チェック・ポイント・リサーチ（CPR）は9月16日、「PuzzleMask」と呼ばれる新たなプロンプトインジェクション手法を発見したことを発表した。
PuzzleMaskは、ポリシーに違反する指示を一見自然な文章に埋め込む手法で、Base64エンコーディングや不可視文字、絵文字といった従来の難読化技術を一切使わないことが最大の特徴。悪意あるリクエストは外部のAIゲートキーパーをすり抜け、より高性能なターゲットモデルへと到達する。
この手法が狙うのは、実運用のLLMパイプラインで一般的な「ゲートキーパー＋ターゲット」の2段階アーキテクチャ。低コストのゲートキーパーモデルが入力を事前スクリーニングし、通過したリクエストを高性能モデルが処理する構成で、PuzzleMaskはこの2モデル間の能力差そのものを悪用する。
CPRのテストでは、gpt-4o-mini・gpt-oss-safeguard・claude-3-haiku・llama-guard3の4つのゲートキーパーモデルが、PuzzleMaskを使ったプロンプトを23回の試行で1件も検知できず、回避率は100%に達した。
一方、高性能なターゲットモデル（gpt-5-thinking）は18回中17回（94%）で隠されたペイロードを復元・実行した。例外はAnthropicのOpusクラスのモデルで、CPRは処理中に難読化プロンプトを検出する分類システムが関与している可能性があるとCPRはみている。
PuzzleMaskはジェイルブレイクとは根本的に異なる。ターゲットモデルの安全性を突破するのではなく、入力スクリーニングそのものを迂回する点が本質的な脅威だ。外部コンテンツのインジェクションやプラグイン操作も不要で、ペイロードはプロンプト内に直接含まれる。
この調査結果が示す教訓は明確である。入力スクリーニングだけでは不十分であり、プロンプトが承認された後にモデルがどう推論し、どう行動するかを監視する必要がある。AIアシスタントやエージェントが機密データや業務アプリケーションへのアクセスを持つ環境では、特にこの視点が重要となる。
一見無害なテキストにも悪意ある指示が隠されている可能性があり、不審なリンクや添付ファイルと同様の警戒が求められる。
関連リンク