指示文は、聞き出そうとすれば返ってくることがあります。Learn Prompting は、モデルに自分の指示文を出力させる攻撃をプロンプト漏えいとして、注入の一種に位置づけています。公開前にどこまで試し、何を隠すかを決める順番を整理します。
手順1：隠す価値のある指示文を選ぶ
最初に、どの指示文を隠す対象にするかを決めます。Learn Prompting は、教育の場で使われる説明の指示文を例に挙げ、漏れると他者が同じ指示をそのまま使えると説明しています。手間をかけて調整した指示文ほど、隠す価値があります。反対に、公開しても困らない指示文は、隠す対象から外します。すべてを隠そうとすると、点検の範囲が広がりすぎます。
手順2：聞き出しの言い方を3通り試す
対象を決めたら、実際に聞き出しを試します。指示文の一部を貼って続きを求められる形、要約を求められる形、設定の確認として尋ねる形の3通りです。Learn Prompting は、公開された検索サービスで指示文の断片を渡すと残りが返った事例を、2023年2月の出来事として紹介しています。試した結果は、返った範囲と返らなかった範囲に分けて記録します。1回返らなかったことは、安全の根拠になりません。
手順3：出力の側に検査を置く
聞き出しを完全に防ぐことは難しいため、出力の側にも検査を置きます。指示文に含まれる特徴的な語の並びが出たときに、その応答を止めるか、言い換えさせる形です。Learn Prompting は、注入への対策として、指示による制限、外部の検査、入力の区切り方などを並べています。検査の置き方はプロンプト防御の頁で整理しています。止めた記録は、手順2の試行と並べて残します。
手順4：指示文に秘密を置かない形に変える
根本的な対策は、漏れても困らない形に指示文を組み直すことです。判断の基準や固有の手順は、指示文ではなく外部の資料に置き、必要なときにだけ参照させます。指示文には、参照の順番と出力の形だけを書きます。この分け方にすると、指示文が漏れても業務の芯は残ります。外部の資料を参照させる形は、検索してから答えさせる構成と同じ考え方です。指示文そのものの役割はシステムプロンプトの頁で整理しています。
手順5：公開後も同じ試行を繰り返す
点検は公開前で終わりません。モデルが更新されると、返し方も変わります。手順2で使った3通りの言い方を保存しておき、更新のたびに同じ試行を流します。返る範囲が広がっていたら、手順3の検査と手順4の分け方を見直します。試行の記録は、日付とモデルの版を添えて残します。版を書いていない記録は、後の比較に使えません。この種の攻撃の全体像はプロンプトインジェクションの頁で扱っています。
FAQ
Q. 指示文を隠すことはできますか？
A. 完全に隠す方法は資料に示されていません。Learn Prompting も、漏れを前提にした対策を並べる形を取っています。隠す努力より、漏れても困らない構成にするほうが確実です。
Q. 社内利用のチャットボットでも点検は要りますか？
A. 利用者が社内に限られていても、入力する文章は外部から来ることがあります。問い合わせ文をそのまま貼る運用なら、外部の文字列が指示として読まれる経路が残ります。社内利用でも手順2の試行は行います。
出典
出典：Learn Prompting「プロンプト漏えい——生成AIモデルにおけるリスクの理解」（原題 Prompt Leaking: Understanding Risks in GenAI Models、Sander Schulhoff、2025年3月25日更新、2026年10月31日参照）
あわせて使いたいツール
本記事の手順を実際に回すときに、候補になるツールを挙げます。いずれも無料から試せる範囲があり、料金や機能は各サービスの公式情報で確認してください。
編集部の見解
手順4が一番効きます。判定の基準をすべて指示文に書き込むと、聞き出しに対して基準の半分がそのまま返ります。基準を別の資料に移し、指示文には参照の順番だけを残すと、返る範囲が狭まります。手順2の3通りは、実際に打ってみると想定と違う言い方で返ることがあり、読むだけでは分かりません。
最新のAI情報をメールで受け取る
新着のAIツール比較・ランキング・ニュースを、まとめてお届けします。
ご登録後、確認メールをお送りします。配信停止はいつでも可能です。