdStrike（公式サイト）（外部）
今回の18手法を公表したセキュリティ企業の公式サイト。エンドポイント防御やAIセキュリティ製品を提供している。
CrowdStrike Uncovers New Prompt Injection Techniques（外部）
本件の一次情報。5手法の定義と、セキュリティチームが取るべき4つの対策を示した公式ブログである。
Taxonomy of Prompt Injection Methods（外部）
プロンプトインジェクション手法を二軸で整理した分類体系のダウンロードページ。攻撃の全体像を把握できる。
OWASP Top 10 for LLM Applications（外部）
LLMアプリ特有のリスクをまとめた国際的なガイドライン。プロンプトインジェクションを最重要項目に据えている。
The White House（大統領令14409 原文）（外部）
編集部解説で言及した大統領令14409の原文。AIのイノベーションと安全保障の促進に関する政策を定めている。
【参考記事】
CrowdStrike 2026: Prompt Injection Hit 90 Organizations, Doubled AI Attacks（外部）
2025年に90超の組織へプロンプト注入、攻撃量は前年比89%増などの数値を、脅威レポートから整理している。
AI Prompt Injection: A Feature not a Bug（外部）
2025年時点でCrowdStrikeが150超の手法を追跡し、30万超の敵対的プロンプトを分析したと伝える解説記事。
CrowdStrike Uncovers 5 New Prompt Injection Techniques Targeting AI Agents（外部）
一次情報を7月7日付レポートとして報道。攻撃が多段的・複合的な形へ移行していると整理している。
The Prompt Injection Taxonomy That Exposes How Shallow Most Defenses Are（外部）
分類体系の二軸構造を掘り下げ、多くの防御が片方の軸しか見ていないと指摘する解説記事。
After Executive Order 14409: Next Steps for Securing AI（外部）
大統領令14409がAIの安全性確保をセキュリティの根幹と位置づけると解説した記事。規制パートの裏付け。
【関連記事】
ChatGPT「要約」が罠に変わる新攻撃ChatGPhish──見たページが”弾丸”になる仕組みとは
AIが読み込んだWebページに指示を仕込む間接型攻撃。本記事のIM0018と同型の脅威を実例で示す一本。
Microsoft 365 Copilot「SearchLeak」脆弱性、ワンクリックで情報窃取
間接プロンプトインジェクションが実被害に至った事例。本記事の「手口」に対する「実害」を補う内容。
Microsoft AzureやMistral AIも標的に、音声AIを乗っ取る新攻撃「AudioHijack」
音声という別経路からの間接注入を実証。攻撃の「配送経路」が多様化している現実を示す。
ClawHubに341個のマルウェアスキル、AIエージェント時代の新たな脅威
休眠型（ロジックボム型）やメモリポイズニングなど、本記事のPT0201と重なる手口を解説する。
【編集部後記】
プロンプトインジェクションという言葉は、どこか専門家だけの話に聞こえるかもしれません。けれど今回の5手法を眺めていて印象に残ったのは、その多くが「特別な技術」ではなく「人の思い込み」を突いてくる点でした。無害に見える一文、いつもの投稿、正規のユーザー操作——攻撃者は、私たちがAIに寄せる信頼そのものを経路として使います。だからこそ、防御の第一歩は高度なツールよりも先に、「このデータは、本当にAIに渡してよいものか」と一度立ち止まる習慣なのかもしれません。この記事が、みなさんがAIとの距離感を自分の意思で決めるための、小さなきっかけになれば嬉しいです。
