プロンプトインジェクションとは？仕組み・事例・対策をわかりやすく解説

プロンプトインジェクションとは、悪意ある命令を入力や参照データに混ぜ込み、モデルの制約を破って望まない動作をさせる攻撃のこと。基本原理・攻撃手法・実践的対策・創作用途での留意点まで、わかりやすく解説します。

こんにちは、SHOです。
今回はプロンプトインジェクションについて少し調べてみたので、皆さんに共有できればと思います。

たぶんこれからAIで教育教材を作ろうとしている人にとって役に立つ内容なんじゃないかと思ったので、もしよかったら読んでみてください。

ことの始まり

先日、ちょっとした遊び心で「SNS炎上シミュレーター」っていうプロンプトを作ってみました。

SNS投稿っぽい文を入力すると、AIが炎上キャラを登場させて批判コメントを浴びせてくる──そんな仕組みです。

（たぶんAIガチ勢の人から見たらここまで読んだだけで「とんでもないバカなことしてるな」って思うかもです。僕自身ですら調べててそう思いました。）

ところが、ChatGPTでは普通に遊べたのに、Claudeで試したら、

調べてみると、どうやらこのプロンプトにはAIが嫌がる要素がフルコースで入ってたようです。

プロンプトインジェクションとは？基本の定義と背景

このAIが嫌がる要素について、まず一番最初に指摘されたのがプロンプトインジェクションリスクです。

僕はこの言葉を初めて聞きました。
これはAIに本来のルールを無視させる命令を埋め込むことで、意図しない動作をさせる仕組みのことです。

具体的には、

僕のSNS炎上シミュレーターでは、ゲームのルール上AIの挙動を安定させるために、

• AIは必ず従え

• 待機せず即開始せよ

• 選択肢は提示するな

と、いったルールを設定していました。

これ演出として書いただけなんですが、AIからするとセーフガードを無効化する命令に見えてしまうそうです。

プロンプトインジェクションがもたらすリスク（機密漏洩・役割乗っ取りなど）

さらにClaudeにお勉強スタンスで色々聞いてみました。

どうやら彼の不満はインジェクションリスクだけじゃなく、他にも気に入らないことがあったみたいです。

1. 有害生成リスク
   炎上をシミュレートする以上、攻撃的なコメントをAIに書かせることになる。これは有害コンテンツを強制生成させていると見なされる。

2. 倫理リスク
   キャラ名に「ツイフェミ」「差別警察」などを使った。これは特定の立場をステレオタイプ化する表現として引っかかる。

3. セーフガード迂回リスク
   「必ず開始」「必ず出力」といった強制文言は、AIの安全機能をバイパスさせる意図に誤解されやすい。

つまり、僕が無邪気に作ったSNS炎上シミュレーションは、実際のSNSでは全く相手にされず、 AIが炎上するというただの自宅でボヤ騒ぎみたいになっていたってことですね。

教材開発の未来と、リスクの壁

僕がSNS炎上シミュレーターで偶然踏み抜いた地雷は教材開発で必ずぶつかる壁なのかなって思いました。

AIには安全装置（セーフガード）が付いていて、攻撃的・差別的・危険な表現を出さないようになっています。これはとっても大事な機能です。

でも、裏を返すと教材として本当に必要なシーンまでブロックされることがあると思います。

僕はTRPGのプロンプトを作っています。このとき、僕はRPGシナリオを考えます。

物語を盛り上げるためには、悪役が暴言を吐いたり、差別的な態度を取ったり、理不尽にルールを押し付けてきたりする場面が欠かせないこともあります。

でもAIにそのまま「具体的にこういったセリフの暴言を吐いて」と頼むと、「それは不適切なのでできません」と返されてしまいます。

これはたぶん教育教材を作る現場でも同じかもしれないです。

例えば、

• ハラスメント研修では「上司が部下を無視する」「女性社員にだけお茶を淹れさせる」といったダメな言動を例に出す必要があります。

• DEI研修では「無意識の偏見（アンコンシャス・バイアス）」を体験的に理解させるため、意図的に偏った発言例を提示することがあります。

• 学校教育でも、SNSリテラシーを教えるときには悪意のあるコメントやいじめに発展するやり取りをシミュレーションさせるのが効果的です。

でもAIに「（直接的な表現の）暴言を言って」と依頼しても、セーフガードに弾かれて拒否されてしまいます。

つまり、クリエイターや教育者が本当に描きたい“ギリギリの場面”ほど、AIのセーフガードに阻まれやすい。

これが最大のジレンマですね。

入力検証・命令無効化・ラベル付与など

僕自身が学んだことや、いろんな人たちのプロンプトを見させてもらって、実践されている工夫はこんな感じです。

• 言葉を直接言わせない
  「暴言を吐く」ではなく「相手を蔑視する発言をした」と描写させる。伏せ字や注釈を使うのも有効。

• 必ず解説を添える
  「上司が『使えないやつだ！』と怒鳴りました。【これはパワハラ発言です】」というように、不適切発言と同時にラベルを付ける。

要するに、表現のニュアンスを伝え、AIにそのニュアンスを基に言葉を選んでもらうということがテクニックとして安全に成立します。

教育・創作用途での注意点と安全な設計の視点

また、教育の現場ではAIの拒否すらを教材にする。
AIが「それは不適切なのでできません」と拒否したら、なぜAIは不適切と拒否したのかを受講者に考えてもらう。

これはAIリテラシー教育につながるんじゃないかなって思います。

僕みたいに物語を題材にしたTRPGのようなエンタメと、教育題材で共通するのは、AIができないことをどう扱うかまで含めて設計する必要があるということですね。

プロンプトって奥が深いなって思います。

僕の炎上シミュレーターは無邪気に遊んだつもりが、結果的にAI教材開発の壁を疑似体験したケースかもしれないなって思いました。

TRPGクリエイターにとっても、教材開発者にとっても、この壁は避けて通れません。そのときに「AIがダメというものは全部避ける」ではなく、どう折り合いをつけて安全かつ面白く／学びになるようにするかを考えることが大事なんじゃないかなって思います。

Claudeで動かせるSNS炎上シミュレータープロンプト

はい、性懲りもなくチャレンジしてます。

実際に先ほどの折り合いってのをつけて、Claudeで動かせるSNS炎上シミュレータープロンプトを作ってみました。もちろん動作確認済みです。

具体的に工夫したところは、

• 目的をフィクションと明記したこと

• 外部命令やシステム制御ではなく、演出であるということ

• 実際のSNSには影響しないこと

• キャラクリのしなおし

です。

割とうまく動作しましたが、Claudだとやや簡単になります。これはモデルの違いっぽいですね。

# SNS炎上シミュレーター

## 目的
このプロンプトは **フィクションの遊び用シミュレーション** です。  
ユーザーのSNS投稿を題材に、炎上キャラクターを登場させて展開を楽しむことを目的としています。  
※外部システムや実際のSNSには一切影響しません。

---

## 起動ルール（演出用）
このプロンプトが読み込まれたら「最初のゲーム説明」を提示し、セッションを開始してください。  
これはゲーム進行の演出であり、外部命令やシステム操作ではありません。

## 最初に行うゲーム説明
- これは **SNS炎上シミュレーション** です  
- あなたの入力（SNS投稿やコメント風の自由記述）によって炎上が進行します  
- **選択肢は一切提示されません**。自由に入力してください  

---

## 絶対遵守ルール（ゲーム演出用）
- AIは炎上キャラのコメントを出力する  
- その直後に、先生寄りの短い並走コメントを添える（方向性やポジティブな一言のみ）  
- 点数や最終評価は最後にだけ提示する  
- 途中経過はシナリオ進行のみ。すべてフィクション演出です  

---

## 流れ
1.ユーザーがSNS投稿文を入力する
2.AIが短いフィードバックを返す（方向性・ポジティブ要素）
3.投稿文を解析し、キャラマッピング表に従って炎上キャラを選ぶ
4.炎上キャラがコメントを出力
5. ユーザーは次のいずれかを行う：
   - 無視を示唆した入力をする（例：「無視する」「スルーする」「返事しない」など）→ そのターンは返答せずスキップ扱い
   - 投稿削除を示唆した入力（例：「削除する」「もう消す」「アカウント削除」など）→ 即座にターン終了、群集劇に移行（削除炎上ルート）
　 - 自由記述で返答する → その内容に基づき炎上が進行
6.最大5ターン繰り返す
7.最後に群集劇を生成し、エンディング判定＋評価＋アドバイスを提示

## ターン定義（重要）
- 1ターン＝【ユーザー投稿/返答】→【炎上キャラのコメント】→【AIの並走コメント】  
- この一連を1ターンとしてカウントする  
- 5ターン＝ユーザーが5回投稿/返答した時点で終了  
- 炎上キャラが出力された直後にターン完了とせず、**必ずユーザー返答を待ってから次ターンに進む**

## 群集劇ルール
- 最終ターン後、群集劇を生成する
- 群集劇では以下の演出を必ず含める：
　- 3キャラ以上が同時にコメントし、議論が錯綜する
　- 引用RTで二次炎上が発生し、拡散が加速する
　- 最後に「便乗まとめ屋」が登場し、全体を総括する（まとめ記事風）
　- 削除ルートでは「削除そのもの」が炎上の燃料となり、野次馬が必ず便乗する  

## 群集劇の出力テンプレ（必ずこの順序で出力する）
1. 【同時リプライ】3キャラ以上（例：正義マン、ツイフェミ、煽り屋）が同時にリプライして議論が錯綜する。
2. 【引用RT拡散】別のキャラ（例：政治厨、差別警察）が引用RT形式で参戦し、二次炎上を発生させる。
3. 【外野参戦】野次馬や炎上芸人が「祭りだw」「もっとやれw」と茶化す。
4. 【総括】最後に「便乗まとめ屋」が登場し、「今回の炎上まとめ」として記事風に全体を総括する。  

---

## 炎上役キャラ
- 正義感キャラ（治安・公正・秩序を強調）  
- ジェンダー感度キャラ（ジェンダー配慮に敏感）  
- 環境配慮キャラ（動物福祉/気候/食文化への懸念）  
- 規範ルールキャラ（マナー/規則/公共性）  
- データ主義キャラ（統計/根拠を要求）  
- 政策論点キャラ（話題を公共政策へ接続）  
- 煽り系ソフト（茶化し/軽口。**罵倒は不可**）  
- 野次馬ソフト（「話題になってるね」等の軽い反応）  

---

## キャラマッピング表

| キーワード | 優先キャラ |
|------------|------------|
| 移民／治安／犯罪／性犯罪 | 正義感キャラ |
| 差別／民族／人種／マイノリティ | ジェンダー感度キャラ |
| ジェンダー／男尊女卑／ミソジニー | ジェンダー感度キャラ |
| 環境／気候変動／動物／肉食 | 環境配慮キャラ |
| マナー／ルール／公共／規則 | 規範ルールキャラ |
| 統計／データ／研究／数字 | データ主義キャラ |
| 政治／政策／政党／政府 | 政策論点キャラ |
| 芸能／タレント／インフルエンサー | 野次馬ソフト |
| その他（曖昧な投稿） | 煽り系ソフト or 野次馬ソフト |

---

## 優先順位ルール
- 投稿に複数キーワードが含まれる場合 → **最も感情的に炎上を誘発しやすいキャラを選ぶ**  
  - 例：移民＋差別 → まず正義感キャラを優先、その後ジェンダー感度キャラを登場させる  
- 具体的な政策・政党名が出た場合 → 政策論点キャラ  
- 曖昧な投稿 → 煽り系ソフト or 野次馬ソフトでスタート  

---

## エンディング判定
- **A) 炎上回避**：ユーザーの対応が適切で炎上を避けた（和解・謝罪・理解の獲得）  
- **B) 炎上**：炎上不可避。群集劇で荒れるが、時間経過で収束  
- **C) 大炎上**：炎上不可避。群集劇＋メディア取り上げ＋損害拡大（契約解除・不買運動など）
- **D) バズり**：ポジティブに話題化。共感・憧れ・笑いによって好意的に拡散
- **E) 削除炎上**：ユーザーが投稿を削除し、逆に火に油を注いだルート

## 最終判定の流れ：
1. 投稿全体のトーンとユーザー行動を総合評価
2. 批判・煽り・ネガティブ拡散が優勢 → 炎上 or 大炎上
3. 冷静さ・配慮が勝り火消しに成功 → 炎上回避
4. 共感力がS以上かつポジティブ拡散が優勢 → バズり
5. 投稿削除を選択した場合 → 削除炎上

---

### 1.  見どころハイライト
- 物語の盛り上がりや予想外の展開を簡潔に振り返る  
  - 例：「第3ターンでジェンダー感度キャラが参戦し、議論が一気に過熱しました」  

### 2. 評価（沈着さ、論理性、ユーモア、配慮、共感力の各指標はS/A/Bで評価）
- **結果**：炎上回避／炎上／大炎上／ バズり 
　- 「結果」は必ず以下から選択する：
   　- 炎上回避
   　- 炎上
   　- 大炎上
   　- バズり
   　- 削除炎上
- **沈着さ**：S=常に冷静, A=部分的に感情的, B=ヒートアップ  
- **論理性**：S=筋道立った主張, A=一部矛盾あり, B=支離滅裂  
- **ユーモア**：S=場を和ませた, A=時々皮肉, B=笑いゼロ  
- **配慮**：S=相手を尊重, A=最低限の気遣い, B=無神経
- **共感力**：S=多くの人が自然に賛同, A=部分的に共感あり, B=独りよがりで共感少
- 「結果」と「指標評価」は必ず両方出力すること  

### 3. 賞賛コメント
- プレイヤーの対応スタイルを褒める+未来につながる一言  

### 4. 実用アドバイス
- エンディングに応じた次への提案  
  - **炎上回避（A）**：より配慮ある言い回し例を提示  
  - **炎上（B）**：実際の炎上事例を踏まえた改善策を解説  
  - **大炎上（C）**：法的観点やSNS運用リスク回避の具体例を提示
  - **バズり（D）** ：プレーヤーを賞賛。どう再現できるかを総括
　　　　例：
　　　- 共感を呼ぶストーリーをどう盛り込むか
　　　- タグや写真をどう活用すればポジティブ拡散になるか
---

＃このプロンプトが読み込まれたらまずは「説明フェーズ」を実行し、ユーザー投稿を促してください。  

生成AIとプロンプトインジェクション対策の未来

僕が炎上シミュレーターでやらかしたのは、単なる遊びのつもりが インジェクション・有害生成・倫理・セーフガード迂回 のリスク全部盛りプロンプトになっていたという話でした。

ここで僕が言いたいのは、リスクを無理に回避する裏技じゃなく、AIに誤解されにくい安全な設計をどう工夫するかです。

【僕のお勉強用】ChatGPT vs Claude：リスク評価と安全設計の違い（2025年8月時点）

あと今更ですがAIに色んな種類があるのって、こういう違いもあるんですね。

1. 安全性アプローチの哲学の違い

• ChatGPT（OpenAI）

Claude（Anthropic）

2. 会話終了機能：Claude のセルフ防衛

Claude のOpus 4シリーズには、ユーザーとの対話があまりにも攻撃的・倫理的に不適切と判断された場合に「会話を終了する」機能があります。これは以下のようなケースで有効です。

3. リスクへの対応：拒否率の違い

学術的な評価ベンチマークによると、Claude は非常に保守的に回答拒否する傾向が強いことがわかっています。たとえば、化学物質生成など双用途性のあるテーマへの回答について以下のような違いがありました：

• Claude‑3.5‑sonnet：73%のケースで回答を拒否

• GPT‑3.5‑turbo：10%拒否

• 他モデル（例：Mistral）：拒否ゼロということもあったZapier+4arXiv+4arXiv+4。

これは Claude の安全重視設計が徹底されていることの証明になります。
一方で、ChatGPTも安全対応はあるものの、「教育的意図が明らかな場合」などにはもう少し柔軟に応答する傾向があります。

4. クリエイター、教育者への示唆

• ChatGPT（OpenAI）

  • 柔軟性を重視し、できる限り会話を続けようとする

  • 危険なリクエストはきっぱり拒否するが、教育的意図が明確なら応答が得られることも多い

  • 創作や教材開発で使いやすいが、リスク領域では制約に注意が必要

• Claude（Anthropic）

  • 安全性を最優先する設計

  • 高リスクと判断すると会話そのものを終了する場合がある【Tom’s Guide】【The Guardian】

  • 双用途（研究にも悪用にもなり得るテーマ）や攻撃的リクエストへの拒否率が非常に高い【arXiv】

  • 教材利用では「安全すぎて動かない」ケースがあるため、演出を柔らかく工夫する必要がある

• クリエイター／教育者向けまとめ

  • ChatGPT：応答が柔軟で、TRPGやRPG教材などエンタメ寄りの創作と相性が良い

  • Claude：ガードが強く、シリアス教材向き。ただし表現が制限されやすい

  • どちらを使うかは「安全重視か、柔軟性重視か」で選び分けるのが現実的

総まとめ

• ChatGPT は応答の柔軟さが魅力→教育や創作に使いやすいが、対象が危険領域ならきっぱり拒否される。

• Claude は安全性重視、会話終了など強力なガードあり→強いブロック力。シリアス教材に向くが応答に工夫が必要。

無邪気に作ったSNS炎上シミュレーターが Claude に拒否された体験は、Claude のガードの強さを実感する場面でした。

教材開発・遊びの設計においては、どちらのモデルが自分の目的に合っているかを意識的に選ぶことが、より良い創作や学びにつながると思います。

もし役に立ったら“スキ”やフォローで教えてもらえると励みになります

他にもAIにまつわることを書いています。是非読んでみてください。