Metaは、自社AIチャットボットの欠陥を悪用され、instagramの数万アカウントが乗っ取られたと認めた。本来は対話用のAIが、本人確認なしでパスワードリセットを実行できる権限を裏で握っていたことが原因だ。プロンプトインジェクションが「机上の理論」から「数万件単位の実害」へ移行した瞬間であり、AI導入を進める経営者にとって設計思想の転換を迫る一報である。

何が起きたか

Metaは、instagramの数万件のアカウントが、自社AIチャットボット経由でハッキングされた事実を認めた。攻撃の経路はシンプルだ。ユーザーの質問に答えるはずの対話AIに、パスワードリセット手続きを代行する権限がバックエンドで紐付いていた。攻撃者はこのAIに対し、会話を通じて指示を埋め込み、本人確認のステップを飛ばしたままリセットを実行させた。いわゆるプロンプトインジェクションの典型だが、規模が数万件に達した点で過去のPoC（概念実証）レベルとは一線を画す。Metaという、世界トップクラスのセキュリティ予算を投じる企業ですら、AIに業務権限を渡した瞬間に防御線が崩れた事実は重い。被害の中心は個人アカウントだが、企業の公式instagramアカウントが含まれていれば、ブランド毀損は一夜にして発生する構造である。

なぜこのニュースが重要か

このニュースの本質は「Metaがやられた」ことではなく、「AIエージェントに業務権限を委譲する設計パターンそのものが、現時点で攻撃耐性を持たない」ことが実証された点にある。2025年から2026年にかけて、AIエージェント市場は急拡大した。Salesforce、Microsoft、Googleが軒並みエージェント機能を実装し、国内SaaSベンダーも追随している。経営者の関心は「AIに何を任せればROIが最大化するか」に向かっていた。しかし今回の事案は、ROI計算の前提を揺るがす。AIに認証・決済・顧客データ操作の権限を渡せば、人件費削減効果は大きいが、想定外の侵入経路コストが青天井で乗ってくる。Metaの数万件規模の被害が示すのは、AIエージェントの「権限の広さ」と「攻撃面の広さ」が正比例するという、極めて当たり前だが見落とされがちな事実だ。導入前提のシミュレーションに、インシデント対応コストを織り込まないROI試算は、もはや経営判断の根拠として成立しない。

経営判断への含意

私が経営者なら、まず「AIに渡している権限の棚卸し」を即座に指示する。多くの企業は、ベンダーが用意した便利機能をオプトインで有効化しているが、その裏でAIがどのAPIを叩けるのか、どのテーブルに書き込めるのかを把握している経営者は少ない。Metaの事例で恐ろしいのは、「対話AI」という顔をしたものが、裏で「ID管理システムの操作権限」を持っていた点だ。UIの見た目と権限の広さが乖離している。これは自社で内製したAIエージェントでも、SaaSで導入したAIアシスタントでも同じ構造で起こり得る。

加えて、プロンプトインジェクションへの防御は、現在のLLMアーキテクチャでは原理的に完全防御が困難であることも直視すべきだ。だからこそ「AIが破られても致命傷にならない権限設計」、つまりブラスト半径（被害範囲）の最小化が、技術的対策よりも先に来る経営マターになる。フルオート化による生産性向上は魅力的だが、「人間の二重確認を残す業務」と「AI完結でよい業務」を経営者自身が線引きする必要がある。これを情報システム部門に丸投げした企業から、次のMetaになる。

経営者として次に取るべき動き

第一に、48時間以内にCIOまたは情報システム責任者に対し、「現在社内で稼働中のAI機能が、認証・個人情報・決済・顧客データに対して持つ書き込み権限」のリストアップを命じること。読み取りと書き込みを区別し、書き込み権限は原則として最小化する方針を明確にする。

第二に、AI関連の業務委譲リストを「フルオート可」「人間二重確認必須」「AI使用禁止」の三層に再分類する。パスワードリセット、送金、顧客データ削除、契約締結など不可逆な操作は、無条件で第二層以上に置く。

第三に、AIインシデントを前提とした広報・法務対応プレイブックを策定する。Metaは「認めた」ことで信頼を一部回復したが、初動を誤れば株価と顧客離脱に直結する。AI導入のROI試算に、最低でも年間売上の0.5〜1%相当のインシデント対応予備費を組み込むのが、これからの標準である。