実世界で見られるプロンプトインジェクション

過去およそ2年間にわたり公開報告されたプロンプトインジェクション手法を追跡するトラッカー。Rachel James (cybershujin) が維持管理しています。

各手法は、プロンプトインジェクションの3つの要素に分解されています。

1. 配送方法 — 注入された指示がどのようにモデルに到達するか（ツール呼び出しの結果、外部ウェブサイト、MCP接続、ドキュメント、メール、画像など）。
2. エンコーディング — ペイロードに適用された難読化がある場合、その手法（Base64、leetspeak、不可視のUnicodeタグ文字、ホモグリフなど）。ペイロードが平文である場合、または報告に記載がない場合は空欄。
3. 伝播挙動 — そのインジェクションが拡散または持続するように設計されているかどうか（汚染されたMCPサーバーに接続した全員に配信される、エージェントの長期／プロジェクトメモリに永続化される、ツール呼び出しの連鎖に沿って運ばれる、さらなる指示を含むメールを送信させるなど）。伝播が存在しない場合は空欄。

各エントリには、動作が確認されたモデル（ある場合）、報告元へのリンク、そして判明している場合は攻撃元（発信元となった研究者、レッドチーム、または実世界の攻撃者）も記録されています。

ライブダッシュボード: https://cybershujin.github.io/Prompt-Injection-in-the-Wild/

---

対象範囲と方法論

• 対象範囲: LLMまたはLLMを活用したエージェントに敵対的指示を注入する手法で、公開報告されたもの — セキュリティ研究者、レッドチーム、ベンダーによるもの、または実世界の活動として観測されたもの。直接的および間接的（データ経由）なプロンプトインジェクションの両方を含みます。
• 対象外: 配送／伝播メカニズムを伴わない一般的なジェイルブレイクのワードリスト、純粋にモデルアラインメントへの不満を述べたもの、技術的実体のないマーケティング。
• 推測は一切しない。 空欄でないすべてのセルは、引用元における明示的な記述から取られています。報告にエンコーディング、伝播挙動、確認されたモデル、または攻撃元が記載されていない場合、そのセルは空欄のままにされます — 空欄は*「記載なし」を意味し、推測された「なし」*を意味することは決してありません。
• 審査。 各エントリは Confirmed または Not fully vetted とマークされます。「Not fully vetted」は、情報源が曖昧、未確認、またはメカニズムが不明瞭なエントリに付けられます — これは削除されるのではなく可視化され、レビュアーが判断できるようになっています。
• 証拠クラス — 実世界 vs. 研究。 各エントリは In-the-wild（実世界での悪用または実際の本番インシデントが観測されたもの）、Research / red-team（セキュリティ研究者またはレッドチームによるデモンストレーション／責任ある開示 — 実際に動作する手法だが、攻撃者による悪用は観測されていないもの）、Vendor advisory、または Unclear とタグ付けされます。これは審査とは別の軸です。ある手法が Confirmed（検証済みで動作する）でありながら、実験室でしか実証されていない可能性があります。注意してください: 真の実世界における悪意あるプロンプトインジェクションは、依然として公に文書化されることは稀であるため、ここにあるエントリの大半は研究／レッドチームによる開示です — 初期バックフィル時点では、32件中29件が研究／レッドチームで、実世界はわずか3件でした。ダッシュボードの Evidence フィルターを使用して、実世界の事例を絞り込んでください。
• 更新。 新しい報告は毎月収集され（Perplexity sonar-deep-research、広範な網羅）、メンテナーのレビュー用にドラフトプルリクエストとして提案されます。自動マージは一切行われません。脅威アクターによるAI利用に同じワークフローを適用した姉妹トラッカー Threat-Actors-use-of-Artifical-Intelligence も参照してください。

データの構築方法

データは以下の表にのみ存在します（このファイルが唯一の信頼できる情報源です）。決定的で依存関係のないジェネレーター（tools/build_exports.py）が、コミットのたびにこれを以下へコンパイルします。

• index.html — インタラクティブなダッシュボード（GitHub Pages経由で配信）、
• tracker.json — 正規化された機械可読データ、
• stix/prompt-injection-stix2.1.json — STIX 2.1バンドル（各手法を attack-pattern として、そのMITRE ATLAS IDと Not fully vetted → 低信頼度のマッピングでタグ付け）。

これら3つのファイルを手動で編集しないでください。表を編集し、CIに再ビルドさせてください。

---

手法