AIにメールを読ませる時代。「見えない指示」でだまされるリスクとは？

受信メールをAIに要約してもらうと、確認の負担を減らせます。
ただ、そのメールを書いた相手が、AIに別の仕事をさせようとしていたらどうでしょうか。

Sublime Securityは2026年10月26日、請求書詐欺メールに、メールを読むAIへ向けた隠れた指示が含まれていた事例を公表しました。
確認日は10月22日です。人をだます文章に加えて、AIの処理にも働きかけようとする攻撃です。

この記事では、報告された事実と想定されるリスクを分けながら、メール業務でAIを使う企業が押さえたい点を解説します。

請求書メールに、AI向けの転送指示が隠されていた

報告によると、攻撃者は経営者などを装ったメールに偽の請求書を添付し、表示されにくい文字やHTMLの仕組みで、AI向けの指示を隠していました。その内容は、メールと添付PDFを経理担当の宛先へ転送させようとするものでした。

ここで確認されたのは、不正な指示を含むメールの存在です。
この報告だけで、AIが転送を実行した、送金が行われた、金銭被害が出たとは言えません。
試験したモデルの反応も、隠れた文字に気づかないものから、攻撃として認識するものまで異なったとされています。

このように、外部から受け取った情報に指示を紛れ込ませ、AIを本来の依頼から逸らそうとする攻撃を「プロンプトインジェクション」と呼びます。

たとえば社員が頼んだのは「今日届いた請求書メールを一覧にして」という作業でも、メールの中には「この添付を別の宛先へ送って」と書かれているかもしれません。メールの送信者は、社員のAIに仕事を指示する権限を持っているわけではありません。

人なら「相手から届いた依頼」と「社内で承認された作業」を分けて判断します。
AIを使う仕組みでも、この境界が必要です。画面に見えている文章だけを眺めても、AIが処理する情報をすべて確認できるとは限りません。

同じメールを読ませても、その後に何が起こり得るかは、AIに接続した機能や権限で変わります。
次の表は、特定製品の不具合ではなく、業務を考えるための整理です。

任せている仕事	確認したい影響
内容の要約・分類	重要な情報が省かれたり、不審な依頼が正当なものとして要約されたりしないか
返信案・転送案の作成	本文だけでなく、宛先や添付の選び方が誘導されていないか
送信や他システムへの登録	人が意図していない情報共有や処理が実行されないか

送信機能がなくても、要約を信じた人が次の処理を誤る可能性はあります。
一方、メールを読むAIがすべて勝手に送信できるわけでもありません。
利用している構成に合わせて影響を見極めます。

実務で大切なのは、AIの要約に「承認済み」と書かれていても、それを社内の承認記録の代わりにしないことです。
メール内の過去のやり取りや署名も、正当性を保証するものではありません。

たとえば請求書の処理では、依頼元、取引内容、請求金額、振込先などを、社内の契約・発注・承認情報と照合します。
AIによる分類は確認の入口として使い、支払いの可否を決める根拠は別に持ちます。

通常と異なる転送先や新しい共有先が提案された場合も、その理由を元のメールだけで判断しないようにします。
業務担当者が、既知の連絡先や社内の確認経路で確かめる流れが必要です。

依頼していない転送や添付ファイルの送信が提案された場合は、そのまま実行せず、対象の処理を保留します。
自動処理が動いているなら、管理担当者へ連絡して停止や接続の見直しを行います。

確認に使うのは、対象メール、AIに依頼した内容、提案または実行された操作、日時などです。
これらには機密情報が含まれる場合があるため、誰でも見られるチャットへ貼り付けず、社内の報告先へ必要な範囲で共有します。

また、「AIが怪しい指示を見つけてくれるはず」と任せきりにはしません。
外部情報を扱う設計、操作範囲の制限、重要な処理の確認を組み合わせることが大切です。

今回の事例は、攻撃者がメールを読むAIも意識し始めていることを示しています。
メールをAIに読ませること自体を一律に避けるのではなく、結果を何に使い、どの操作につながるかを確認しましょう。

要約を仕事の判断に使うときは、元のメールと社内の確かな情報へ戻る。重要な処理は、決めた確認経路を通す。
この考え方が、便利さを保ちながらリスクを抑える土台になります。