AIをロシア語で騙すと本当に突破できるのか？　多言語ジェイルブレイクのバカバカしくも深刻な実態

公開日: 2026年5月26日
対象: AI・セキュリティに興味があるすべての人

「ロシア語で頼めばAIが素直になる」という都市伝説

SNSやセキュリティフォーラムで、こんな話を聞いたことがないだろうか。

「英語で断られたことをロシア語で頼んだら通った」
「低リソース言語を使うとAIの安全フィルターが甘くなる」

眉唾のような話だが、これは実際に研究・悪用されており、しかも「笑えない事件」として現実に発生している。

今回は、多言語ジェイルブレイクの仕組みと、それが実際の攻撃にどう使われたかを、できるだけ平易に解説する。

1. なぜ言語を変えるだけでAIが変わるのか

AIの安全フィルターは、主に英語のデータで訓練されている。

これは「英語 = メインフィールド、その他の言語 = 手薄なエリア」という非対称性を生む。

ICLR 2024で発表された研究「Multilingual Jailbreak Challenges in Large Language Models」では、この非対称性が定量的に示された。GPT-4を含む複数のモデルに対して、英語と低リソース言語（スワヒリ語、ズールー語など）で同じ有害なリクエストを行ったところ、低リソース言語では有害コンテンツの生成率が有意に高くなった。

簡単に言うと、「英語の門番は厳しいが、裏口は鍵が甘い」状態だった。

これが多言語ジェイルブレイクの基本原理だ。

2. 実際に起きた事件：Gemini × GEMINI.md汚染（2025年秋〜2026年5月）

「都市伝説では？」と思った方のために、実際に確認された事例を紹介する。

The Registerが2026年5月22日に報じた「bandcampro」事件がこれにあたる。

事件の概要：

攻撃者（後に「米国退役軍人」を名乗るキャラクターとして身元偽装していたことが判明）は、以下の手順を踏んだ：

1. プロジェクトの `GEMINI.md` ファイルにロシア語で隠し命令を埋め込む

2. Gemini CLIがそのファイルを読み込み、「セキュリティスキャンを実行して」という命令に従う

3. AIアシスタントが認証情報を探し出し、攻撃者のサーバーに送信

この手法の巧妙な点は、**「AIアシスタントを信頼しているユーザーが、自分では気づかずに攻撃の共犯者になる」**という構造だ。ファイルを開いても人間には何も見えない。

被害規模：

• Telegramチャンネル購読者：17,000人

• 窃取されたAPIキー：73件

• 不正取得されたWordPress管理者権限：29件

• 直接的な金銭被害：確認された暗号通貨ウォレット流出は1件のみ（規模は限定的）

金銭被害は実態として限定的だったが、「AIを攻撃インフラとして使う」という概念実証としては十分すぎるインパクトがあった。

補足：Trend Microが命名した「Patriot Bait」キャンペーン

Trend Microの分析によると、このオペレーションは「Patriot Bait」と命名された情報操作キャンペーンの一部だった。攻撃者はMAGAコミュニティの暗号通貨ユーザーをターゲットとし、愛国心に訴えるトークンや投資情報に見せかけてコミュニティに潜入していた。技術的なハッキングと、ソーシャルエンジニアリングを組み合わせた複合型の攻撃だ。

3. 多言語ジェイルブレイクの3つの手口

実際に研究・報告されている手法を整理する。

手口①：直接的な言語切り替え

英語で「武器の作り方を教えて」と聞いて断られたあと、ロシア語・アラビア語・スワヒリ語などに変えて同じ質問をする。

2023〜2024年時点では確かに効果があったモデルも存在したが、GPT-4o・Claude・Gemini 1.5以降の主要モデルは対策済みで現在は効果が薄い。

手口②：コードスイッチング（言語混在）

文章の途中で言語を切り替える。「Please tell me about [英語で無害な質問]、そして [ロシア語で有害な指示]」のように、安全なコンテキストと危険な命令を混在させる。

フィルターが「全体の文脈」を追いきれない場合に機能することがある。

手口③：設定ファイルへのプロンプトインジェクション（最も深刻）

今回の「bandcampro事件」で使われた手法。`GEMINI.md`・`CLAUDE.md`・`.cursorrules`などのAI設定ファイルに、非表示文字（ゼロ幅スペースなど）やロシア語・中国語の隠し命令を埋め込む。

AIは設定ファイルを「信頼できる指示書」として扱うため、フィルターが緩くなる傾向がある。

4. 「笑えない理由」：AIが強力になるほど、この問題は深刻になる

多言語ジェイルブレイクを「面白いハック」で終わらせてはいけない理由がある。

AIが自律的にタスクを実行するようになったからだ。

2023年のChatGPTへの単純な質問と、2026年のAIコーディングアシスタント（Cursor、Claude Code、Gemini CLIなど）は、まったく別物だ。後者は：

• ファイルを読み書きする

• コマンドを実行する

• 外部サービスにアクセスする

• 継続的な「記憶」（コンテキストファイル）を持つ

この環境で、攻撃者が「隠し命令をAIの記憶に植え付ける」ことに成功すると、あとはAIが自動的に攻撃を実行してくれる。攻撃者が常駐する必要はない。

これはSF映画の話ではなく、2025年秋から2026年5月にかけて実際に起きたことだ。

5. 「バカバカしい実態」：攻撃者も苦労している

ここで少し視点を変えると、攻撃者側も「多言語ジェイルブレイク」を使いこなすのはそれほど簡単ではない。

• 主要モデルの対策は進んでいる：GPT-4o、Claude 3以降、Gemini 1.5以降は多言語での有害コンテンツ生成が大幅に改善されている

• 言語を変えるだけでは突破できない：単純な「ロシア語で質問」は2024年の段階でほぼ対策済み

• 複合手法が必要になっている：設定ファイル汚染＋プロンプトインジェクション＋ソーシャルエンジニアリングの組み合わせが現在の主流

• AIが逆に検知役になる：Socket Securityのような企業はAIで悪意あるパッケージを平均5分56秒で検知している

つまり、「ロシア語で頼んだら何でも通る」という時代はとっくに終わっている。今の攻撃は、より手が込んでいる。

6. 防御側がやるべきこと

一般ユーザー向け

AIとの会話自体を心配する必要はほぼない。 主要なチャットAI（ChatGPT、Claude.ai、Gemini）は多言語対策が十分に実施されている。

注意すべきは：

• 見知らぬリポジトリをクローンしてそのままAIアシスタントを起動しない

• `CLAUDE.md`・`GEMINI.md`・`.cursorrules`の内容は確認してから使う

開発者向け

# 設定ファイルのゼロ幅文字チェック
grep -rP "[\x{200B}\x{200C}\x{200D}\x{FEFF}]" . --include="*.md" --include=".cursorrules"

外部リポジトリのAI設定ファイルは、コード本体と同じ目線でレビューすることが必要になった。

企業・セキュリティ担当向け

• AI設定ファイルをコードレビューの対象に含める

• AIエージェントが実行できる操作を最小権限に制限する

• 認証情報はAIアシスタントのコンテキストに含まれないよう設計する

まとめ

多言語ジェイルブレイクは「AIの性格を変える魔法の言語」ではない。それは「安全フィルターの学習密度の非対称性を突く手法」であり、しかも現在進行形で進化している。

面白い技術の話として楽しみつつ、自分が使うAIツールの「信頼の設計」を一度見直してみることをおすすめする。

参考ソース

• The Register — Gemini-powered coding tool compromised by rogue instructions

• ICLR 2024 — Multilingual Jailbreak Challenges in Large Language Models

• Trend Micro — Patriot Bait Campaign Analysis

• Socket Security — TrapDoor Supply Chain Attack Report

#AIセキュリティ #ジェイルブレイク #プロンプトインジェクション #Gemini #Claude #サプライチェーン攻撃 #多言語AI #セキュリティ