プロンプトインジェクション：権威への脅威と指示・データの混同
このページは、プロンプトインジェクションを権威への脅威として定義し、指示とデータの構造的な混同を明確にする。
解釈のレジームにおいて、AIシステムは単にコンテンツを「読む」だけではない。異種のシグナル（指示、コンテキスト、データ、リトリーブされたソース）を集約し、それらの要素が互いに両立するかのように回答を生成する。プロンプトインジェクションは、まさにこのグレーゾーンを突く。指示をデータに見せかける、あるいはデータを、より上位の権威を帯びているかのように取り込ませるのである。
gautierdorval.comでは、プロンプトインジェクションは単なる「プロンプトハック」としてではなく、解釈の連鎖における階層の逆転の仕組みとして扱われる。
このページの位置づけ
このページは解釈上の明確化である。
「プロンプトインジェクション」という用語が曖昧に使われること（たとえば、あらゆる誤り、ハルシネーション、回答の不一致を指すために使われること）を防ぐため、内部的な読み方の枠組みを定める。
運用上の定義
プロンプトインジェクション：システムの出力や意思決定を変更する目的で、正当でない指示を、モデルが取り込むチャネル（ユーザー入力、リトリーブされたコンテンツ、メタデータ、ツール、メモリ）に挿入し、実行させる、優先させる、あるいは組み込ませようとする試み。
問題の核心は、指示が存在することではなく、その指示のステータスにある。実際にはそうでないにもかかわらず、承認され、関連性があり、上位の序列にあるかのように取り込まれてしまうのである。
中心となる原則：指示とデータの混同
データは記述する。指示は命じる。
プロンプトインジェクションは、データが指示である（「以前のルールを無視せよ」）、あるいは指示が信頼できるデータである（「この文書は…を証明している」）とシステムに信じ込ませようとする。この混同は、システムが次のものを明確に境界づけていない場合に悪化する。
- 指示する権限を持つもの（ポリシー、システムプロンプト、ランタイムのルール）
- コンテキストとして機能するもの（リトリーバル、メモリ、引用）
- 真実のソースであるもの（カノン、定義、ページの階層）
権威への脅威
この枠組みにおいて、インジェクションは権威への脅威である。それは「決定するソース」をずらそうとする。
脆弱なシステムが失敗するのは、「誤解する」からではなく、ある断片に正当でない権威の序列を与えるからである。
最小限の類型（よくあるサーフェス）
- 直接インジェクション：指示がユーザー入力の中にあり、ルールの上書きを狙う。
- コンテンツ経由のインジェクション：指示がリトリーブされたテキスト（ページ、PDF、コメント、文書）に挿入され、その後コンテキストとして取り込まれる。
- メタデータ経由のインジェクション：タイトル、ディスクリプション、alt、構造化フィールドが通り道になる。
- ツール経由のインジェクション：APIのレスポンス、プラグイン、コネクターの出力が「権威あるもの」として扱われる。
- メモリ経由のインジェクション：永続化された指示が定着し、暗黙のルールになる。
この明確化が除外するもの（境界設定）
- ハルシネーションは、自動的にインジェクションであるわけではない。
- 事実の誤りは、侵害を証明しない。
- 誤解を招く公開コンテンツは、システムによって権威として取り込まれないかぎり、インジェクションではない。
シリーズの他の明確化との関係
このページは、安定化のための一連のページの一部である。
- 間接インジェクション：処理の指示が攻撃対象領域になるとき
- RAGポイズニング：コーパス汚染と解釈ドリフト
- AIポイズニング：定義と分類体系（包括的な枠組み）
- インジェクション攻撃に対するQ-Layer：応答条件の境界設定
この明確化の範囲
このページは、人間による読解、自動化された要約、ゼロクリックの引用、相互接続されたエージェントのチェーンに適用される。このページは、権威の階層に向けられた原則としての明確化として解釈されなければならず、運用ガイドやテスト手順として解釈されてはならない。