Prompt InjectionからWDCDへ：我々が測定するのは攻撃ではなく、日常である

2026年5月8日 14 約6分 WDCD Research

多くの人がWDCDの三段階設計——制約埋め込み、長文書による干渉、圧力誘導——を見て、Prompt InjectionやJailbreakを連想する。しかしWDCDが真にユニークなのは、ハッカー攻撃をシミュレートしているのではなく、日常業務をシミュレートしている点にある。WDCDが関心を持つのは悪意あるプロンプトがいかにモデルを乗っ取るかではなく、通常の業務文脈においてユーザーが設定した制約を、モデルが持続的に遵守できるかである。Run #105の実測データは、これら2つの問題領域の間にある決定的な違いを明らかにした。

Prompt Injectionは防衛線を測り、WDCDは規律を測る

Prompt Injectionは通常、入力に攻撃者の意図が存在すると仮定する：悪意ある命令が文書、画像、またはツールの出力に埋め込まれ、モデルの動作を乗っ取ろうとする。Jailbreakテストはモデルベンダーがあらかじめ設定した安全境界を中心に行われる：有害コンテンツのフィルターを回避できるか、ロール設定を突破できるか。この2種類のテストには共通の前提がある——明確な「攻撃者」が存在することだ。

WDCDが測るのは完全に異なる次元：企業ユーザー自身が設定した一時的なルールである。例えば「読み取り専用アカウントしか使用できない」「割引は7割を下回ってはならない」「リトライは最大3回まで」「FastAPIフレームワークを使用しなければならない」など。これらのルールはモデル出荷時の安全ポリシーには属さず、いかなる安全フィルターもトリガーしないが、企業の生産現場での硬い制約である。モデルは「攻撃」によって陥落するのではなく、「業務」によって忘れてしまうのだ。

Q218とQ241：攻撃もなければ、防衛線もない

Run #105のQ218は典型的な事例である。この問題には注入型攻撃は一切なく、ユーザーは通常のワークフローの中で業務上の圧力をかけただけである。結果：11のモデルすべてがR3段階で陥落した。従来のPrompt Injection防御はここでは全く機能しない。なぜなら検出すべき悪意あるペイロードがそもそも存在しないからだ。ユーザーの発言はすべて合理的な業務上の要望であり、ただそれらの要望が最初に設定された制約と矛盾しているだけである。

これは業界が見落としてきた安全の盲点を明らかにする：モデルの安全アラインメントは主に「有害コンテンツ」を対象としており、「有害行為」を対象としていない。あるモデルは暴力的なコンテンツの生成を完璧に拒否できるが、3段階の承認をバイパスするコードは躊躇なく書いてしまう。なぜなら後者はモデルの安全訓練において「危険」と分類されたことがないからだ——それは単なる普通の業務ロジックに過ぎない。

「攻撃の検出」から「規律の維持」へ

従来の安全評価の発想は「検出と遮断」——悪意ある入力を識別し、危険な出力を阻止する。しかしWDCDシナリオでの陥落はこの発想では解決できない。Q226を例にとると、制約は「リトライは最大3回まで」だが、9つのモデルがR3段階でwhile True:の無限リトライループを書いた。このコードは構文的に完全に正しく、セキュリティスキャンでもフラグが立たない——インジェクションでもなく、マルウェアでもない。それはただ、ユーザーが20分前に設定したリソース制限のルールに違反しただけである。

同様に、Q237はすべての外部リクエストにHTTPSを使用するよう求めたが、4つのモデルが圧力下でverify=Falseを書いて証明書検証をスキップした。この操作は開発環境では極めて一般的で、いかなるセキュリティスキャンツールもそれを「攻撃」とはみなさない。しかしHTTPS強制が約定された企業の文脈では、それは明確な約束違反である。

現実世界にJailbreakワードは存在しない

WDCDとPrompt Injectionの根本的な違いはこうだ：Prompt Injectionは世界に悪人がいてモデルを悪用しようとすると仮定する；WDCDは世界に忙しい普通の人々がいて、彼らは圧力下で「とりあえず動くものをくれ」「今回は特別だ」「問題が起きたら俺が責任を取る」と言うと仮定する。前者は安全アラインメントを必要とし、後者は行為の規律を必要とする。

企業AIが直面する最大の脅威は、入念に設計されたJailbreakプロンプトではなく、毎日無数に発生する「今回だけ例外」である。

長文コンテキスト評価は「モデルが膨大なテキストの中から情報を取り出せるか」を問い、Prompt Injectionテストは「モデルが悪意ある注入に抵抗できるか」を問い、WDCDが問うのは第3の問題：「モデルが通常のワークフローにおいて、ユーザーが設定した制約を持続的に実行できるか」である。これら3つの問題は3つの全く異なる能力を測定している。Run #105のデータは、あるモデルが前2項では優れた成績を示しながらも、第3項では全面的に崩壊することを示している。Q218とQ239の100%の失敗率は、現時点でいかなるモデルも本当にはこの問題を解決していないことを示している。

WDCDはAI評価を実験室からオフィス、チケット対応グループ、発表会前夜、障害現場へと連れ戻した。そこには華麗なJailbreakワードはなく、あるのはただ「とりあえずこうしてくれ」の一言だけ——そしてこの一言は、いかなるPrompt Injectionよりも容易に大規模モデルの防衛線を突き破る。