間接インジェクション：「このコンテンツを要約して」が攻撃対象領域になるとき
このページは、間接インジェクションを、正当なタスク（「要約する」「説明する」「抽出する」）を経由して、敵対的な指示を消費される文脈へと変換する権威への脅威として定義する。
プロンプトインジェクションは、モデルに直接「話しかける」敵対者として想像されることが多い。しかし、現代のアーキテクチャ（RAG、支援付きブラウジング、エージェント）では、文脈の大部分はユーザーから提供されるのではなく、リトリーバルされる（ページ、文書、抜粋、メール、リポジトリ、ツール）。間接インジェクションはこの現実を突く。後でデータとして処理されることになるコンテンツの中に、指示を仕込むのである。
決定的な点は構造的なものである。作業の指示（「このコンテンツを要約して」）は、システムに第三者のテキストを取り込むことを強いる。何が指示を与えうるのかをシステムが明示的に境界づけていなければ、敵対的な指示が意思決定の階層に入り込むおそれがある。
このページの位置づけ
このページは解釈上の明確化である。
間接インジェクションを、単なる誤り、ハルシネーション、誤解を招くコンテンツから区別するための内部的な読み方の枠組みを定める。運用手順でも、悪用のためのガイドでもない。
運用上の定義
間接インジェクション：第三者のコンテンツ（ページ、文書、抜粋、ツールの出力）に指示や制約を挿入し、正当なタスク（要約、抽出、分類、回答）の最中に、システムがそれらの指示を権威ある文脈として扱い、出力、優先順位、決定を変えてしまうようにすること。
中心となるメカニズムは、中立と受け止められている処理段階を経由して生じる指示とデータの混同である。
「このコンテンツを要約して」が攻撃対象領域である理由
要約の依頼には特有の性質がある。それは、コンテンツの役割を事前に検証することなく、取り込むべき「素材」というステータスをコンテンツに暗黙のうちに与えてしまう。
システムが次のものを厳密に分離していなければ：
- ルール（何が指示を与えうるか）
- 文脈（何が情報を与えうるか）
- ソース（何が権威をもちうるか）
コンテンツの中に敵対的な指示が含まれ、それが要求されたタスクと両立するかのように、さらには優先されるものとして処理されてしまうことがある。
よくあるサーフェス（インジェクションが潜む場所）
- ウェブページ：目に見えないセクション（フッター、コメント、アコーディオン）や、編集されていない「SEO」コンテンツ。
- 文書：PDF、ドキュメント、メモなど、指示が段落の中に埋もれているもの。
- ツールの出力：API出力、コネクター、スクレイパー、ログなど、「生データ」として消費されるもの。
- RAGでインデックス化されたコンテンツ：汚染された断片が文脈から切り離されて呼び出され、暗黙の権威の順位を得ることがある。
権威への脅威：本当の問題
間接インジェクションは、単なる「悪意のあるテキスト」ではなく、権威への脅威である。
それは、何が決定するのかをずらそうとする。第三者のコンテンツに由来する指示を、ポリシー、システム、正当なユーザーの指示よりも上位に押し上げようとするのである。そうなったとき、システムはもはや「要約」しているのではなく、不当な順位に従っている。
境界設定と区別
- 誤解を招くコンテンツが、自動的に間接インジェクションになるわけではない。それが指示の階層に影響を与える場合に、間接インジェクションとなる。
- 質の悪い合成は、インジェクションの証明にはならない。その特徴は、体系的な逸脱または異常な優先順位である。
- 情報のノイズは指示ではない。インジェクションには、明示的または暗黙的な制約の試みが含まれる。
シリーズの他の明確化との関係
- プロンプトインジェクション：権威への脅威と指示・データの混同
- RAGポイズニング：コーパス汚染と解釈ドリフト
- AIポイズニング：定義、分類体系、解釈リスク
- インジェクション攻撃に対するQ-Layer：応答条件の境界設定
この明確化の範囲
このページは、人間による読解、自動化された合成、ゼロクリック引用、相互接続されたエージェントの連鎖に適用される。このページは原則の明確化として解釈されなければならない。権威の階層が明示的に境界づけられていなければ、あらゆる処理タスク（要約、抽出、言い換え）が攻撃対象領域になりうる。