AIエージェント搭載ブラウザのセキュリティ警告 ^{CEFR B2}

ここ1年ほどで、利用者の代わりにタブを開いて調査したり作業を行ったりするAIエージェントを組み込んだウェブブラウザが複数公開されました。ワシントン大学の研究チームは7種類の人気あるエージェント搭載ブラウザを調査し、そのうち4つがウェブの基本的な安全規則である同一生成元ポリシー（same-origin policy）を回避され得る方法を提供していることを明らかにしました。なお、このポリシーは1995年に導入され、異なるサイト同士が互いのデータにアクセスするのを防ぐ役割があります。

研究者らはChatGPT Atlasに対する概念実証的なサイバー攻撃を実行しました。そのテストでは、別のサイトを埋め込む形でコンテンツを読み取らせ、埋め込み先の情報を抽出できることが示されました。例として、メールサイト上の広告がユーザーのメールから機密データを取得するような状況が報告され、同様の攻撃はChrome with Gemini、Claude for Chrome、Perplexity Cometでも確認されています。

論文は二つの主要な技術的リスクを挙げています。プロンプト注入は、悪意あるページが隠れた指示を埋め込み、要約や送信といった処理を誘導してデータを漏らさせる手口です。メモリ汚染は、エージェントが学習内容を記憶・圧縮・更新する過程で、異なる生成元の情報が混ざり合い、本来分離すべきデータが流出する恐れを指します。

研究チームは所見を複数のブラウザ開発会社に共有しましたが、AnthropicとFirefoxは応答がなく、PerplexityとOpenAIは報告を辞退しました。一方でGoogle、Microsoft、Braveとはやり取りがあったとされます。研究成果はリオデジャネイロでのAgents in the Wildワークショップで発表され、研究は一部Microsoftからの寄付で資金提供を受けました。