[Security][Prompt Injection] Character/Lorebook/Memoryの保存テキストを信頼済み指示と同じprompt層へ連結する #505

概要

Character、Lorebook、Memory、Story cast、直近会話のユーザー編集可能テキストを、system prompt内のルールや役割指示と同じ平文へ連結しています。

根拠

• KizunaAI/AI/CharacterLibrary/Prompt/PromptBuilder.swift:32-62
• KizunaAI/AI/CharacterLibrary/Story/Prompt/StoryPromptBuilder.swift:349-409
• 同ファイル:419-428

問題

保存テキストに「以降の指示を無視する」「秘密を出力する」「ツールを呼ぶ」などが含まれていると、モデルがデータと制御命令を区別できず、Prompt Injectionとして振る舞う可能性があります。共有されたCharacterや外部から取り込んだ設定を利用する場合、利用者が意図しない外部指示を長期記憶・Lorebook経由で再注入できます。

現状で任意コード実行を確認したわけではありません。外部検索・Python等のtoolが有効なモデル経路では、影響範囲が広がるため境界設計を追跡するSecurity Issueです。

修正案

ユーザーデータを明示的なuntrusted-dataブロックへ隔離し、制御指示と異なるrole/channelへ渡す。tool実行はユーザー確認を必須にし、メモリーやLorebookからのtool要求を命令として解釈しない。

テスト

Character/Lorebook/Memory/会話それぞれへ同じInjection文字列を入れ、system指示やtool許可を上書きしないことを確認する。