間接プロンプトインジェクション に関する先行研究は、この攻撃が機能することを立証したが、主に制御された条件やベンチマーク上の条件で研究してきた。本論文は別の問いを立てる。サイトやコンテンツの所有者が、プロンプトのような指示を実際の Web ページにすでに仕込んでいるのか、もしそうならどの程度の規模で、何を目的とし、どのような効果を持つのか、という問いである。著者らは Common Crawl、Censys、Shodan から得た 2,480 万ホストにわたる 12 億の URL を分析し、3,963 個のプロンプトインジェクション指標と照合したうえで、構造的なグルーピングと 2 人のレビュアーによる手作業の検査を組み合わせた半自動のプロトコルですべての一致を検証した。その結果、2,042 ホストの 11,722 ページにわたる 15,387 件のインスタンスが確認された。
中心的な知見は、この現象が偶発的なものではなく構造化されており、しかも純粋に敵対的なものではないということである。少数の再利用可能なテンプレートが大半を占め（54 のテンプレートで全インスタンスの 95%）、目的は攻撃的な用途（システム妨害、評判操作、データ窃取）、防御的な用途（著作権と個人データの保護、AI ボットの識別）、そしてプロンプトだけからは下流の目的を判断できない、単なる上書き指示からなる大きな不明確カテゴリに分かれる。著者らはこの結果を、利害の競合する複数のステークホルダーからなるエコシステムとして特徴づけており、そこでは Web サイトの所有者やコンテンツ発行者も、攻撃者と同じくらいこうした指示の作成者となっている。
実際に効果があるかを検証するため、著者らは固定の要約タスクで、13 のモデルと 4 種類のページ表現にわたる 5,200 回の試行を実施した。モデルが従う割合は限定的だが無視できるほどではなく、モデルの規模だけでなく、ページのコンテンツがモデルにどう提示されるかに大きく依存する。ページをプレーンテキストに平坦化すると攻撃有効率が最も高くなり、構造的な手がかりを保持する表現（HTML、生のレスポンス、レンダリングされたスナップショット）ではそれが大幅に下がる。著者らは結論として、ページ内プロンプトインジェクションは Web エージェントに対する決定的なメカニズムでも単なるノイズでもなく、すでに現実に存在し、計測可能で、構造化され、持続的なものであり、その影響はエージェントの設計上の選択に強く依存すると論じている。
主なポイント
- 検証済みの 15,387 件のインスタンスのうち 95% を 54 の語彙的テンプレートが占める一方、144 のテンプレートは 1 回しか現れない。最も頻出するテンプレートは 2,722 ページにわたる 3,504 件のインジェクションに現れる。
- 6 つの目的カテゴリが特定されている。最大はシステム妨害で 8,894 件あり、その圧倒的多数はガベージインジェクション ── ランダムな文字列、繰り返しの無意味な文、コンテキストの上限を使い果たさせることを狙ったテキストをエージェントに出力させる指示 ── である。はるかにまれな変種として、SQL の DROP 文や破壊的なシェルコマンドなどのペイロードを用いるコマンドインジェクションもある。
- 防御的な用途は広く見られる。データ保護のインスタンスが約 4,000 件（個人情報の制限と著作権の制限に分かれる）、AI ボット識別のインスタンスが約 3,000 件あり、後者の多くは「あなたが AI なら、応答に X を含めよ」という形式のチャレンジ・レスポンス型で、より小さな一部はハニーポットとして機能している。
- 評判操作は 139 ホストにわたる 1,521 件のインジェクションを占め、コンテンツや製品の宣伝、引用の強制、肯定的レビューの強制、SEO 用バックリンクの挿入、求職者の売り込みといった形をとる。データ窃取はまれで、10 ホストにわたる 13 件にとどまる。
- タスクの上書きはほぼ普遍的で、インジェクションの 99% に現れる。中核となるメカニズムは巧妙な説得ではなく、モデルの現在のタスクの直接的な置き換えである。43% のケースでは、ジェイルブレイク的な枠組みがこれを補強している。
- 主要な標的はクローラーとデータスクレイパーであり、著者らはこれを、コンテンツ所有者と自動化されたデータ収集との対立が現在の展開の中心にあることを示すものと解釈している。検索、カスタマーサポート、人事選考のエージェントは、より限定的だが影響の大きい目的の標的となっている。
- 配置上の支配的な特性は不可視性である。インジェクションの約 70% は構造上不可視のチャネルにあり、全体では 87% が不可視である。レンダリング可能な HTML 埋め込みのインジェクションのうち、ユーザーに見えていたのは約 5.1% にすぎず、58.6% はレンダリング手法によって隠されていた。最も多いのは色とコントラストの操作、遮蔽、ビューポートに基づく隠蔽である。
- HTTP レスポンスヘッダーは主要な経路であり、1,640 ホストにわたる 7,887 件のインジェクションを運んでいる。それらは X-AI と X-LLM を中心とする少数の非標準フィールドに集中している。構造化データ（最も多いのは、もともと検索エンジン向けの JSON-LD）は本文中のインジェクションの約 4 分の 1 を運んでいる。
- インジェクションは持続的である。2025 年 10 月のスナップショットで特定されたページのうち、3 か月前の時点ですでにインジェクションを含んでいたのは 93%、6 か月前では 77%、12 か月前では 65% だった。
- 有効性は表現によって大きく異なる。プレーンテキストでは 3.9% だったのに対し、HTML とレンダリングされたスナップショットでは 1.1%、生のレスポンスでは 0.2% だった。小規模モデルが最も影響を受けやすく、テキストでは 8.0% に達した一方、中規模モデルとクローズドソースのモデルはテキスト以外のすべての表現でほぼゼロだった。
- HTML や生の入力で攻撃有効率が低いことは、堅牢性を示すものではない。これらの表現はかなり長く、エラー率をそれぞれ 20.3% と 25.8% に押し上げるため、多くの場合、モデルはインジェクションをきれいに拒否するのではなく、使える出力を生成する前に失敗している。
- 検知は抵抗を意味しない。攻撃を指摘した頻度はクローズドソースのモデルが最も高く 25.1%、小規模モデルはまれで 4.8% だった。また著者らは、モデルが悪意ある指示を明示的に認識しながら、それでも従った事例を 6 件記録している。
補足
著者らは、自分たちの計測が下限値であることを明言している。コーパスは主に Web クロールに基づいており、認証を要するコンテンツやプラットフォームで制限されたコンテンツが過小に含まれている可能性があり、検出パイプラインは高度に難読化された変種や英語以外の変種を見逃しうる指標リストに依存している。有効性の評価は 1 つのタスク（Web ページの要約）と 4 種類の表現を対象としており、著者らはこれを、実運用の取り込みパイプラインを網羅するものではなく、制御された比較として提示している。
本研究は観察研究である。著者らは、コンテンツを注入したり、Web サイトを操作したり、稼働中のシステムに対して攻撃を試したりはしておらず、既存の公開コーパスとアーカイブに依拠し、有効性の実験はサンプリングしたページを用いてオフラインで実施したと述べている。影響を受けたサイトを特定すると望まない注目を集めてしまう一方、文字列だけでもデータセットの防御上の価値は保たれるという理由から、URL とドメインを取り除き、プロンプト文字列と派生ラベルのみを公開している。
より広い解釈として、著者らは、現在のページ内プロンプトインジェクションは制御よりも摩擦と劣化を通じて作用しており（53% は明確なアクセスルールを表現しておらず、エージェントを望ましい振る舞いへ誘導してもいない）、Web が自動化されたエージェントとオンラインコンテンツを公開する主体との間で争われるインターフェースになりつつあるという変化の初期段階として理解すべきだとしている。そのうえで、アクセスに関する意向を表明するための、非敵対的で機械可読かつ強制力のある仕組みが必要であると論じ、既存の Robots Exclusion Protocol がエージェントのアクセスを統制するのに十分かという問いを提起している。