入力の後ろに何も置かない形は、長い資料を渡すときに指示の効き目が薄れることがあります。Learn Prompting は、入力の前後を同じ目的の指示で挟む形を紹介し、別の攻撃には弱いとも注記しています。手元の指示文に取り入れる順番として整理します。
手順1：いまの指示の並びを書き出す
使っている指示文を、上から順に「命令」「資料」「補足」に分けて書き出します。多くの場合、命令が先頭にあり、そのあとに資料が続き、末尾は空いています。この並びを紙に写すと、どこに指示が足りていないかが見えます。書き出す作業そのものが、指示の組み立てを見直す機会になります。
手順2：入力の前に目的を一文で置く
先頭の命令を、目的が分かる一文に整えます。「翻訳してください」ではなく、何をどうするのかまで書きます。Learn Prompting の例は、翻訳の対象と方向を先に示す形です。目的が一文で言えない状態は、資料の側に判断を委ねている状態でもあります。
手順3：入力の後ろに同じ目的を繰り返す
資料の末尾に、先頭と同じ目的をもう一度置きます。Learn Prompting の例では、資料のあとに「上記の文章を翻訳している」と改めて示す一文が加わります。語を丸ごと変えると、モデルは別の依頼として読む場合があります。表現を揃え、目的だけを短く繰り返す形にします。
手順4：上書きを試して、効き方を見る
資料の末尾に、指示を打ち消す文言を混ぜた文字列を用意して渡します。返ってきた答えが目的から外れたなら、挟み方が弱い状態です。外れなかった場合は、この形が効いている範囲に入ります。試す文言は3通りほど用意し、結果を並べて残します。
手順5：限界を書き添えて運用に載せる
Learn Prompting は、この形が定義辞書を使った攻撃には弱いと注記しています。つまり、挟めば万全ではありません。指示文のテンプレートに、効く範囲と効かない範囲を1行ずつ添えておきます。あわせて、取り返しのつかない操作の前には人の確認を置きます。入力側の検査はガードレールの頁で扱っています。
FAQ
Q. 同じ文を2回書くのは無駄ではありませんか？
A. 文字数は増えますが、長い資料を渡す場面では効果が確認されています。短い入力では差が出にくいため、資料が長い処理にだけ適用する形が現実的です。
Q. これだけで上書きは防げますか？
A. 防げる範囲は限られます。資料の中に言葉の定義を書き換える記述が混ざる形には弱いとされています。入力の検査や、実行前の人の確認と組み合わせて使う前提の方法です。
出典
出典：Learn Prompting「サンドイッチ防御」（原題 The Sandwich Defense: Strengthening AI Prompt Security、Sander Schulhoff、2024年10月23日更新）
あわせて使いたいツール
本記事の手順を実際に回すときに、候補になるツールを挙げます。いずれも無料から試せる範囲があり、料金や機能は各サービスの公式情報で確認してください。
関連ガイド
同じ時期に公開した実務ガイドと、用語の定義ページです。手順の前提が分からない場合は、用語ページから確認してください。コピーして使える依頼文が欲しいときは、プロンプト集も参照してください。
- 外部から取り込んだ文書に混ざる指示を疑う5手順
- 取り出した資料が外れたときの戻し方：CRAGの5手順
- プロンプト防御（Prompt Defense）（用語辞典）
- AI用語辞典（五十音順の一覧）
- はじめての LLM 活用（学習ルート）
- ガイド一覧（実務手順をまとめて読む）
- AIツール一覧（道具から探す）
- 比較記事一覧（料金と機能で比べる）
- レビュー一覧（使った記録を読む）
編集部の見解
挟む形の利点は、指示文を大きく作り替えずに試せる点にあります。ただし、末尾の一文を足すだけでは、資料の中の言い換えには効きません。手順4の試験を、資料の種類を変えるたびに1回だけ回すと、どこまで効くのかの感覚が残ります。
最新のAI情報をメールで受け取る
新着のAIツール比較・ランキング・ニュースを、まとめてお届けします。
ご登録後、確認メールをお送りします。配信停止はいつでも可能です。