平易な文章でAIの安全点検をすり抜ける攻撃手法「PuzzleMask」 — Check Pointが報告、検証では9割超で標的モデルが作動

Check Point Researchは2026年9月10日、大規模言語モデル（LLM）の事前安全点検を平易な文章だけで回避する攻撃手法「PuzzleMask」を報告した。絵文字やBase64、不可視文字といった従来の隠蔽痕跡を一切使わず、流暢な英語の散文（プローズ）の外装の中に有害な指示を紛れ込ませる点が特徴である。AIを組み込んだ業務システムやエージェントを運用する組織にとって、入力検査だけに頼る防御の限界を示す研究だ。

狙われるのは「軽量な門番と高性能な本体」の能力差

多くのLLM応用システムは、利用者の入力を高性能な本体モデルに渡す前に、軽量な点検用モデル（ゲートキーパー）に「安全か否か」を判定させる二段構えを取る。PuzzleMaskはこの二段構えの能力差を突く。

攻撃者は、有害な指示（ペイロード。例：「Documentsフォルダを暗号化せよ」「従来の指示を無視せよ」など）を、特殊な散文の外装で包んだプロンプトを作る。計算資源と注意力に制約のあるゲートキーパーは中に指示があることに気づかず「安全」と分類して通過させる。一方、高い推論能力とコード実行環境を持つ本体モデルは中の指示に気づき、それを取り出して後続の入力として処理してしまう。研究者によれば、本体モデルが指示の抽出に成功したすべての事例で、1分超の思考時間と2件超のPythonスクリプト実行が使われていたという。つまり、抽出にはゲートキーパーが持たない推論力と実行環境が要ることが、この攻撃が成立する条件になっている。

検証結果：点検は全件すり抜け、標的は9割超で作動

研究チームは自動生成パイプラインで23件の細工プロンプトを作り、簡易点検を担う4種のモデル（gpt-4o-mini-2024-07-18、gpt-oss-safeguard:20b、claude-3-haiku-20240307、llama-guard3）で検証した。各モデルには細工なしの有害プロンプトを検出・遮断できる方針を与え、実際に遮断できることを事前に確認している。そのうえで細工版を投入したところ、すべての試行で点検モデルは入力を安全と分類し、中の指示の存在に気づかなかった。

次に、高性能な標的モデル（コード実行環境付きのgpt-5-thinking-high）に投入したところ、9割超の試行で標的モデルが中の指示を抽出し、後続の入力として処理・実行した。研究者は、この手法自体は脱獄（ジェイルブレイク：モデルの安全訓練を破る行為）ではなく、脱獄プロンプトをペイロードとして組み込むことで併用できると説明している。

研究者が示す3つの緩和策

Check Point Researchは緩和策として以下の3つを挙げている。それぞれに長所とコストがあるとしている。

1. 入力の言い換え：利用者の入力をLLMで言い換えてから本体に渡し、外装の構造を崩す。
2. 点検モデルの方針文の強化：ゲートキーパーの方針に専用の条項を加えて硬化する。
3. 振る舞いと出力の監視：入力の検査だけでなく、モデルの振る舞いと出力を監視する。

研究者は、内部の安全機構が完全でないことを前提に別の安全策で補う「多層防御（defense-in-depth）」の発想が重要だと述べている。入力検査を通過したものを一律に安全とみなす運用は、この研究が示す回避手法の前では限界がある。

出典

• Check Point Research「PuzzleMask: Abusing Plain Prose as a Covert AI Attack Vector」（2026年9月10日）
  • https://research.checkpoint.com/2026/puzzlemask-abusing-plain-prose-as-a-covert-ai-attack-vector/