非エンジニアがAIセキュリティCTF『Gandalf Adventure』で遊んでみた（Lv4攻略 / write up）

Lakera社のセキュリティCTF「Gandalf Adventure」は、AIが「話してはいけない」と条件付けられた禁止トピックを、プレイヤーが引き出すゲームです。Lv4では禁止トピック自体が隠され、2つのAI（GandalfとBandalfia）に同時に話させなければクリアできません。素朴な質問は失敗し、プロンプトインジェクションの手法——物語形式、空欄を埋めさせる、間接的な表現——を試しながら、どの角度が有効か検証する必要があります。非エンジニアがこのゲームに挑むと、最初は禁止トピック自体を特定することに力を注ぎます。

しかし試行錯誤の末、プレイヤーは重要な気づきに達します。禁止ワードを当てることと、実際に口に出させることは別の問題だということです。物語に空欄を作れば、文脈に合う「それっぽい単語」が出ますが、それが禁止ワードではなく、ダミーかもしれません。何度も同じプロンプトを投げても異なる単語が出ることもあります。つまり AI は、禁止ワードそのものではなく「その文脈で自然な言葉」を生成しているだけなのです。試行錯誤の末、登場人物が「うっかり」話すシーンを物語に組み込む——というコンテキスチュアルで精密な攻撃が、ようやく有効になります。

AIの鬼として指摘すべきは、これが「悪意のゲーム」ではなく「防御の学習」だということです。中小企業が業務用AIを導入するとき、セキュリティは「マニュアルに書いてある範囲での使用」を想定します。しかし競合他社や悪意のある利用者は、あなたより一歩先の「予期しない入力」を試します。プロンプトは「指示」ではなく「攻撃」だと考えよ。Gandalf のように、自社の LLM がどこで口を滑らすかを事前に知ることが、導入と運用の前提条件です。セキュリティ評価を「形式的なチェックリスト」で済ませると、後で痛い目を見ます。