問い合わせ欄の一文でAIが情報を送信｜読ませるなら分ける

今朝の記事は、Copilotの請求の話でした。今回はお金ではなく、情報の出口の話です。ホームページの問い合わせフォームに書かれた一文が、社内のAIへの「指示」として動いてしまいました。起きたのは大企業向けの製品ですが、形そのものは、中小企業のAIの使い方でも簡単にできあがります。

今日やること SalesforceのAgentforceを使っていなければ、この製品については何もしなくて構いません。修正も済んでいます。 そのうえで1つだけ決めておきます。問い合わせやメールなど、外から来た文章をAIに読ませるなら、そのAIには顧客台帳や取引先の一覧を見せない。

何が起きたか

セキュリティ企業のZenity Labsは2026年9月24日、SalesforceのAI「Agentforce」で見つけた弱点を「SalesBleed」という名前で公開しました（Zenity Labs：SalesBleed: 0-Click Data Exfiltration in Agentforce）。

流れはこうです。攻撃する側は、会社のホームページにある見込み客の登録フォーム（資料請求や問い合わせのフォーム）に、普通の問い合わせを装って、AIへの指示を書き込みます。社員が後日、AIに「最新の見込み客を確認して、いちばん新しい件を手伝って」と頼みます。AIはその問い合わせを読み、書かれていた指示に従って取引先の情報を検索し、社名や商談の規模といった中身を外のサーバーへ送ってしまいました。社員は何もクリックしていません。

Slackと連携させている場合は、リンクのプレビューが自動で開く仕組みを通じて同じことが起き、さらにAIを装った偽のメッセージを社内のチャンネルに流すこともできました。Zenity Labsによると、報告は2026年6月1日、Salesforceの修正が確認されたのは8月19日です（SecurityWeek）。

中小企業にとって何が変わるか

問い合わせフォームは「誰でも書ける入口」

今回の要所は、弱点そのものより入口の場所です。問い合わせフォームは、世界中の誰でも、名乗らずに文章を送れる場所です。これまでそこに届く文章は、人が読むものでした。人が読むなら、おかしな文章は「おかしな問い合わせ」で終わります。

AIが読むと話が変わります。AIにとって、問い合わせの本文も、社員からの依頼も、同じ「読んだ文章」です。どちらが指示でどちらが材料かを、いつも正しく分けられるとは限りません。外の人が書いた文章が、社員の頼みごとに紛れて、AIへの指示として動く。今回起きたのはこれです。

危なくなるのは、3つがそろったとき

Salesforceを使っていない会社にも関係があるのは、この事故が特別な製品の話ではないからです。起きる条件は3つに分けられます。

1. 外の誰でも書ける文章を、AIが読む（問い合わせ、メール、口コミ、応募書類）
2. 同じAIが、社内の台帳を読める（顧客一覧、取引先、見積もり、商談メモ）
3. AIの返事から、外へ出る道がある（リンクや画像の表示、メールの送信、外部サービスへの書き込み）

1つずつなら、どれも普通の使い方です。問い合わせメールの要約をAIに頼む。顧客一覧をAIに探させる。どちらも便利です。困るのは、それを1つのAIにまとめて任せたときです。「問い合わせを読んで、顧客台帳と照らし合わせて、返信の下書きまで作って」という頼み方は、まさにこの3つを1か所にそろえています。

うちは当てはまるのか

多くの中小企業は、上の2行のどちらかでしょう。気にしてほしいのは、AIとメール、AIとドライブを「便利だから」とつなぎ始めた会社です。つなぐ作業は数回のクリックで終わるので、3つがそろったことに気づきにくいのです。

よくある誤解：怪しい問い合わせなら、人が見れば分かる

分からないことがあります。今回の指示は、問い合わせの項目の1つにまぎれ込ませたものでした。人の目には、ありふれた問い合わせの一部にしか見えない書き方もできます。

それに、この形では人が読む前にAIが読みます。社員がしたのは「新しい見込み客を見て」と頼んだことだけです。受付の担当者がどれだけ注意深くても、その前にAIが中身を実行してしまえば間に合いません。

「修正済みだから関係ない」も、半分だけ正しい答えです。Salesforceの弱点は直りました。ただ、上の3つをそろえる使い方は、どの会社のAIでも作れます。直せるのは製品の穴で、使い方の形は自分で決めるしかありません。

いま何をすべきか／何もしなくていいか

大きな会社なら、ここで専用の監視の仕組みを入れる話になります。人手の足りない会社がそれをまねる必要はありません。読ませるAIと、台帳を見るAIを分ける。これだけで3つのうち1つが欠け、今回の形は成り立たなくなります。

社内ルールにするなら、1行で足ります。「外から来た文章を読ませるAIには、社内の台帳を見せない」。AIをつなぐたびに、この1行と照らし合わせてください。

関連するもっと詳しい話

• 生成AIの社内ルールは3つで足りる｜急ぐ義務はまだない — 「外から来た文章を読ませるAIに台帳を見せない」を、社内ルールのどこに置くかの話
• AIに任せていい仕事の見分け方｜判断は新人と同じ基準で — 問い合わせ対応のどこまでをAIに任せ、どこから人が見るかを決める考え方

問い合わせやメールをAIに読ませたいが、どこまでつないでよいか迷っている、というご相談はお問い合わせからどうぞ。