解説
AIブラウザが機密情報を盗む仕組み、「同一オリジンポリシー」突破の実態
ネットバンキングやクラウド会計にログインしたまま、同じAIブラウザで別のサイトを調べる作業は危険をはらんでいます。ブラウザの基本的な防御である「同一オリジンポリシー」が、AIエージェント機能によって突破されかねないことが研究で示されました。経理や総務の担当者が日常的に複数サイトを行き来する業務ほど、関わりの深い話です。
何が起きたか
米ワシントン大学に所属する研究者らが発表した論文「Agentic Browsers and the Same-Origin Policy」は、AIエージェントがユーザーに代わってWeb操作を行う「AIブラウザ」で、メールやネットバンキングなどの機密情報が悪意あるサイトに窃取されるリスクを調べた研究報告です。
研究チームは、ChatGPT Atlas、Chrome with Gemini、Claude for Chrome、Perplexity Comet、Edge with CoPilot、Brave Leo AI、Firefox AI Modeの7種を対象に調査しました。その結果、ChatGPT Atlas（エージェントモード）、Chrome with Gemini、Claude for Chrome、Perplexity Cometの4種で、ブラウザの基本的な防御の仕組みである「同一オリジンポリシー」を回避できる経路が見つかりました。
特にChatGPT Atlas（エージェントモード）とClaudeは、画面上では伏せ字になっているパスワード欄の文字列まで、裏側のデータから直接読み取ることができたといいます。拡張機能として動くClaudeは、別サイトの枠内も含めて任意のプログラムを実行できる強い権限を持っていたことも分かりました。最もリスクが低かったのはFirefox AI Modeでしたが、使える機能自体も少なかったとされています。
研究チームはこの結果を各社に共有し、Google、Microsoft、Braveからは丁寧な返答があった一方、AnthropicとFirefoxからの返答はなく、PerplexityとOpenAIは報告書の受け取りを辞退したと報告されています。なお、検証対象のChatGPT Atlasは8月に提供を終了しています。
背景・解説
同一オリジンポリシーとは、1995年に導入されたブラウザの基本的な防御ルールで、ブラウザ内で開いている異なるWebサイト同士が互いの情報に干渉できないようにする仕組みです。この仕組みがあるからこそ、利用者はあるタブで怪しいサイトを開きながら、別のタブで銀行口座にログインしても情報を守ることができます。従来のブラウザでは、ある画面から別画面へ口座番号などをコピー&ペーストする作業は人間が手動で行う必要がありました。
ところがAIエージェントに人間に近い操作権限を与えると、Webページのコード内に隠された不正な指示を読み込ませて勝手な操作をさせる「プロンプトインジェクション」によって、別サイトの情報が盗まれる経路が生まれます。今回問題視されたのは、Webページ内に広告などとして埋め込まれた別サイトの枠（iframe）です。本来ブラウザはこの枠の内側と外側を厳密に区別して守りますが、調査対象の4種はいずれもこの枠の中身まで読み取ってしまっていました。
研究チームは具体的な攻撃シナリオを3つ示しています。1つ目はエージェントに別サイトの情報を読み取らせ、攻撃者のサイトへ送信させるというもので、実際にChatGPT Atlas（エージェントモード）でデータ窃取に成功したとされています。2つ目は、情報を盗む代わりに別サイトでユーザーになりすましてフォームを送信させる手口です。3つ目は、エージェントが蓄積する閲覧履歴に偽情報を紛れ込ませる手口で、一度本物の情報と混ざってしまうと、後から利用者が正しい情報を尋ねても偽の情報を答えてしまう恐れがあるとされています。
仕事や業務への影響 — AI Topicaの見方
ネットバンキングや経理システムにログインしたまま、同じAIブラウザのエージェント機能で別のWebサイトを調べさせる業務は、当面避けるべきです。例えば、従業員30人程度の広告代理店で経理担当者が1人、請求書管理サイトにログインした状態のまま、同じウィンドウでクライアントのWebサイトをAIエージェントに調べさせる作業を日常的に行っているとします。このような使い方では、別サイトの枠内に仕込まれた不正な指示によってパスワードや口座情報が外部に送信される経路が存在する以上、実際に被害が出ていなくてもリスクは常に存在します。
経理や総務、人事といった機密情報を扱う部署では、AIエージェント機能を使う画面と、銀行や社内システムにログインする画面を物理的に分けるべきです。具体的には、別のブラウザや別のプロファイルを用意し、重要なログインセッションを開いたままAIエージェントに外部サイトの調査をさせない運用にするだけで、リスクはかなり下がります。情報システム部門は、社内でAIブラウザを使う際のルールを1本決めておくべきで、全社員への周知には1時間の説明会で十分です。逆に、社外公開情報の検索や資料のまとめ作業など、機密情報を扱わない業務であれば、現時点で過度に使用を制限する必要はありません。
不確かな点・注意
今回の研究は4月に発表された論文に基づくもので、検証時点でのブラウザの挙動を示したものです。ブラウザやエージェント機能は頻繁に更新されるため、現在提供されている各製品で同じ経路が残っているかどうかは分かりません。実際、検証対象だったChatGPT Atlasは8月に提供を終了しており、後継や代替の機能で同じ問題が解消されているかは不明です。
また、AnthropicとFirefoxは研究チームからの共有に返答しておらず、PerplexityとOpenAIも報告書の受け取りを辞退したと記されているため、各社が問題を認識し対策を進めているかどうかは確認できません。記事で紹介した攻撃シナリオのうち、実際にデータ窃取が確認されたのはChatGPT Atlas（エージェントモード）の事例のみで、他の製品についてはリスクの経路が示された段階にとどまる点にも注意が必要です。