2.3標準
ユーザー名、商品名、問い合わせ本文をテンプレートへ埋め込む。
変数の内容が指示やHTMLとして解釈されないようにする。
実装として適切なものを2つ選べ。
× 不正解
テンプレート変数はデータとして区切り・エスケープし、入力と生成出力を検証・サニタイズして注入や表示攻撃を防ぐ。
詳細解説
誤りモデルの出力をHTMLへ無加工で埋め込む
XSSや機密表示の危険がある。
正しい変数の長さ・文字種・禁止内容を検証し、出力もサニタイズする
入力と出力の両方で注入と表示崩れを防げる。
誤り変数へテンプレート制御文字を自由に許可する
プロンプト構造を変更する攻撃に使われる。
正しい変数をデータ欄へエスケープして挿入し、役割と区切りを固定する
変数の内容がテンプレート構造や指示を壊しにくくなる。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
AWS公式AIF-C01 Domain 2.3・5.1のプロンプトインジェクションと出力保護を確認する。
参考にした公式資料
確認できる内容
テンプレート変数を信頼された指示から分離する実装を説明できる。
理解のポイント
- 変数
- エスケープ
- サニタイズ
確認時の注意
- 確認環境: AWS公式AIF-C01試験ガイドとAWS公式ドキュメントの確認
- AWS公式ドキュメントで、対象サービスが提供する機能と前提条件を確認する。
- モデル、データ、アプリケーション、利用者の責任分界を混同しない。
基礎のおさらい
テンプレート変数
固定されたプロンプトへ外部入力を値として差し込む部分。
サニタイズ
出力を表示・実行する前に危険な文字や構造を除去・無害化する処理。
問題IDAWS-AIF-179
確認環境AWS公式AIF-C01試験ガイドとAWS公式ドキュメントの確認
最終技術確認2026-08-20
誤り・権利侵害を報告