AIブラウザのセキュリティリスクを検証！ネットバンキング情報窃取の可能性とは？

AIブラウザが抱えるセキュリティリスク

米ワシントン大学の研究者らが発表した論文「Agentic Browsers and the Same-Origin Policy」では、AIエージェントがユーザーに代わってWeb操作を行うAIブラウザにおいて、メールやネットバンキングなどの機密情報が悪意あるサイトに窃取されるリスクが検証されました。

AI企業各社は、旅行ルートの検索や予約、カレンダーへの予定追加などを行うエージェント型AIブラウザを投入していますが、これらの高機能なブラウザの多くがユーザーを脅威にさらしている可能性があると指摘されています。

プロンプトインジェクションによる情報窃取

通常のブラウザでは、タブ間の情報移動は人間が手動で行う必要があります。しかし、AIエージェントに人間に近いアクセス権限を与えると、悪意のあるWebページのコード内に隠されたテキストを通じて、エージェントに不正な指示を渡す攻撃「プロンプトインジェクション」により、別サイトの情報が盗まれる可能性があります。

研究チームは、AIブラウザやそれに類するブラウザ拡張機能7種（ChatGPT Atlas、Chrome with Gemini、Claude for Chrome、Perplexity Comet、Edge with CoPilot、Brave Leo AI、Firefox AI Mode）にこのような脆弱性がないかを調査しました。

同一オリジンポリシーの回避とデータアクセス権限

調査の結果、7種のうち4種において、基本的なサイバーセキュリティプロトコルである「同一オリジンポリシー」（Same-Origin Policy）を悪意ある攻撃者が回避できる経路が見つかりました。

同一オリジンポリシーは、ブラウザ内で開かれている異なるWebサイト同士が互いの情報に干渉するのを防ぐ仕組みです。この仕組みがあることで、ユーザーは危険なサイトを開きながら別のタブで銀行口座にログインしても、情報を守ることができます。

攻撃経路が確認されたのは、ChatGPT Atlas（エージェントモード）、Chrome with Gemini、Claude for Chrome、Perplexity Cometの4種です。これらはいずれも、Webページの中に広告などとして埋め込まれた別サイトの枠（iframe）の中身まで読み取っていました。本来、ブラウザはこの枠の内と外を厳密に分けて守っていますが、AIエージェントはその壁を越えて両方を見てしまうことが判明しました。

さらに、ChatGPT Atlas（エージェントモード）とClaudeは、画面上では伏せ字になっているパスワード欄の文字列まで裏側のデータ（DOM）から直接読み取ることができました。ブラウザ拡張機能として動くClaudeは、別サイトの枠内も含めて任意のプログラム（JavaScript）を注入・実行できる強い権限を持っていたことも確認されています。

テストされた中で最もリスクが低かったのは「Firefox AI Mode」でしたが、一方で使える機能も少ないとされています。

3つの攻撃シナリオ

研究チームは、以下の3つの攻撃シナリオを紹介しています。

• 1つ目：データ窃取
  エージェントに別サイトの情報を読み取らせ、攻撃者のサイトへ送信させる。研究チームはChatGPT Atlas（エージェントモード）で実際にデータ窃取に成功しました。
• 2つ目：なりすまし
  盗むのではなく、別サイトでユーザーになりすましてフォームの入力・送信や投稿を実行させる。
• 3つ目：悪意ある情報の記憶
  悪意ある情報や指示をエージェントの記憶に紛れ込ませる攻撃。エージェントは訪問したページの情報を履歴として蓄積し、別サイト由来の情報と混ぜて扱うことがあります。例えば、銀行の偽サイトの連絡先を掲載していた場合、その場では偽サイトと見抜けても、いったん履歴に取り込まれると本物の情報と区別がつかなくなり、後でユーザーが銀行の電話番号を尋ねた際に偽の番号を答えてしまう恐れがあります。

研究チームはこの結果を調査対象となったブラウザの開発企業に共有しました。Google、Microsoft、Braveからは丁寧な返答があった一方、AnthropicとFirefoxからは返答がなく、PerplexityとOpenAIは報告書の受け取りを辞退したとのことです。なお、検証したブラウザのうちChatGPT Atlasは8月に提供が終了しています。