先に結論を書いておくと、メールの処理をAIに任せるなら、リンクを開く判断だけは人の手元に残した方がいい。
先日ある採用担当の方から「受信箱はもうAIに読ませています」と聞いた。要約させて返信の下書きまで作らせているという。正直に言えば羨ましいと思った。採用の現場にいれば分かるが応募者からのメールとエージェントからの推薦と媒体の通知だけで午前中は溶ける。あれを人力で捌き続けるのは無理がある。
ただその話を聞いた数日後に8月のニュースを見て、順番が変わったと思った。いま決めるべきなのは任せてよいかどうかではない。何を検査せずにAIへ渡しているかのほうだ。
人は「迷う」、AIは「迷わず開く」
さくらインターネットが自社の販売管理システムへの不正アクセスを公表した。会員情報が第三者に見られた可能性のある対象は136万563アカウント。漏れたかもしれない項目には会社名や住所だけでなく契約サービスと契約期間と請求金額が並んでいる。同社は利用者に対して、不審なメールが届いても本文中のURLを開かないよう呼びかけている。対策としては「いつも通り」で「メールのリンクを自分はクリックしないし」とそのまま他人事として閉じてしまいそうな内容だ。
人ならそれが可能だ。ではAIはどうか？
ここが今回の肝だと思っている。まず今回の漏洩で起きたのは、攻撃する側の手元に「この会社はこのサービスをこの期間この金額で契約している」という情報が渡った可能性があるということだ。つまり金額まで合致した「更新のお支払いが確認できません」というメールを作れるということだ。差出人の表示名も文面も自然で契約内容も合っている。もし私が受け取っても「あれ、払ってないの？」と思ってしまう可能性がある。
それでも人には一瞬がある。「これ先月払ったよな」と手が止まる、あの一瞬だ。AIはその一瞬を持っていない。 頼まれた仕事を素直にやるだけなので、送信元のドメインを見て気持ち悪いと感じることがない。素直にクリックしてしまい、ログイン権限まで与えていたらID/PASSの入力までしてしまうかもしれない。してしまったらもう餌食だ。
漏れた情報の使われ方はもう一つある。IDとパスワードの組み合わせを他のサービスで片っ端から試すリスト型攻撃だ。2026年6月にはエン株式会社が「ミドルの転職」への不正ログインを公表していて、5月26日から6月2日にかけてのログイン総数は2,503件だった。転職サイトの会員情報ページには職務経歴が入っている。人材サービスの側で起きた事実は採用に関わる人ほど重く受け取ったほうがいい。
採用に届くメールは「ほぼ外部から直」、外部がやられていたら？
普段のメール受信箱を思い浮かべてほしい。課員からの共有メール、部全体メール、社内共有メールなどなど、単純に量が多いだけなら事務に任せるか、AIに任せるかなども選択肢になる。
ただ「採用担当の」受信箱には他の部署にない性質がある。応募者からのメール、エージェントからの推薦、媒体の通知、日程調整、請求書…これらを送ってくるのはほとんど社外の人だ。 職務経歴書も推薦文も媒体の通知も、社内の誰かが確認してから届くわけではない。これを「社内」と同様の扱いでAIに任せるとどうなるか。攻撃視点なら、AIに読ませる文章を自分で自由に書ける入口ということになる。応募者に攻撃者が紛れていたら？応募してきたとある転職エージェントが乗っ取られたアカウントだったら？こんな攻撃者が入り込みやすい入口はそう多くない。
Claude自ら危険性を謳っている
文章の中に紛れ込ませた命令をAIが指示だと思い込んで実行してしまうことを、間接プロンプトインジェクションと呼ぶ。人には読ませずAIにだけ読ませる文を仕込む手口だと思ってもらえればいい。
これが実際どうなるかはセキュリティ企業のGuardioが2025年8月に公開した実験を見ると早い。AIブラウザに、大手銀行を装った偽のメールを処理させた。AIはそれを銀行からの用件として扱い、確認を挟まずにリンクを開いている。表示された偽のログイン画面も本物として扱い、認証情報を入力させる手前まで進んだ。
AI自体を作っている側も数字を出している。企業でも利用が急増しているClaudeを提供するAnthropicは、2025年8月に自社のブラウザ操作AIを29種類の攻撃シナリオで試した結果を公表した。安全対策なしなら攻撃の成功率は23.6%、対策を入れて人の確認を挟まない設定にしても11.2%が残る。同じ資料にはメールの整理が必要だという文面に従って、AIが確認を取らずに利用者のメールを削除してしまった例まで載っている。自社製品の話としてここまで書くのは、それだけ根が深い問題だからだと思う。
こうした仕掛けは研究者の実験室だけの話ではなくなった。2026年3月にはPalo Alto Networksが、実際の通信の中からこの手の細工が見つかり始めていると報告している。日本での位置づけも変わった。IPAの「情報セキュリティ10大脅威 2026」では「AIの利用をめぐるサイバーリスク」が初めて選ばれ、組織向けの3位に入っている。ランサム攻撃とサプライチェーン攻撃の次だ。
ここまで脅すようなことを言っておきながら正確に書いておきたいことがある。AIがフィッシングメールのリンクを開いたせいで実害を受けたと公表した組織は、国内にも海外にも見当たらない。 実証と観測はあっても被害の公表はまだない。だからこれは「もう起きている」ではなく「起きる条件が揃った」という話として読んでほしい。
AIに読ませているのは、メールだけではない。レジュメも危険だ
書類のほうも触れておく。Duke大学などの研究チームが実際の履歴書196,682件を調べた結果を2026年に公表している。人の目には見えない隠しテキストが入っていたのは2,030件で全体の約1%だった。
ただし中身を見ると、9割以上は「これまでの指示を無視せよ」といった命令文ではなく、スキル名や職種名を白文字で大量に詰め込む水増しだった。研究チームは倫理上の配慮から、それが選考結果を動かしたかどうかまでは検証していない。効果があると証明されたわけでも無いと証明されたわけでもない。そういう書類がすでに1%程度混ざっているという事実だけが分かっている。
決めておくことは3つでいい
対策と言うと大掛かりに聞こえるかもしれない。ここまでの経路は次の3つでだいたい塞がる。
メール本文のリンクからログイン画面に入らない。 人にもAIにも同じルールを当てる。請求の確認も媒体の管理画面もいつも使っているURLをブックマークから開く。攻撃する側が用意できるのはメールの中身が主なので、そこを通らないだけで大半は成立しなくなる。
パスワードや認証コードの入力を求められた時点で、自動処理を止めて人に上げる。 AIに任せた作業がその画面に着いたら、そこから先は例外なく人の判断に戻す。回避策を探させない。
AIに渡す権限を、読むことと操作することで分ける。 要約や下書きだけなら妙な命令を読まされても実害は出にくい。危ないのは外部の文章を読める権限と社内のデータを触れる権限と外へ送れる権限が1つのAIに揃ったときだ。3つ揃わなければ経路は途中で切れる。
この3つはAIの利用を狭める話ではない。任せる範囲はそのままに、最後の判断だけを手元に残す設計に変えるという話だ。
「止める」以外の選択肢を持っておく
こういう記事を読むと、いったんAIを止めようという方向に振れがちだ。しかし採用の現場でそれをやると処理が回らなくなるだけで終わる。1日に応募が100件という企業もザラだ。そのやりとりを日に10回以上することも普通だ。メールの全量は相当なもので、全部を手動で丁寧に捌くのはさすがに無理がある。下書き作成や割り振りなどは積極的にやらせるべきだ。
一方で、英国の国家サイバーセキュリティセンターは2025年12月の記事で、この種の攻撃が技術的に完全に抑え込まれることはおそらくないと書いている。そのうえで、見知らぬ相手からのメールを処理させるAIに強い権限を持たせるなと述べている。防ぎ切れる前提を捨てて、届く権限のほうを設計するという考え方だ。私もここは同じ意見で、止めるか使うかで悩むより先に決めることがあると思っている。
「どこまでをAIにやらせるか、そこまでどういう危険があるか、理解したうえで使っているか」
採用業務のどこまでをAIに任せ、どこで人が入るべきかは、実際の運用を見ないと答えが出ない部分も多い。セコネは採用業務のAI活用を、こうした権限と手順の整理から運用設計まで含めて支援している。受信箱まわりを一度点検したい場合はご相談いただきたい。
※関連記事：「採用AIツールを入れる前に、個人情報保護の宿題が3つある」／「採用業務でAIに応募者情報を入れている人事の3割が知らない、5つの落とし穴」／「「AIカスタマイズ」ボタン1つで外に流れているもの」
著者：高田 祥
セキュリティ人材専門の採用コンサルタント。株式会社セコネ代表。
情報処理安全確保支援士（登録番号 第019946号）。上級個人情報保護士。個人情報保護監査人。CompTIA Security+。
セキュリティベンダー・事業会社のセキュリティ採用を、職種設計からスカウト・面接設計まで一貫して支援。採用業務でのAI活用に関する整備支援にも対応。
出典：さくらインターネット「当社システムへの不正アクセスに関するご案内およびFAQ」（2026年8月31日更新）／エン株式会社「『ミドルの転職』への不正アクセス発生に関するお詫びとご報告」（2026年6月5日）／Guardio Labs「Scamlexity」（2025年8月20日）／Anthropic「Piloting Claude for Chrome」（2025年8月25日）／Palo Alto Networks Unit 42「Fooling AI Agents」（2026年3月3日）／IPA「情報セキュリティ10大脅威 2026」（2026年1月29日）／英国National Cyber Security Centre「Prompt injection is not SQL injection (it may be worse)」（2025年12月8日）／Duke University Pratt School of Engineering「Thwarting Hidden Resume Hacks Targeting AI Hiring Tools」（2026年7月22日）