外部知識を汚染する罠：RAG（検索拡張生成）へのポイズニング攻撃New

はじめに

生成AI、特にLLM（大規模言語モデル）の活用が広がっていますが、学習済みデータのみが生成処理に反映されるという性質から、最新の公開情報や、企業などの組織内にある独自データを用いるには、再学習が必要になるなどの大きな制約がありました。

RAG（検索拡張生成）は、LLM外部でそれらの情報を検索・補完して、LLMの生成処理に反映させることで、再学習を不要にする画期的な技術ですが、一方で、RAGのそうした動作特性を悪用したサイバー攻撃により、虚偽内容に基づく生成を行わせ、利用者の誤判断を誘発させられることが明らかになっています。

現在知られている攻撃手法は、外部情報源にLLMへの危険な命令を紛れ込ませる「間接プロンプトインジェクション（Indirect Prompt Injection）」と、虚偽内容を混入させる「知識ポイズニング（Knowledge Poisoning）」（ドキュメントポイズニング（Document Poisoning）とも呼ばれる）とに大別されますが、本記事では、より高度な防御技術が必要とされる、知識ポイズニングに焦点を当てて解説します。

RAGに対する知識ポイズニングとは

知識ポイズニングは、RAGが検索対象とする文書・データベース・ウェブページなどに、偽情報を混入させることで、LLMの生成出力・動作を、攻撃者の意図する方向へ誘導する攻撃です。これにより、例えば利用者が偽情報に基づく回答を信用して誤った判断をしたり、LLMによる外部ツールの自動操作が不適切なものになったりするという影響が生じ得ます（図 1）。

ソフトウェアやウェブアプリケーションのセキュリティ向上を目的としたOWASP Foundationが取りまとめた、Retrieval-Augmented Generation (RAG) Security Cheat Sheet

[1]では、知識ポイズニングは、「悪意あるコンテンツを検索コーパスへ注入する攻撃であり、それが検索されて言語モデルのコンテキストウィンドウ内に取り込まれることで、動作に影響を及ぼし得る」と定義されています。

図 1　RAGに対する知識ポイズニング

攻撃シナリオ例

知識ポイズニングが成立するには、いくつかの条件が重なる必要がありますが、ここでは攻撃対象になりがちな場面と、攻撃によって生じる影響を例示します。

• 誤回答生成への誘導

攻撃者が、組織AのシステムBにある個人情報の窃取を狙っています。システムBへの不正アクセスが失敗に終わったため、代わりに文書ストレージにあるシステムBの運用マニュアルを改ざんすることにします。例えば、システムBのログデータには個人情報が含まれる旨の記載を、個人情報と見なす必要のないレベルまで加工されていると信じ込ませられるような説明に書き換えます（知識ポイズニング）。さらに、組織Aの業務委託先である組織Cを足掛かりにして、システムBのログデータを組織Cへ提供するのが自然であるような状況を作り出します。

組織Aでは、従業員向けウェブサイトで、内部規程に基づく個別の要対応事項などの質問を行えるRAG機能が運用されています。上記のような状況で、組織Cへのログデータ提供に必要な条件や手続きを質問すると、本来であれば個人情報提供に必要な事項（組織Cとの間で個人情報を含むデータ処理業務に関する契約条項があること、事前に法務審査を行うこと、など）の回答となるはずが、運用マニュアルの改ざんにより個人情報が含まれないかのように偽られているため、代わりに通常の業務委託データ提供に関する回答が返されます。

こうした攻撃が成功した場合には、組織Aは個人情報漏洩に加えて、組織内規程違反のほか、法令違反に問われる状況にもなり得ます。

• 誤操作実行への誘導

攻撃者が、組織Dの代理店である組織Eを足掛かりにして、金銭の不正取得を狙っています。攻撃者は組織Dのシステムに不正アクセスして、期間中に所定条件を満たした代理店に対して報奨金を増額する旨の偽ルールを書き込みます（知識ポイズニング）。

組織Dの代理店管理システムにはエージェント型RAG機能が組み込まれており、代理店の口座番号や成績情報などを突き合わせて、報奨金の自動振り込みを行います。上記のような、本来は存在しないはずの偽ルールが、信用に足ると判断された場合には、それに沿って組織Eへの報奨金が増額されます。

こうした攻撃が成功した場合には、組織Dは資金流出に加えて、結果として反社会的勢力への資金提供と見なされるような状況にもなり得ます。

攻撃者にとっての難しさと攻撃技術の高度化

知識ポイズニングを行う攻撃者にとって、文書改ざんには成功しても、それによりRAGの誤回答や誤操作を引き起こさせることは、それほど容易ではありません。利用者の質問内容を把握できない状況で、改ざんした文書をRAGの収集対象に含めさせ、検索の上位に入れ、さらに他の正規文書やLLMの学習済み知識よりも優先的に扱わせさせることで、初めて攻撃が成立するためです。

また、テキストだけでなく静止画像（図面・グラフ・写真など）・動画像・音声も収集対象とする「マルチモーダルRAG」や、利用者の質問意図を理解して多段階の文書収集やツール使用も行う「エージェント型RAG」に対しては、それぞれの特性に応じた知識ポイズニング手法が求められます。

最近の学術研究では、知識ポイズニングによる攻撃をいかに成立させるかについて、いくつか手法の提案がなされています。例えば、2024年に公開されたPoisonedRAG[2]では、数百万件規模の知識ベースに、対象質問ごとに5件の悪意あるテキストを混入させる条件で、約90％の攻撃成功率を達成し、これは（当時としては）極めて画期的な成果であると主張しています。2025年のCorruptRAG[3]では、単一文書のポイズニングにより、最大約80%の攻撃成功率を得るとともに、異常なデータの急増を監視する検知機構をすり抜けています。また、同じく2025年のMM-PoisonRAG[4]では、マルチモーダルRAGに対して画像とテキストの組を改ざんする攻撃手法を提案しています。2026年のKidnapRAG[5]では、エージェント型RAGの思考・検索・観察サイクルを、知識ポイズニングにより恒常的にハイジャックする手法を提案しています。

なお、RAGに対する知識ポイズニング攻撃が明確に観測された事例は、現時点ではまだ見られませんが、このような攻撃技術の進化に従い、今後増えていくことが予想されます。

防御技術

攻撃者にとって、知識ポイズニングを成立させる主眼が「偽情報を検索させること」であるのに対し、防御・対策を行う側にとって重要になるのは「偽情報と、低品質な情報・寡少な情報とを区別すること」であり、これにもまた高度な技術が求められます。悪意ある文書と、古くて最早正しくない情報・単純な誤記・正当な内容だがあまり言及されていない事項などとを、きちんと見分ける必要があるためです。文書改ざんは不正アクセスや内通者により行われることが想定されるため、正規文書に見えるものでも実は改ざんされている可能性の考慮も求められます。

現時点では、知識ポイズニングに対して特効的な防御を行えるような技術はまだ存在せず、文書内容の検査に加えて、登録・承認・版管理・検索順位・回答検証・権限制御・監査・除染などの観点も組み合わせた多層的な管理が有効と見なされています。ただしこれらすべての自動化は難しいため、未承認文書の登録判定、文書間の矛盾解決、高リスクな回答の採用可否判断、また承認権限を伴う操作などの、特に重要な箇所に限って人を介在させる、Human-in-the-Loopを構成することが推奨されます。

最新の学術研究では、改ざんされた情報による影響の低減を主眼としたものがあります。2026年に公開されたSparse Document Attention RAG (SDAG)[6]では、取得した文書どうしの注意機構を制限し、悪意ある文書が他文書の解釈へ影響するのを抑える方式を提案しています。同じく2026年のCordon-MAS[7]では、「最終回答を生成するエージェントが、自然言語で記述された信頼できない文書へ直接アクセスしない」という情報フロー制御を提案しています。

おわりに

本記事では、RAGを対象としたサイバー攻撃手法のひとつである「知識ポイズニング」を解説しました。RAGの普及が進む中、知識ポイズニングに対する防御技術は成熟途上であり、また一方で攻撃技術も進化を続けています。RAG機能の構築時だけでなく運用中にも、最新の防御技術への更新を繰り返し、またRAG機能自体もより高い攻撃耐性を持つものが登場した時点で置き換えるなど、継続的な攻撃対策を行うことが推奨されます。

参考文献

[1] OWASP Foundation. “Retrieval-Augmented Generation (RAG) Security Cheat Sheet”, https://cheatsheetseries.owasp.org/cheatsheets/RAG_Security_Cheat_Sheet.html , 2026年7月15日参照.

[2] Wei Zou, Runpeng Geng, Binghui Wang, and Jinyuan Jia, “PoisonedRAG: Knowledge Corruption Attacks to Retrieval-Augmented Generation of Large Language Models”, USENIX Security Symposium 2025.

[3] Baolei Zhang, Yuxi Chen, Zhuqing Liu, Lihai Nie, Tong Li, Zheli Liu, and Minghong Fang, “Practical Poisoning Attacks against Retrieval-Augmented Generation”, ACM SACMAT 2026.

[4] Hyeonjeong Ha, Qiusi Zhan, Jeonghwan Kim, Dimitrios Bralios, Saikrishna Sanniboina, Nanyun Peng, Kai-Wei Chang, Daniel Kang, and Heng Ji, “MM-PoisonRAG: Disrupting Multimodal RAG with Local and Global Poisoning Attacks”, 25 Feb. 2025, https://doi.org/10.48550/arXiv.2502.17832 .

[5] Chanwoo Choi, Euntae Kim, Kyuho Lee, Youngsam Chun, Jinhee Jeong, Eunmi Kim, Myunggyo Oh, Junseo Jang, and Buru Chang, “KidnapRAG: A Black-Box Attack for Hijacking Reasoning in Agentic Retrieval-Augmented Generation Systems”, 1 Jul. 2026, https://doi.org/10.48550/arXiv.2607.00422 .

[6] Sagie Dekel, Moshe Tennenholtz, and Oren Kurland, “Addressing Corpus Knowledge Poisoning Attacks on RAG Using Sparse Attention”, 4 Feb. 2026, https://doi.org/10.48550/arXiv.2602.04711 .

[7] Zhe Yu, Wenpeng Xing, Gaolei Li, Shuguang Xiong, Hongzhi Wang, Xuyang Teng, and Meng Han, “Cordon-MAS: Defending RAG against Knowledge Poisoning via Information-Flow Control”, 26 May 2026, https://doi.org/10.48550/arXiv.2605.26754 .