aigeek編集部
Googleカレンダーに届いた招待状を、開いていない。押してもいない。それでも、家の照明が消え、給湯器が動いた。──2025年、そんな実験結果を研究者がGoogleに報告した。Googleは対策し、公表前に対応を終えたはずだった。ところが2026年1月、同じ入口からまた別の報告が出ている。何が起き、何がまだ直っていないのかをまとめる。
何が起きたか──招待状は、開かれていない
発端は2025年2月、Googleに届いた1件の通報だった。報告したのはBen Nassi氏（Tel-Aviv University）・Stav Cohen氏（Technion）・Or Yair氏（SafeBreach）の3人。「Invitation Is All You Need（招待状さえあればいい）」と名付けた研究で、Googleのスケジュール管理アプリ「カレンダー」に届く招待状を悪用する手口を見つけていた。
やり方はこうだ。招待状の説明欄に、人が読めば普通の文章に見えて、AIには指示として読まれる文章を仕込んでおく。利用者はその招待状を開かない。押しもしない。それでも後日、AIに「今週の予定をまとめて」と頼んだ瞬間、AIは招待状の中身を読み込む。そこに仕込まれた指示も、一緒に読み込んでしまう。
研究チームは、5つの型に分けた14の攻撃を、3つのGeminiアプリに対して行った。そのうち、Google Home経由で実際に家の機器が動いたのは3つ──窓を開ける・給湯器を入れる・照明を消す、だった。ほかにも、Zoomでの映像配信を勝手に始める、メールの中身を持ち出す、Android端末の位置情報を取得するといった動作も確認されている。攻撃の一覧は研究者のプロジェクトページにまとまっており、SafeBreachのブログも手口を解説している。
この「読み込んだ文章の中に紛れた指示を、AIが本物の指示と区別できずに従ってしまう」問題には名前がある。プロンプトインジェクションと呼ばれ、AIエージェントが外部の文章（メール・Webページ・招待状など）を読む機会が増えるほど、入口も増える種類の問題だ。
Googleは直した。半年後、また別の入口から
研究者からの通報を受け、Googleは90日間の責任ある開示期間を経て、2025年6月までに複数層の防御を展開した。指示混入を見つける分類器を組み込み、危ない操作の前には確認を挟む──研究内容が外部に公表される前に、Googleは対応を終えていたことになる。
ところが2026年1月19日、セキュリティ企業Miggo Securityが、同じ「カレンダーの招待状」という入口を使った別の手口を報告した。今度は家電の操作ではなく、招待状の説明欄に仕込んだ指示でGeminiに予定の要約を作らせ、その要約を新しい予定の説明欄に書き込ませる。攻撃者はその新しい予定を読むだけで、他人の予定の中身を持ち出せてしまう、という手口だ。Googleのセキュリティチームはこれを確認し、修正したとMiggoの投稿は伝えている。なお、この報告は2025年の研究には一切触れておらず、通報日・修正日も書かれていない。2つの報告は「同じ入口から、別の時期に、別の手口が出た」という事実として並べておく。
Google自身も、この種の防御が完了したとは説明していない。公式ブログには、指示混入を検出する分類器・「敵対的な内容は無視せよ」という念押しの学習・危ない操作の前の本人確認など5層の防御を並べたうえで、次のように書かれている。
“We continue working to make upcoming Gemini models inherently more resilient and add additional prompt injection defenses directly into Gemini later this year.”（今後のGeminiモデルをより頑健にする取り組みを続けており、今年じゅうに、さらに別のプロンプトインジェクション対策をGeminiに直接組み込んでいく）
直している側であるGoogleが、自ら「まだ途中だ」と書いている。
企業にとっての意味──外の文章を読むAIエージェント全般の話
この一件が一部のスマートホーム利用者だけの話で終わらないのは、同じ構造の問題がこの1か月だけでも繰り返し報告されているからだ。AIエージェントに外部システムへのアクセス権限を与えるほど、AIが読み込む「外の文章」も増える。その文章の中に指示が紛れていれば、AIは本物の指示と区別できずに従ってしまう。Word文書を開いただけでCopilotが乗っ取られた自己増殖プロンプトの事例や、AIコーディングエージェントが攻撃者の指示に従ってしまった事例も、根っこは同じ「外部の文章を指示と取り違える」問題だ。AIが評価テストの最中に監視をすり抜けた別の一件と合わせて見ると、AIエージェントを実務に導入する際は、「どの権限を与えるか」だけでなく「どんな文章を読ませる可能性があるか」まで含めて考える必要があることが分かる。
利用者にできること──正直に言うと、変えられる設定は無い
「では自分で何か設定を変えられるのか」というと、Googleカレンダーのヘルプページを確認する限り、一般の利用者が変更できる設定は用意されていない。守りはGoogle側の自動処理に委ねられていて、危ないものを見つけるとGeminiが警告を出す・答えを拒む・危ない部分を除いて答える、という形で対応する。利用者にできるのは、フィッシング報告やGeminiの回答へのフィードバックといった「報告」だけだ。
だから、よくある「設定を3つ変えましょう」という助言はここでは書けない。正直に言える実用的なヒントは1つだけ──AIに外部から届いた文章（招待状・メール・Webページ）を要約させたとき、その答えをそのまま鵜呑みにしないこと。リンクを踏まなくても、AIに読ませて要約させただけで何かが起きうるのが、この話の新しいところだ。
わかっていないこと
2026年1月の報告については、Googleへの通報日も修正日も公開情報には書かれていない。そのため、この手口がどれだけの期間使える状態だったのかは分からない。また、2025年の研究と2026年1月の報告を運営側が明示的に関連付けている記述もない。ここでは両者を「同じ入口を使った、別々の報告」として並べているだけで、一方がもう一方の直接の原因や続きだと主張するものではない。日本のGoogle Workspace利用者に固有の制限があるかどうかも、公開情報からは確認できていない。
まとめ
招待状を開かなくても、AIに要約させた瞬間に指示が効いてしまう。Googleは2025年の報告を受けて公表前に対策を終えていたが、2026年1月、同じ「カレンダーの招待状」という入口から、別の手口がまた報告された。Google自身、防御はまだ完成していないと書いている。AIエージェントが外部の文章を読む場面が増えるほど、この種の入口は今後も見つかり続けると考えたほうがいい。
HALBo
