社内データ・外部コンテンツ・外部送信 — 3つが揃うと AI から情報が流出する

目次5 sections

生成AIがコネクタで社内データを読み、Web を閲覧し、コードを実行できるようになって、リスクの質が変わりました。AI が読む文書や Web ページに攻撃者が指示を埋め込むプロンプトインジェクションが、実際の情報流出につながるようになっています。

流出が起きる3条件

AI が次の3つを同時に満たすと、プロンプトインジェクションで情報が持ち出されます。

全部を禁止するのは現実的ではありません。社内データを読めない AI は業務で使えず、外部コンテンツを一切読まない運用も難しい。そこで (c) の外部送信を絞るのが最も効きます。

コネクタ・MCP の統制は、次の順で考えます。

比較表の「コネクタ・MCP：○」は「使える」という意味で、「安全」という意味ではありません。安全性は「管理者統制」「設定の組織強制」で見ます。

ChatGPT Business は多くのアプリが既定で有効、Enterprise は新規アプリが既定で無効。同じ提供元でもプランで逆です。
ChatGPT の「新しいアクション」は「すべて有効」「読み取りのみ有効」「無効」から選べます。提供元がアプリを更新して書き込み操作が増えたとき、自動で有効にならないよう「無効」か「読み取りのみ」にします。
OpenAI はカスタムアプリ（MCP）を審査しません。追加は管理者だけにします。
Claude のカスタムコネクタ追加は Owner に限られます（Enterprise は権限を持つカスタムロールも可）。この既定を崩さないことが大切です。

「組織設定 > 機能（Capabilities）」に、コード実行のネットワーク送信の設定があります。

既定値は Enterprise の新規組織が「オフ」、Team が「パッケージ管理のみ」です。ただし公式記事内で Team の既定値の記述が食い違っているので、管理画面で実際の値を確認します。
MCP 接続はこの設定に関係なく外部と通信できます。 ネットワーク送信をオフにしても、コネクタ経由の経路は別に残ります。
個人プラン（Pro / Max）はネットワーク送信が既定でオンです。

クラウド実行は Enterprise で既定オフです。必要になるまでオフのままにします。
エージェント実行中のインターネット接続は既定で遮断されています。開ける場合は環境ごとにドメイン許可リストを設定し、HTTP メソッドを GET / HEAD / OPTIONS に限ります。POST を通さなければ、読み込みはできても送信による流出は難しくなります。
管理画面側でドメインを許可しても、クラウド環境側の制限は上書きされません。厳しい方が勝ちます。

既定の環境はネットワークが「Trusted」（パッケージレジストリや GitHub など許可済みドメインのみ）。選択肢は None / Trusted / Full / Custom です。
組織の許可ドメインを全メンバーの環境に一律で強制する仕組みはありません。 メンバーは自分の環境を作れ、そこで Full を選べます。
対策は3つ。Owner が組織共有の環境（None か Custom）を作って組織の既定にする。クラウド実行そのものを許可しない。自社運用の実行環境に寄せる。
GitHub 向け通信、MCP コネクタの通信は、環境のドメイン許可リストとは別経路です。

Claude in Chrome は Team・Enterprise とも既定でオン。 使わせないなら組織設定でオフにします。使わせるなら、サイトの許可リストを狭く始めて広げます。同じリストが Cowork の内蔵ブラウザにも効きます。
Gemini in Chrome は Chrome ポリシー GeminiSettings で制御します。自動操作（GeminiActOnWebSettings）は管理対象ユーザーでは既定オフなので、オフのままにします。
Workspace Studio の外部連携ステップ（Webhook 送信）は既定オフ。外部送信の経路になるので、許可は慎重に判断します。

本記事は2026年10月9日時点の各社公式ドキュメントにもとづきます。既定値は頻繁に変わるため、設定前に管理画面と公式ページで確認してください。