履歴書の約1％に採用AIを狙う「見えない文字」-米研究が約20万件を調査、プロンプトインジェクションの危険性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月13日更新日時: 2026年10月13日

米ノースカロライナ大学チャペルヒル校、デューク大学、カリフォルニア大学バークレー校などの研究者らは、実際の採用業務で収集された履歴書196,682件を分析し、2,030件から、人間には見えにくい形で埋め込まれた採用システムの評価を操作するためのテキストを検出しました。全体の約1％、およそ100通に1通に相当します。

2026年5月27日に公開され、同年8月の「USENIX Security 2026」で発表された研究です。注目すべき点は、検出した不正テキストの9割以上が、AIに「この候補者を採用せよ」と命令する文章ではなく、スキルや職歴などを見えない状態で追加するものだったことです。採用担当者が画面で読む履歴書と、AI・採用管理システムが抽出する内容の違いが、選考を操作する入り口になっています。

米研究による履歴書約20万件の調査結果

調査対象は採用支援プラットフォーム「hireEZ」から提供された実際の履歴書196,682件。
うち2,030件で、採用システムの評価に影響を与えることを意図した非表示テキストを検出。
応募者マッチング用データ83,277件のうち993件（1.19％）、採用管理システム（ATS）由来の113,405件のうち1,037件（0.91％）で検出。
検出された不正テキストのうち、明示的な命令を含まない「データ注入」が、2系統のデータでそれぞれ90.5％、95.7％を占めた。
主な手口は、通常の画面では見えにくいスキル名、経験年数、求人票の要件、資格情報などをPDFに含めるもの。
研究は不正テキストの存在と傾向を調べたもので、実際の企業の採用選考で何件が成功したかを測定したものではない。

項目	研究結果
論文名	Measuring Real-World Prompt Injection Attacks in LLM-based Resume Screening
初公開	2026年5月27日（arXiv）
発表	USENIX Security Symposium 2026
分析件数	196,682件
不正な非表示テキストの検出件数	2,030件（約1％）
主な手口	スキル、職歴、職務要件などの非表示データ注入
主なリスク	履歴書の表示内容と機械抽出内容の食い違いによる採用評価の操作

人には見えない文章を、なぜ採用AIは読み取るのか

今回の調査で対象となったのは、PDF形式の履歴書です。PDFは画面での表示だけでなく、文字情報や位置、フォント、色などの内部データを保持しています。採用システムがPDFからテキストを抽出すると、画面では読みにくい微細な文字、背景と同化した文字、表示領域から外れた内容なども解析対象に入り得ます。

研究では、非表示テキストを大きく二つの手法に分けています。

手法	埋め込まれた内容	狙い
指示注入（Instruction Injection）	採用評価を高くするようAIへ命じる文章	AIの評価・推薦結果を直接変える
データ注入（Data Injection）	スキル、職歴、資格、求人票にある要件など	抽出データやキーワード照合、適格性評価を有利に見せる

「AIだけが読める文字」という表現は、厳密にはAI専用の特殊文字を意味しません。人間の通常表示では気付きにくい一方、PDFのテキスト抽出処理では取得され得る文字情報を指します。AIが読む前の文書解析段階で、すでに人間の認識との食い違いが生じます。

研究チームは、PDFの視覚的な特徴を調べるHybrid Cascade Detector（HCD）と、表示画像と抽出テキストの差分を比較するVisual Discrepancy Analyzer（VDA）を開発しました。一般的な「AIへの命令文があるか」を判定するだけの検出方法では、命令を含まない隠しスキル情報を見逃しやすいためです。

不正な内容の9割以上は「AIへの命令」ではなかった

一般にプロンプトインジェクションというと、「前の指示を無視して」「最高評価を付けて」など、AIへの命令を連想しがちです。しかし、今回の研究で多数を占めたのは、応募者の評価に使われそうなデータを履歴書の見えない場所へ追加する行為でした。

データ注入には、技術スキル名、職務経験の説明、求人票の要件、学位・資格などが含まれます。たとえば、採用システムが抽出したスキル一覧を条件判定に使う場合、目視では確認できない語句が自動評価に混ざる可能性があります。

この種の操作は、必ずしもLLM固有の問題ではありません。従来型のキーワード照合やATSの構造化データ抽出でも、表示されない文字列を評価対象にすると同様の問題が生じ得ます。論文は、こうしたデータ注入も採用AIを狙った広義のプロンプトインジェクションとして分析しています。

また、検出率の推移は一方向に増え続けたわけではありません。ATSデータでは2019～2023年におおむね0.6～0.8％だった割合が、2024年に約1.2％へ上昇した一方、2025年後半には約0.67％まで低下しています。研究チームは、近年の顕著な変化とともに、この変動も報告しています。

別の米研究では、採用AIの順位が実際に変化

実際の履歴書から不正な文字列を検出したことと、採用判断が変わったことは同じではありません。最初の研究では、実際の選考結果との照合を行っておらず、2,030件が採用の成功につながったとは結論付けていません。また検出器には誤検知や検出漏れの可能性があり、約1％という数値をすべての企業・求人へそのまま当てはめることはできません。

一方、米ミシガン大学、メリーランド大学、オハイオ州立大学の研究者らが2026年6月25日に公表した別研究「Prompt Injection in Automated Résumé Screening with Large Language Models」は、模擬履歴書を用いてAIのランキングが変わるかを実験しています。

この実験では、同程度の経歴を持つ応募者が並ぶ条件で、応募者の評価を誘導する文章を加えると、GPT-4o-miniとDeepSeek-V3.2による順位が上昇する場合がありました。能力差がある候補者同士でも、一部の条件では経験の少ない応募者がより経験豊富な候補者を上回りました。ただし、効果はモデル・誘導内容・応募者の構成によって異なり、同様の操作をする応募者が増えると順位上昇の効果は小さくなっています。

こちらは統制された模擬実験であり、実際の採用企業で同じ結果が生じたと示すものではありません。それでも、採用AIの出力が応募者による操作の影響を受け得ることを示しています。

履歴書を使った攻撃は「間接プロンプトインジェクション」の問題

履歴書は採用担当者にとって審査する対象であり、応募者はその内容を作成・変更できます。一方、採用AIには、求人要件と履歴書を読み比べて評価するよう企業側から指示が与えられます。

ここで信頼関係の境界が生じます。履歴書内の文章は、応募者が提出した審査対象のデータであって、採用AIを動かす企業側の命令ではありません。にもかかわらずAIがそこに書かれた指示を従うべき命令として扱えば、外部から投入されたデータがAIの動作を変更します。これが間接プロンプトインジェクションです。

米国NISTは、AIエージェントが信頼できないメールなどを読み込んだ際、混入した指示によって本来の作業から逸脱する「エージェント・ハイジャック」を検証しています。OWASPも、プロンプトインジェクションは人間に見える文章に限らず、モデルが解析する入力に含まれれば成立し得ると説明しています。

採用の場面では「候補者の順位が不当に上がる」という判断の完全性が主なリスクです。より広い業務でAIが外部資料、メール、Webページを読み取る場合には、誤った要約、機密情報の出力、接続先システムでの想定外の操作などへ影響が広がる可能性があります。これは今回の履歴書調査で確認された被害ではなく、OWASPやNISTが示す一般的な攻撃リスクです。外部データを読んだAIがツールやSaaSまで操作する場合のリスクと権限制御は、AIエージェントのセキュリティ対策で整理しています。

実際にWebページの隠し情報からAIエージェントの動作を誘導した事例については、AIエージェントを狙う間接的プロンプトインジェクションでも取り上げています。

採用システムを導入・運用する企業が確認したい対策

今回の研究からは、AIに不審な命令を無視させるだけでは対策にならないことが分かります。スキルや資格といった一見普通の単語が非表示領域に埋め込まれ、抽出処理を通して評価に混ざるためです。

企業側では、次の点を具体的に検証できます。

表示内容と抽出内容の差分確認：PDFの表示画像と、実際にAIへ渡すテキストを比較し、表示されない内容を検知・隔離できるか。
抽出データの取り扱い：小さすぎる文字や非表示領域などを、通常の経歴・資格情報として無条件に採用しないか。
命令と審査資料の分離：応募者が提出した文章を、AIへの運用指示より高い権限で解釈しない構造になっているか。
選考結果の検証：AIのスコアだけで不採用・採用を確定せず、評価理由と原本を人事担当者が確認できるか。
監査ログとベンダー確認：PDFの解析結果、異常検知、AIへ渡した入力、順位付けの変更を追跡できるか。採用システム事業者の検査機能・検査対象範囲を確認できるか。

採用AIへ渡した抽出テキストや評価結果を監査ログとして管理する際は、SIEM・SOCでプロンプトインジェクションを監視する方法で扱うログ設計も参考になります。ただし、SIEMを導入するだけで履歴書の隠し文字を検出できるわけではなく、PDFの表示と抽出結果を照合する処理は別途必要です。

研究で提案された検出手法にも限界があります。HCDの検証で推定された適合率は86.1％、VDAは92.7％で、すべての不正履歴書を検知できると証明されたわけではありません。正当な文書表現を異常と判定する可能性もあるため、検出を理由に応募者を自動で排除する運用は避け、個別の確認につなげることが適切です。

問題は「AIが読んだ文字」をどこまで信用するか

約20万件の実データ調査が示したのは、AIへの露骨な命令だけが問題ではないという点です。人間の画面には現れないスキルや職歴が、機械による文書抽出を通じて採用評価へ入り込む可能性があります。

採用業務では、これは候補者を公平に評価する仕組みの問題です。しかし同じ構造は、AIに契約書を確認させる、顧客メールを要約させる、Web情報から意思決定資料を作成させるといった業務にもあります。

採用業務以外でも、外部文書の取り込み、AIへの指示とデータの分離、権限制御、出力検証を横断的に設計する必要があります。生成AIの業務利用からAIシステムへの攻撃までの全体像は、AIセキュリティのリスクと企業の対策で整理しています。

AIが読み取れた内容は、必ずしも利用者が目視で確認した内容と一致しません。また、外部資料に書かれた内容は、AIが従うべき指示ではありません。プロンプトインジェクションの危険性は、信頼できないデータがAIの判断や操作に影響することにあります。文書の表示と抽出結果を照合し、指示とデータを分け、AIの出力に対して人間が検証できる運用を残すことが、採用以外のAI業務にも共通する対策となります。