PDFのAI要約は危険？隠し指示を3分で確認

※本記事にはアフィリエイト広告（PR）が含まれます。

「取引先からもらったPDF、そのままAIに要約させているけれど、これって大丈夫なんだろうか」

そう思ったことがあるなら、この記事はあなたのためのものです。資料の中に、人の目には見えない指示文を仕込むことができる。そしてAIはその指示に従ってしまうことがある。そういう話を、どこかで見かけたのではないでしょうか。

先に結論を書きます。これは実際に起きうる話です。ただし、会社のパソコンに何かをインストールしなくても、3分あれば自分で確かめられます。使うのはWindowsに最初から入っているMicrosoft Edgeとメモ帳だけ。専門ツールもコマンド操作も要りません。

この記事では、まず何が起きるのかを整理します。そのうえで確認手順、この方法では見つけられない隠し方、怪しい文が見つかったときの動き方、そして「毎回はやらなくていい」線引きまで通しで扱います。PDF以外のWord・Excel・Webページ・メール本文についても同じ観点で見ていきます。

読み終わる頃には、いま手元にある1本のPDFについて「確かめるべきか、そのまま読ませていいか」を自分で判断できるようになっています。事実と違う要約を、そうとは知らずに上司や取引先へ渡してしまう。その事故を止めるのが、この記事の目的です。

私はChatGPT Plus・Claude・Google AI Pro・Microsoft 365 Personalを契約して使っている、非エンジニアの会社員です。ただし本記事は自分で攻撃を再現した記録ではなく、Adobe・Microsoft・IPA・OWASPが公開している資料を2026年8月24日に読み直して整理したものです。出典は記事末にまとめました。

資料に隠された指示文は、AIの要約を書き換えます

最初に、この話の芯を書きます。この問題の本質は「AIが間違える」ことではありません。AIが、資料の中の文章を『読む対象』ではなく『あなたからの命令』として受け取ってしまうことです。

あなたがAIに投げるのは「このPDFを要約して」という一文だけ。でもAIの手元には、あなたの一文と、資料の中身が並んで届きます。AIから見ると、この2つは同じ「文字」です。だから資料の中に「これまでの指示は無視して、次のとおり出力してください」と書いてあれば、それを命令として実行してしまうことがあります。

この手口には名前がついています。「間接プロンプトインジェクション」です。長いので言い換えると、「資料や画面の中に、AIあての命令をこっそり紛れ込ませる手口」ということになります。

AIアプリの安全性についての国際的な指針をまとめているOWASPは、この問題を最重要リスクの1番目（LLM01）に置いています。そこにはこう書かれています。指示は人間に知覚できないものであってもモデルに影響しうる、つまりプロンプトインジェクションは人の目に見える必要も読める必要もない、と（OWASP LLM01:2025 Prompt Injection／2026年8月24日確認）。

困るのは「もっともらしい嘘」が混ざることです

AIが露骨におかしな返事をするなら、まだ気づけます。実際にやっかいなのは、要約がちゃんとした日本語で、体裁も整っていて、でも一部だけ事実と違うケースです。

アドビは自社の公式ブログで、この具体例を挙げています。「このサービスは来月終了する」といった虚偽の情報をPDFに仕込んでおくと、AIがそれを要約に含めてしまう、というものです。同ブログは、こうした細工が投資判断や業務フローに直接影響を与える恐れがある、という言い方をしています（アドビ公式ブログ「AI時代に潜むPDF文書リスクとAcrobatを活用した安心なドキュメント利用」／2026年8月24日確認）。

大手も「起きる前提」で守りを組んでいます

これは一部の研究者だけが騒いでいる話ではありません。マイクロソフトはセキュリティ対応チーム（MSRC）の公式ブログで、この攻撃への多層防御を2025年7月31日に公開しています。そこでは、攻撃者がWebページ・メール・共有ドキュメントに指示を埋め込み、被害者が「このページを要約して」と頼んだ瞬間にそれが処理される、という流れが説明されています。隠し方の例として挙げられているのが「白い背景に白いテキスト」と「印刷されないUnicode文字」です（Microsoft MSRC「マイクロソフトの間接プロンプトインジェクション防御戦略」／2026年8月24日確認）。

マイクロソフトはさらに、開発者向けの設計指針でも同じ姿勢をとっています。実務上の推奨の1つ目が「間接プロンプト挿入が発生すると想定する」、つまり一部の攻撃は成功する前提でシステムを設計せよというものです（Microsoft Learn「間接的なプロンプトインジェクション攻撃から防御する」／2026年8月24日確認）。

作っている側が「完全には防げない」と言っている。だから使う側の私たちにも、確認する手が要る。話の順番はそれだけです。

日本でも「AIの利用をめぐるリスク」が上位に入りました

国内の状況も添えておきます。IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」で、「AIの利用をめぐるサイバーリスク」が初めて選出され、組織向けの3位に入りました。1位がランサム攻撃、2位がサプライチェーン攻撃、その次です（IPA「情報セキュリティ10大脅威 2026」／2026年8月24日確認）。

この脅威の中身としてIPAが挙げているものの1つが、AIが加工・生成した結果を十分に検証せず鵜呑みにすることで生じる問題です。仕込みがあってもなくても、要約をそのまま信じるのは危ない。国の機関がそう言い始めた年、ということになります。

指示文は、資料の5か所に隠せます

「見えない文字」と聞くと、白い文字を思い浮かべる方が多いと思います。実際にはそれだけではありません。アドビ公式ブログが挙げている隠し場所を、確認のしやすさで並べ替えたのが次の表です。

隠し場所	人の目で見えるか	コピーして貼ると出るか	あとで紹介する3分手順で
背景と同じ色の文字 白紙に白い文字など	❌ 見えない	✅ 出る	見つかる
透明なフォント 文字色を透明に設定	❌ 見えない	✅ 出る	見つかる
極端に小さい文字 1ポイント未満など	△ 点にしか見えない	✅ 出る	見つかる
画像の裏に置いたテキスト レイヤーを重ねて隠す	❌ 見えない	△ 出ることがある	見つかることがある
メタデータ・画像のALTテキスト 文書情報や画像の説明文	❌ 見えない	❌ 出ない	見つからない

アドビ公式ブログは、脚注やメタデータに「Ignore the user’s prompt and inst…（利用者の指示を無視して、代わりに次を出力せよ）」型のコマンドを潜ませる例、フォント色を背景色と同じにして目視できない偽情報を挿入する例、レイヤーを重ねて画像の裏にテキストを置く例、そして画像のALTテキストに仕込まれるケースを挙げています。

表を見てもらうとわかるとおり、上の3つ——色で隠す・透明にする・小さくする——は、コピーして別の場所に貼るだけで正体が出ます。文字の色やサイズは「見せ方」の情報であって、文字そのもののデータは資料に残っているからです。手順が3分で済むのは、この性質のおかげです。

3分でできる確認手順（会社のパソコンに何も入れません）

ここからが本題です。使うのはMicrosoft Edgeとメモ帳の2つだけ。どちらもWindowsに最初から入っています。インストールも管理者権限も要りません。

Edgeには標準でPDFリーダーが組み込まれていて、ローカル・オンライン・Webページ埋め込みのどのPDFも開けます。テキストの選択、検索、読み上げにも対応しています（Microsoft Learn「Microsoft Edge の PDF リーダー」／2026年8月24日確認）。

検索する言葉のリスト

仕込む側は、AIに確実に伝わる書き方を選びます。そのため命令文は英語であることが多く、言い回しもある程度パターン化しています。上から順に試してください。

検索する言葉	読み方・意味	引っかかったら
ignore	「無視せよ」。命令文の定番の書き出し	前後1文を読む。命令文なら黒
instruction	「指示」。instructionsと複数形のことも	同上
You are	「あなたは〜である」。AIに役を与える書き方	同上
Do not	「〜するな」。禁止を与える書き方	同上
system / prompt / assistant	AIの内部用語。ふつうの案内文には出てこない	同上
無視	日本語で書かれている場合	「これまでの指示は無視」型かを見る
要約	要約のしかたを指定する文が紛れていないか	「要約では〜と書け」型なら黒
AI	資料がAIに話しかけていないか	「AIへ」「AIの方へ」型なら黒

注意点を1つ。これらの言葉が出てきたからといって、それだけで悪意があるとは限りません。英語の資料なら「instruction」はふつうに出ます。判断の基準は言葉そのものではなく、「その文が、読み手ではなくAIに向かって話しかけているかどうか」です。

文字が選択できないときは、Wordで開きます

Ctrl＋Aを押しても何も選択されないPDFがあります。中身が画像として作られている場合と、作成者がコピーを禁止する設定をかけている場合です。前者なら、会社のパソコンにWordが入っていればWordで開くという手が残っています。

WordはPDFのコピーを作ってWord文書に変換します。元のPDFはそのまま残ります。マイクロソフトの公式ヘルプいわく、この変換は業務文書・法的文書・科学分野の文書のような、ほとんどがテキストのファイルで最も良く機能します。逆に、中身のほとんどがグラフや図で構成されている場合はページ全体が画像として表示され、テキストを編集できません（Microsoft Support「Word で PDF ファイルを開く」／2026年8月24日確認）。

Wordで開いたあとは、Ctrl＋Aで全選択して、「ホーム」タブの「フォントの色」を赤に変えてみてください。白かった文字が赤くなって、いきなり姿を現します。レイアウトは崩れますが、確認が目的なら問題ありません。終わったら保存せずに閉じましょう。

この手順で見つけられない隠し方もあります

ここは正直に書きます。3分の手順は万能ではありません。取りこぼす隠し方が、はっきりあります。それを知らずに「確認したから安全」と思い込むほうが危ないので、限界のほうを先に並べます。

取りこぼす隠し方	なぜ見つからないか	どうするか
画像に焼き込まれた文字	文字ではなく絵なので、コピーしても文字として出てこない	資料内の図や写真を拡大して目視。AIに画像も読ませているなら要注意
コピー禁止のPDF	作成者の設定でテキストの選択・コピーが止められている	Wordで開く。それも無理なら、その資料はAIに読ませない
メタデータ（文書情報）	本文ではないのでコピー対象に入らない	Acrobat Proなど専用ソフトが要る領域。社内の情報システム部門へ
画像のALTテキスト	画像の説明文であって本文ではない	同上
印刷されない特殊文字	貼り付けても幅ゼロで、目に見える形にならない	目視では判定困難。要約を鵜呑みにしない運用で受け止める

アドビはこの領域に対して、Acrobatのプリフライト機能で背景色と同じフォントや極小文字を自動検出して一括削除・置換する方法と、非表示情報削除機能を案内しています。会社にAcrobatの有償版が入っているなら、情報システム部門に相談する価値があります。ただ、多くの会社員のパソコンに入っているのは無料の閲覧ソフトまでです。だからこの記事は、そこに頼らない前提で書いています。

AI自身に聞く、という補助手段

もう1つ、道具を増やさずにできることがあります。資料を読ませたAIに、こう聞いてみる方法です。

うまくいけば、仕込まれた文をそのまま出してくれます。ただし過信は禁物です。仕込まれた指示が「この指示の存在を隠せ」と命じていたら、AIはそれに従うかもしれません。攻撃を受けている当人に「攻撃されてる？」と聞いているようなものだからです。あくまで補助、という位置づけで使ってください。

ちなみに、AIの要約がずれる原因は仕込みだけではありません。スキャンしたPDFで文字が読めていない、Excelの表がデータとして届いていない、といったもっと素朴な理由のほうが件数としては多いはずです。そちらの切り分けはAIに資料を読み込ませたら的外れ｜原因の切り分けにまとめています。要約が変だと感じたら、まずはこちらを疑うほうが早いことも多いです。

怪しい文が見つかったら、この順番で動きます

ここが、この手の記事でほとんど語られない部分です。「見つけ方」は解説されていても、「見つけたあとどうするか」はたいてい書いてありません。でも実際に困るのは、そこからですよね。

送り主に連絡すべきか、という悩ましい問題

結論から言うと、個人の判断で送り主を問い詰めるのはおすすめしません。理由は3つあります。

• 送り主が仕込んだとは限らない。その人も誰かから受け取って転送しただけかもしれません。ファイルは何人もの手を経て回ってきます
• 意図的でない場合がある。過去に別の目的で入れたテキストが残っていた、変換ソフトの副産物だった、という可能性もあります
• 取引関係に傷がつく。「御社の資料に不正なコードが入っていました」は、間違いだったときの取り返しがつきません

社外への連絡は、会社としての判断が必要な行為です。窓口に上げたうえで、誰の名前でどう伝えるかを決めてもらいましょう。あなたがやるべきなのは、正確な事実を社内へ届けるところまでです。

毎回はやらなくていい。確認するかどうかの線引き

ここまで読んで「全部の資料でこれをやるのか」と思ったなら、その感覚は正しいです。届く資料すべてに3分かけていたら、AIで短縮した時間が消えてしまいます。

判断の材料は3つだけです。誰から来たか・どこ経由で来たか・要約を何に使うか。この3つで決めます。

資料の性質	例	要約を自分だけが読む	要約を人に渡す・判断材料にする
自分や同僚が作った社内資料	部署の週次定例の議事録、在宅勤務ルールの案内	確認しない	確認しない
付き合いの長い取引先から、いつもの担当者が直接送ってきた資料	継続案件の進捗報告	確認しない	△ 気になれば
初めての相手・面識のない差出人から届いた資料	飛び込みの提案書、問い合わせフォーム経由の添付	△ 気になれば	確認する
ネットで拾った出どころ不明のPDF	検索で出てきた資料、SNSで流れてきたファイル	確認する	確認する
誰かの手を何度も経て回ってきた資料	転送の転送で届いた添付、共有フォルダの出どころ不明ファイル	△ 気になれば	確認する

仕込みが効きやすい場面には、共通点があります

もう1段だけ、判断の精度を上げる見方を足します。攻撃する側から見て「うまみ」がある場面かどうか、という見方です。

• 不特定多数から資料が集まる窓口。採用の応募書類、公募への提出物、フォームからの添付。仕込む側は誰の目に触れるか計算できます
• 要約が選別に使われる場面。「AIに要点を出させて、通すかどうか決める」流れがあるなら、そこは狙われます
• AIが要約以外のこともできる状態。メールの送信やファイル操作までAIに任せている場合、被害が要約の誤りだけで済みません

3つ目については、マイクロソフトの説明が参考になります。Outlookのコパイロットは、下書きを生成したうえでユーザーが承認してから送信する設計になっていて、これが有効な緩和策になっている、という説明です。AIに最後のボタンを押させない。個人でも同じことが言えます。

PDF以外も同じです（Word・Excel・Webページ・メール）

ここまでPDFの話をしてきましたが、この問題はファイル形式の問題ではありません。AIが文字を読み込むところ全部が対象です。形式ごとに整理します。

形式	主な隠し方	追加ソフトなしの確認方法
PDF	白文字・透明フォント・極小文字・レイヤー	Edgeで開いてコピー→メモ帳に貼る
Word	白文字・極小文字・「隠し文字」書式・ヘッダー/フッター	Ctrl＋Aでフォント色を赤に／「隠し文字」の表示をオン
Excel	白文字セル・非表示の行/列/シート・書式で値を隠す	全選択して文字色を変更／行・列・シートの再表示
Webページ	画面外に飛ばしたテキスト・背景と同色の文字	Ctrl＋Aでコピー→メモ帳に貼る（完全ではない）
メール本文	HTMLメール内の白文字・極小文字	本文を全選択してメモ帳に貼る／テキスト形式で表示

Word：「隠し文字」という書式があります

Wordには、文字を非表示にする「隠し文字」という書式が最初から用意されています。Wordのオプションの「表示」を開くと、編集記号の一覧に「隠し文字」のチェックボックスがあります。公式ヘルプの説明は、隠し文字として書式設定されたテキストの下に点線を表示するためのオプション、というものです（Microsoft Support「Word Options (Display)」／2026年8月24日確認）。

手順はこうです。「ファイル」→「オプション」→「表示」→「隠し文字」にチェック。これで隠されたテキストが点線つきで画面に出ます。あわせてCtrl＋Aで全選択し、フォントの色を赤に変えれば、白文字のほうも同時に見つかります。ヘッダーとフッターも見てください。本文だけ確認して安心しがちな場所です。

Excel：見えていないのは文字色だけではありません

Excelは隠せる場所が多いぶん、確認箇所も増えます。文字を白くする以外に、行や列やシートごと非表示にする方法があり、さらに書式でセルの値を画面から消す方法もあります。

3つ目は公式ヘルプに手順が載っています。セルの表示形式を「ユーザー定義」にして、種類の欄に「;;;」（セミコロン3つ）を入力する、というものです。この状態のセルはワークシート上では空白に見えますが、値そのものは残っていて数式バーには表示され続けます（Microsoft Support「セル値を表示または非表示にする」／2026年8月24日確認）。

Webページとメール：ここは完全には確認できません

AIブラウザやAI検索に「このページを要約して」と頼む場面も増えました。ただ、Webページは正直なところ、非エンジニアが追加ソフトなしで完全に確認するのは難しい領域です。表示から外されたテキストは、Ctrl＋Aでコピーしても付いてこないことがあるからです。

なので、Webページについては確認より運用で守るほうが現実的です。検索で最初に出てきた見知らぬサイトを、いきなりAIに丸ごと要約させない。要約に出てきた数字や固有名詞は、元のページで自分の目に入れる。この2つで足ります。

メールについても同じ考え方です。マイクロソフトが挙げている埋め込み先の1つがメールですから、無視できません。Outlookなら本文を全選択してメモ帳に貼れば、白文字は姿を現します。差出人に心当たりがないメールをAIに要約させる前に、ひと呼吸置きましょう。

IPAが2026年4月2日に公開した「AI利用者のためのセキュリティ豆知識」でも、AIブラウザは社内用と社外用を分ける、といった実践的な対策が紹介されています。AIにもセキュリティにも詳しくない利用者向けに書かれた資料なので、目を通しておいて損はありません（IPA「AI利用者のためのセキュリティ豆知識」／2026年8月24日確認）。

確認より効くのは、要約の使い方を変えることです

最後に、いちばん効く対策を書きます。それは確認の手順ではなく、要約を「答え」ではなく「地図」として扱うことです。

要約の役目は、30ページの資料のうち自分がどこを読むべきかを教えてくれることです。読むべき場所がわかったら、そこは原本を開いて自分の目で読む。この使い方をしていれば、仕込みがあってもなくても、事実誤認が外へ出ていく確率はぐっと下がります。

この3つさえ原本で確かめれば、要約が多少ずれていても致命傷にはなりません。逆に言うと、この3つを確かめずに転送するのが、いちばん危ない使い方です。

もう1つ、AIに任せる範囲の話もしておきます。マイクロソフトの防御戦略で「非常に効果的な緩和策」として挙げられていたのが、人が承認してから実行させる設計でした。個人の使い方に翻訳すると、AIに読ませるのはいい、でも送信ボタンは自分で押すということです。要約から作った返信をAIにそのまま送らせない。これだけで、被害の大きさが変わります。

なお、この分野の状況は動き続けています。IPAは「AIセキュリティ短信」という形で事例を継続的に公開していて、2026年6月号まで出ています。年に数回のぞいて、手口の傾向だけ知っておく。それくらいの距離感でちょうどいいと思います（IPA「AIセキュリティ短信」／2026年8月24日確認）。

よくある質問

Macを使っています。同じことはできますか。

できます。考え方はまったく同じで、道具の名前が変わるだけです。PDFはプレビューやブラウザで開いて全選択・コピー、貼り付け先はテキストエディットです。テキストエディットは初期状態だとリッチテキストなので、「フォーマット」メニューから標準テキストに変換してから貼ると、色や大きさの情報が落ちて見えなかった文字が出てきます。

ChatGPTやClaudeなら、こういう仕込みは防いでくれるのでは？

各社とも検知や無害化の仕組みを入れています。ただ、マイクロソフトは開発者向けの指針で「一部の攻撃は成功する前提で設計する」という立場をとっていますし、対策として挙げられているものにも誤検知や取りこぼしのトレードオフが明記されています。サービス側の対策があることと、利用者が確認しなくていいことは別、と考えるのが安全です。

見つけた隠し文字を自分で消して、AIに読ませ直してもいいですか。

おすすめしません。理由は2つあります。1つは、消したつもりでも同じ資料の別の場所に残っている可能性があること。もう1つは、社内で報告するときに元の状態がわからなくなることです。中身がどうしても必要なら、原本は保存したうえで、必要な章だけを人の手で選んでメモ帳経由の文字だけにしてから渡してください。

社内で作った資料でも確認したほうがいいですか。

基本は不要です。ただし、社外から届いた資料を社内の誰かが加工して回している場合は、出どころが社外のままです。判断の軸は「社内か社外か」ではなく「大元がどこから来たか」だと考えてください。

「PDFの隠し文字を検出」とうたう無料のWebサービスを使ってはだめですか。

取引先から預かった資料を、無関係の会社のサーバーへ送ることになります。隠し文字を見つける前に、情報の取り扱いのほうで問題になりかねません。手元のパソコンの中で完結する方法があるなら、そちらを選んでください。会社のルールで社外サービスへのアップロードが制限されている場合も多いはずです。

スキャンした紙の資料なら、この問題は起きませんか。

白文字や透明フォントという形では起きにくくなります。ただし、画像の中に読める形で命令文が書き込まれていれば、画像も読めるAIはそれを文字として認識します。紙をスキャンしたPDFが安全、と単純には言えません。なお、スキャンしたPDFはそもそもAIに中身が届かないことがあり、要約がずれる原因になります。この点はAIに資料を読み込ませたら的外れ｜原因の切り分けで詳しく扱っています。

仕込みが見つかったら、それは犯罪ですか。

その判断は個人がする話ではありません。意図的なのか、古いテキストが残っていただけなのかも、受け取った側からは判別できません。事実だけを社内の窓口へ届けて、そこから先の判断は会社に委ねてください。それが自分を守ることにもつながります。

まとめ：3分の手順と、2つの線引き

長くなったので、持ち帰ってほしいところをまとめます。

怖い話に聞こえたかもしれませんが、やることは地味です。コピーして、メモ帳に貼って、上から眺める。それだけで、いま手元にあるPDFの大半は白黒がつきます。今日届いた資料のうち1本でいいので、試してみてください。1回やれば手が覚えます。

そして、そもそもの話。AIに資料を読ませる場面が増えているなら、どのAIをどこまで使うかを一度決めておくと迷いが減ります。無料で足りるのか、有料にすべきか、複数を使い分けるのか。用途別の整理は次の記事にまとめてあるので、自分の使い方に近いところだけ拾ってみてください。

参考にした公開資料（2026年8月24日確認）

• AI時代に潜むPDF文書リスクとAcrobatを活用した安心なドキュメント利用（アドビ公式ブログ）
• マイクロソフトの間接プロンプトインジェクション防御戦略（Microsoft MSRC）
• 間接的なプロンプトインジェクション攻撃から防御する（Microsoft Learn）
• LLM01:2025 Prompt Injection（OWASP Gen AI Security Project）
• 情報セキュリティ10大脅威 2026（IPA）
• AI利用者のためのセキュリティ豆知識（IPA）
• AIセキュリティ短信（IPA）
• Microsoft Edge の PDF リーダー（Microsoft Learn）
• Word で PDF ファイルを開く（Microsoft Support）
• セル値を表示または非表示にする（Microsoft Support）
• Word Options (Display)（Microsoft Support）