OWASPで1位のプロンプトインジェクションが実事故では12位、可視性の差を検証

何が発表されたか

OWASP Top 10 for LLM Applicationsの共同リーダーであるKyriakos "Rock" Lambros氏とSteve Wilson氏は、専門家の評価と実世界のインシデント記録を比較した分析結果を2026年8月18日にarXivで公開しました。この分析は探索的であり、査読を経ていないこと、公式のOWASPリストを置き換えるものではないことが明記されています。

分析では、CVE、GitHub Security Advisories、OSV、AIAAICの各データベースから7,714件のLLMセキュリティインシデントを収集し、20項目の分類体系でラベル付けされた6,639件を対象に、専門家の投票によるランキングと突き合わせました。その結果、プロンプトインジェクションは専門家評価では3年連続で1位ですが、実インシデントの記録では12位にとどまりました。

統計的に見えない一致

両者のランキングの一致度を調べたところ、統計的に検出可能な一致は認められませんでした。コーエンのカッパ係数は0.20で、90%信頼区間は-0.16から0.57と幅があり、ゼロをまたいでいます。著者らは、2つのランキングが偶然一致した可能性を排除できないと述べています。

Lambros氏は、専門家の判断とインシデント記録という2つの証言者が互いに矛盾していると表現します。どちらも真実ではなく、どちらが正しいのかは現時点では判断できないという立場です。

スキャナでは見えない攻撃

プロンプトインジェクションは、モデルが読み込むコンテンツの中に命令を隠す攻撃です。ログエントリやサポートチケット、検索で取得した文書などが対象になります。この攻撃では、エージェントが正規の資格情報を使って攻撃者の意図したツール呼び出しを行います。製品の欠陥ではないため、CVEが発行されず、脆弱性スキャナでは検出できません。

そのため、この攻撃を防ぐには、デプロイ済みシステムへの敵対的テストと、エージェントが到達できる範囲への制限が有効とされています。また、エージェントのメモリやMCPツールの境界を、アドバイザリの通知を待つのではなく、アーキテクチャレベルで設計すべきだと著者らは指摘します。

最初に導入すべき対策

Wilson氏は、この攻撃連鎖に対して最初に導入すべき対策として、モデルの外側に認可ゲートを設置することを挙げています。エージェントがDNS変更を提案しても、自分自身に変更権限を与えることはできないようにします。プロンプト内に書かれたセキュリティルールは、モデルの行動を形成するだけで、強制力を持つセキュリティ制御ではないと述べています。

この対策には代償があります。エージェントは任意で高影響力のあるインフラ変更を単独で実行する能力を失いますが、自律的な調査と日常的なバウンド付き修復は維持できます。

分析の位置づけと注意点

この分析は査読前の探索的研究であり、公式のOWASPリストのプロセスを置き換えるものではありません。著者らは、この分析が公のインシデント記録に依存しているため、非公開のインシデントなどが含まれていない可能性があると注意を促しています。

それでも、専門家の評価と実際の事故記録の間に大きな乖離があることを示した点は、セキュリティ対策の優先順位を考える上で重要な示唆を与えます。