オープンウェイトモデルは、エージェントとして動く場面で、データに埋め込まれた指示に流されやすい。セキュリティ企業のPromptArmorは2026年10月16日、実世界型の間接プロンプトインジェクション攻撃チェーンを用いた9800回の試験結果を公表した。オープンウェイト群の脆弱率は26.7%、プロプライエタリ群は14.2%で、前者が88%高かった。オープン群はDeepSeek、Kimi、GLM、Qwen、プロプライエタリ群はGPT、Claude、Geminiで、各社の最新フラッグシップと最新のコスト重視モデルが対象だった。
差が最大になるのは「答える」場面ではなく「動く」場面
間接プロンプトインジェクションの怖さは、攻撃者がモデルと直接対話しない点にある。指示はエージェントが読むウェブページや文書、メールに埋め込まれ、モデルはデータを命令として実行してしまう。差が最も際立った3つの攻撃サンプルはいずれも実際の動作を伴う。攻撃者のサイトを調査したエージェントが悪意あるコードを実行した場面では、オープン群49%に対しプロプライエタリ群9%。悪意ある文書を読んでフィッシングのログイン画面を表示した場面では36%対5%。注入されたメールを読み、Markdown画像経由でメール内容を漏らした場面では23%対9%だった。差は回答の口調ではなく、ツールと権限を持つエージェントが外部の指示を自分のタスクの一部と誤認するかどうかで生じている。
もう一つ直感に反する対照がある。フラッグシップとコスト重視モデルの比較では、プロプライエタリ各社の低価格モデルは自社フラッグシップより169%脆弱だった一方、オープン各社の低価格モデルは自社フラッグシップより約5%堅牢だった。個別では、ClaudeとGPT系列の新しい低価格モデルは旧フラッグシップより突破されやすく、QwenとDeepSeekの新しい低価格モデルは自社フラッグシップより堅かった。最新かどうかだけを聞いても不十分なのは明らかだ。
この数字の読み方
前提をはっきりさせておく。これはPromptArmorが自社開発の攻撃チェーンと評価環境で得た結果であり、同社が実際のエージェント製品で見つけたとする攻撃チェーンに基づく。第三者による独立した再現ではない。モデルのバージョン、システムプロンプト、ツールの設定で結果は変わるため、26.7%と14.2%は個別モデルの安全の最終判定ではなく、相対的なリスクの比較として読むべき数字だ。両群に共通するのは、どちらもゼロではないことである。成績の良い群でも14.2%は、実世界型の攻撃チェーンの約7回に1回が突破される計算になる。
エージェントを導入するチームへの実務的な結論は3つある。第一に、外部の文書、ページ、メールに触れるエージェントでは、注入への弱さをベンチマークや価格と並ぶ選定指標にすること。第二に、低価格モデルがフラッグシップの安全挙動を受け継ぐと決めつけず、自社の業務データで公開前に再試験すること。第三に、防衛をモデルの自覚だけに頼らず、ツールの最小権限、外部送信の二次確認、取得コンテンツを信頼できないデータとして明示するといったシステム側の対策を両群ともに講じること。外部評価が研究室の内部に入り込む動きについてはAnthropicが評価者を社内に招いた件 を参照。合わせて読むと、エージェント安全の確認方法がスコアから実攻撃チェーンへ移りつつあることが分かる。
