AIブラウザ7種で検証 4種で他サイトの情報に届く経路、業務端末の決まりは

AIにページの要約や入力をまかせられる「AIブラウザ」は、便利な反面、ブラウザが長年守ってきた基本の仕組みを崩すことがあります。米ワシントン大学の研究者が、ChatGPT Atlasなど7種を検証し、4種で、悪意あるページの指示に乗せられると、別のサイトの情報に届いてしまう経路を見つけました。論文と大学の発表をもとに、結果と、会社として決めておくことを整理します。

何を検証したか

ワシントン大学のPaul G. Allen School of Computer Science & EngineeringのFranziska Roesner氏とDavid Kohlbrenner氏は、論文「Agentic Browsers and the Same-Origin Policy」を、AIのエージェントを扱う国際会議ICLR 2026のワークショップで発表しました(紹介のページの最終更新は2026年4月15日、大学の発表は6月30日)。

調べたのは、ブラウザの基本の守りである「同一オリジンポリシー」です。別々のサイトどうしが、ブラウザの中でお互いの中身を読んだり操作したりできないようにする仕組みで、悪意あるサイトと銀行のサイトを同時に開いても、銀行の中身を読まれないのはこのためです。

対象は次の7種で、実験は2026年1月下旬から2月上旬に、その時点の最新の安定版を使い、macOS Sequoiaで行いました。

• Brave Leo AI
• ChatGPT Atlas(エージェントモードの有無の両方)
• Chrome with Gemini
• Claude for Chrome(Chromeの拡張機能)
• Edge with Copilot
• Firefox AI Mode(エージェントにClaudeを選んだもの)
• Perplexity Comet

研究者は、自分たちで作った試験用のページだけを使い、実在の利用者やサイトのデータは扱っていないとしています。

何が分かったか

論文は、いくつかのAIブラウザでは「同一オリジンポリシーの強さが、エージェントのプロンプトインジェクションへの守りの強さにまで下がっている」とまとめています。プロンプトインジェクションは、ページに書かれた文章を、エージェントが自分への指示と取り違える攻撃です。

• 別のサイトの中身を読める: ChatGPT Atlas(エージェントモード)、Chrome with Gemini、Claude for Chrome、Perplexity Cometの4種は、ページに埋め込まれた別のサイトの枠(iframe)の中身まで読めました。Edge with Copilotは枠を読めない一方、別のサイトのタブを自由に読めました。
• 情報を外へ送る実証: Atlasのエージェントモードでは、悪意あるページの指示に従って、埋め込まれた別のサイトの中身を読み取り、ページのフォームから外へ送らせることに成功しました。外の枠から中、中の枠(広告など)から外の、両方向で確かめています。ほかの3種も、指示に乗せられれば同じことが起きうる条件がそろっていました。研究者が試した単純な指示は、これらの3種では、モデルの守りで断られています。
• 伏せ字のパスワードも読める: Atlasのエージェントモード(ログインした状態)とClaude for Chromeは、画面では点で隠れているパスワード欄の文字まで読めました。
• 任意のプログラムを動かせる: Claude for Chromeは、すべてのサイトに入れる権限を持つ拡張機能として動き、別のサイトの枠の中も含めて、JavaScriptを差し込んで動かせました。

論文は、ほかに2つの攻撃の考え方も示しています。1つは、別のサイトで利用者になりすまして、フォームの送信などをさせるもの。もう1つは、AIの会話の履歴(記憶)に、別のサイトの偽の情報を混ぜるものです。たとえば、銀行を装う偽のサイトの連絡先をいったん履歴に取り込むと、あとで銀行の電話番号を聞いたときに、偽の番号を答えるおそれがあります。サイトをまたいで履歴をまとめていたのは、Atlas、Chrome with Gemini、Perplexity Cometでした。

一方で、Brave Leo AI、Edge with Copilot、Firefox AI Modeは、エージェントの機能が限られる代わりに、守りの性質は強いとされています。

研究者の勧めと、各社の反応

研究者は、AIブラウザの安全の仕組みはまだ固まっていないとして、使うかどうかは慎重に、と勧めています。とくにClaude for Chromeは、拡張機能として強い権限を持つため注意が要るとし、Atlas、Comet、Chrome with Geminiも強力で危険の大きい側に入るとしています。論文の結びでは、安全の設計が整うまでは、利用者はAIブラウザを避けることまで勧めるとしています。

結果は、公表の60日以上前に7社へ伝えました。論文によると、Brave、Google、Microsoftからは返事があり、OpenAIは「最後まで通るプロンプトインジェクションの攻撃が無い」として報告を受け取りませんでした。Anthropic、Firefox、Perplexityは、執筆の時点で返事が無かったとしています。なお、ITmedia NEWSは、Atlasは2026年8月に提供を終えたと伝えています(当社はOpenAIの発表を確かめられていません)。

実験は2026年1〜2月の版で行われました。各社の製品はその後も更新されており、今の版で同じ結果になるとは限りません。

影響する会社・しない会社

• 影響する: 社員が業務の端末でAIブラウザ(Atlas、Comet など)や、ブラウザのAIの拡張機能(Claude for Chrome など)、ブラウザに組み込まれたAIのエージェントの機能を使っている会社です。業務のSaaSや管理画面、ネットバンキングにログインしたまま、AIに別の作業をまかせると、この研究の想定にあてはまります。
• 影響する: 社員が自分の判断でAIの拡張機能を入れられる設定のままの会社です。拡張機能は、入れた時点で、すべてのサイトを読み書きする権限を求めることがあります。
• 影響しない(この研究の範囲では): ブラウザのAIの機能を使っていない会社です。AIの機能を使っていても、要約などの読み取りだけで、ページの操作をさせない使い方では、研究の示した攻撃の一部は成り立ちにくくなります。

AIのエージェントに渡す権限の考え方は、「APIキーは.envに」はもう危ない AIエージェントに渡す権限の決め方でも整理しています。

情シスが今日やること

• 使われているかを確かめる。資産管理の一覧や、ブラウザの管理コンソールで、AIブラウザのアプリと、AIの拡張機能が入っている端末を洗い出します。
• 使ってよい範囲を決める。業務の端末で、AIブラウザやAIの拡張機能を使ってよいか、使うならどの製品・どの機能(読み取りだけか、ページの操作までか)かを、社内の決まりに書きます。拡張機能は、許可したものだけ入れられるよう、管理コンソールの許可・禁止の一覧で絞ります。
• ログインしたままのタブを分ける。AIにページの操作をさせるときは、業務のSaaSの管理画面、ネットバンキング、メールにログインしたタブがある画面ではさせない、という使い方を決めます。AI用のブラウザのプロファイルを分けるのも一つの方法です。
• パスワードの入力を見直す。AIが伏せ字の欄を読める場合があるため、AIを動かしている間にパスワードを手で入力しないよう、パスワード管理の道具の使い方とあわせて周知します。
• 会話の履歴を見直す。サイトをまたいで会話の履歴をまとめる機能は、偽の情報を混ぜられるおそれがあります。業務で使うなら、履歴(記憶)の設定と、AIが答えた連絡先や振込先は公式のページで確かめ直す、というルールを決めます。