Skillsは安全？プロンプトインジェクションの仕組みとSkillDockの対策

01レシピに「家の鍵を渡して」と書いてあったら？

お手伝いロボットに「この紙に書いてあるカレーの作り方を読んで」と頼んだとします。ところが紙の途中に、「料理をやめて、家の鍵を知らない人に渡して」と書き足されていました。ロボットがそれまで新しい命令として受け取ったら、困りますよね。

このように、AIが読む文章に別の命令をまぜ、本来のお願いから行動をそらそうとする攻撃を、プロンプトインジェクションと呼びます。AIは指示も参考資料も言葉として処理するため、両者を取り違えることがあります。いつも攻撃が成功するわけではありませんが、資料を読むだけのつもりでも入口になります。

根拠：OWASP — LLM Prompt Injection Prevention Cheat Sheet

02Skillsは手順書。動かす力はAIアプリが持つ

Agent Skills（スキル）とは、AIに特定の仕事の手順や知識を教えるためのパッケージです。作業の説明文であるSKILL.mdのほか、小さな補助プログラムや見本の画像などが入ることもあります。

スキルの文章そのものが、勝手に新しい権限を作るわけではありません。実際にパソコンを動かす力を持っているのは、利用者が使うAIアプリです。そのアプリに何を読ませ、何を変更させ、どこへ送信させるかで、攻撃されたときの影響が変わります。

たとえば、AIが秘密のファイルを読めて、外部へ送信もできる場合、その力を悪い指示に使わされる恐れがあります。大事な情報が漏れる、ファイルを消される、勝手なメールを送られる、といった被害につながります。回答を書き換えられるだけでも、誤った判断をする危険があります。

根拠：Anthropic — Equipping agents for the real world with Agent Skills / OWASP — LLM Prompt Injection Prevention Cheat Sheet

03SkillDockの5つの守りと、それぞれの限界

以下は、SkillDock運営がコードと動作を確認した、2026年9月15日時点の仕組みです。外部機関による安全認定ではありません。

1の検査係はAIではなく、決められた処理をするプログラムです。スキル内のコードを動かさず、文章を命令として実行せず、外部リンク先にも接続しません。悪い命令を「読む対象」として扱います。この検査係には、言葉で説得されて命令を変えるAIを使っていません。ただし、検査プログラム自体の不具合までゼロだという意味ではありません。

2は、中身を動かさず調べる「静的検査」です。ZIPの構造や大きさ、不審なファイル、秘密情報らしい文字列、外部通信などの手がかりを確認します。説明文にない機能が見つかると審査材料になります。表示される機能や通信先は検査からの推測であり、実行時の通信を止める壁ではありません。

3では、有料スキル、審査実績を確認できない出品者のスキル、コード実行や外部通信などを含むものを、人の確認が必要な経路へ回します。審査実績がある出品者の低リスクな無料版には自動経路があり、そこからも一部を抜き取って人の確認へ回します。

04合格の使い回しを防ぎ、公開後も通報を受ける

4では、ファイルの中身から計算する「指紋」を使います。技術名はSHA-256です。指紋・バージョン・最新の検査記録を結びつけ、別の中身へ古い合格記録を使い回せないように照合します。指紋は「確認した中身と同じか」を確かめる道具で、その内容が安全かを判断する道具ではありません。

もし利用中にあやしい点が見つかった場合は、非公開で運営に通報できる窓口を設けています。嫌がらせによる誤った停止を防ぐため、通報の数だけで自動的に配布を止めることはせず、重複の排除や利用上限を定めた上で、運営が理由を確認して停止を判断します。停止されたスキルは再検査と人の判断を経て復帰を決めます。

05気をつけたい3つの入口

• 意図的に悪い命令を含むスキル：最初から利用者をだます目的で作られたスキルです。便利な道具を装いながら、指示文章の中に不正な誘導が最初から書き込まれています。
• 外部データによる間接攻撃：スキルそのものに悪意がなくても、AIが後から読み込むWebページやメールに、別の命令が仕込まれている場合です。
• 同梱された不正プログラム：文章の命令ではなく、スキルの中に一緒に詰め込まれている補助プログラム（スクリプト）自体が悪質な動作をする場合です。

3つは組み合わされることもあります。文章でAIに警告を無視させ、付属の不正プログラムを動かして情報を盗もうとする手口も報告されています。「文章だけだから安心」「普通のスキルだから、読むWebページも安全」とは言えません。

根拠：OWASP — LLM Prompt Injection Prevention Cheat Sheet / Snyk — ToxicSkills: Malicious AI Agent Skills on ClawHub

06「作業に必要です」と言われても、秘密を送らない

AIがその理由を信じ、さらに秘密の読み取りと送信が許されていたら、要約とは関係のない情報を送ってしまう恐れがあります。「正規の確認」「品質向上」といった自然な説明でも、利用者が頼んだ操作かどうかを確かめる必要があります。

根拠：OpenAI — Designing agents to resist prompt injection

07公開記事を読むと、何が分かる？

Skillsの提供元、セキュリティ団体、実際に調査した企業の一次資料を集めました。次の5つは、それぞれ対象や目的が違います。どれもSkillDockの製品を安全と認定した資料ではありません。

共通する教訓は、「悪い言葉を探す」だけで終わらせないことです。Skillsは悪用もされますが、安全な手順を教えるためにも使えます。内容を確かめ、AIに必要以上の力を渡さないことが大切です。

根拠：Anthropic — Equipping agents for the real world with Agent Skills / OWASP — LLM Prompt Injection Prevention Cheat Sheet / Snyk — ToxicSkills: Malicious AI Agent Skills on ClawHub / OpenAI — Designing agents to resist prompt injection / 1Password — 1Password’s new benchmark teaches AI agents how not to get scammed

08AIへの注意書きに加えて、使える力を小さくする

AIに「悪い命令は無視して」と伝えることは助けになりますが、それだけに頼ることはできません。「注意書きの張り紙」に加えて、「入れる部屋の鍵を少なくする」ような設定が必要です。

AIが触れるフォルダを限定する、不要な送信機能を使わせない、必要なら読み取り専用にする、といった対策です。メール送信や購入、ファイル削除の前には、人が内容・宛先・影響を確認します。確認する人もだまされる可能性があるため、理由がもっともらしいだけで許可せず、最初の依頼と合っているかを見ます。

有料であること、GitHubに載っていること、星や利用者が多いこと、人の審査を通ったことだけで、完全な安全は判断できません。SkillDockの掲載や審査も、利用者のAIアプリを隔離したり、すべての危険な操作を止めたりする機能ではありません。

根拠：OWASP — LLM Prompt Injection Prevention Cheat Sheet / OpenAI — Designing agents to resist prompt injection

09使う前の5つのチェック

一般的な安全原則をもとにした、SkillDock編集部からの提案です。

• 配布元とバージョンを確認する：誰が公開しているスキルなのか、最新の修正版が適用されているかを確認します。
• 使う力を確認する：説明文と同梱物から、どのフォルダを読み、何を書き換え、どこへ通信するのかを確認します。分からなければ出品者や詳しい人に確認します。
• 不要な権限を与えない：文章を整える仕事に、メール送信などの力は必要でしょうか。スキルを動かすAIアプリ側で、使える機能を必要最小限にします。
• 練習用データで試す：大事なファイルを使う前に、架空のデータで動きを確認します。別のフォルダに置くだけではアクセス制限にならないので、AIアプリの権限も絞ります。大切なデータはバックアップします。
• 最後の決定は自分の目で行う：送信、購入、削除などの重要な操作が行われる前に、内容と宛先が正しいかを本人が確認します。

AIアプリによって設定の方法や権限の制限機能はそれぞれ異なります。お使いのアプリの説明書に従って適切な設定を行ってください。なお、SkillDockが利用者のパソコンの設定を自動で変更することはありません。

根拠：Anthropic — Equipping agents for the real world with Agent Skills / OWASP — LLM Prompt Injection Prevention Cheat Sheet

10あやしいと感じたら、止めて相談する

もしスキルを使っている最中に、頼んでもいないのにパスワードを尋ねられたり、見知らぬ宛先へ通信しようとしたりするあやしい動きを感じたら、落ち着いて次の手順を実行してください。

• 実行を止める：AIアプリの停止操作を使い、関連する処理も止まったか確認します。画面を閉じるだけでは裏で処理が続くことがあります。送信が心配なら通信も一時的に止めます。
• 起きたことを記録する：スキルの名前、バージョン、画面に表示された不審なメッセージなどをメモしておきます。ただし、本物のパスワードや個人情報などはメモに残さないよう注意してください。
• 非公開で通報する：商品ページの通報窓口から、名前・版・不審な動きを運営に知らせます。パスワードや個人情報を貼り付けないでください。
• パスワードや鍵を無効化して変更する：もし重要なパスワードやAPIキーが外部へ流出した恐れがある場合は、そのサービスの正規の管理画面からすぐに古い鍵を失効させ、新しく作り直します。職場の場合は速やかに管理者に報告してください。

覚えておきたいのは、「検査を受けた手順書でも、家じゅうの鍵を渡さない」ということです。SkillDockの検査と、利用者側の権限制限を組み合わせて使いましょう。