[ITmedia News] ネットバンキングにログインしたまま別作業は危険？ 「ChatGPT Atlas」などのAIブラウザ7種でデータ窃取を検証

著者 山下（Seamless）

[ITmedia]

ちょっと昔のInnovative Tech：

2019年の開始以来、多様な最新論文を取り上げている連載「Innovative Tech」。ここではその番外編として“ちょっと昔”に発表された世界中の個性的な研究論文を独自視点で厳選、解説する。執筆は研究論文メディア「Seamless」（シームレス）を主宰し、日課として数多くの論文に目を通す山下氏が担当。イラストや漫画は、同メディア所属のアーティスト・おね氏が手掛けている。X：＠shiropen2

　米ワシントン大学に所属する研究者らが4月に発表した論文「Agentic Browsers and the Same-Origin Policy」は、AIエージェントがユーザーに代わってWeb操作を行うAIブラウザにおいて、メールやネットバンキングなどの機密情報が悪意あるサイトに窃取されるリスクを検証した研究報告だ。

　AI企業各社はユーザーに代わってタブを開き、旅行のルートやレストランを調べ、予約やカレンダーへの予定追加まで行うエージェント型AIブラウザを投入している。しかし、こうした高機能なブラウザの多くが、ユーザーを脅威にさらしているという。

　通常のブラウザでは、あるページから別のページへ銀行口座番号をコピー＆ペーストするなど、タブ間の情報移動は人間が手動で行う必要がある。AIエージェントに人間に近いアクセス権限を与えると、悪意のあるWebページのコード内に隠されたテキストを通じて、エージェントに不正な指示を渡す攻撃「プロンプトインジェクション」で別サイトの情報が盗まれたりする。

　そこで研究チームは、AIブラウザやそれに類するブラウザ拡張機能7種（ChatGPT Atlas、Chrome with Gemini、Claude for Chrome、Perplexity Comet、Edge with CoPilot、Brave Leo AI、Firefox AI Mode）にそのような脆弱性がないかを調査した。

　その結果、そのうちの4種において、基本的なサイバーセキュリティプロトコルである「同一オリジンポリシー」（Same-Origin Policy）を悪意ある攻撃者が回避できる経路が見つかった。

攻撃の概要

　1995年に導入された同一オリジンポリシーは、ブラウザ内で開かれている異なるWebサイト同士が互いの情報に干渉するのを防ぐ仕組み。この仕組みがあるからこそ、ユーザーはあるタブで危険なサイトを開きながら別のタブで銀行口座にログインしても、情報を守ることができる。

　攻撃経路が確認された4種とは、ChatGPT Atlas（エージェントモード）、Chrome with Gemini、Claude for Chrome、Perplexity Comet。4種はいずれも、Webページの中に広告などとして埋め込まれた別サイトの枠（iframe）の中身まで読み取っていた。本来、ブラウザはこの枠の内と外を厳密に分けて守っているが、AIエージェントはその壁を越えて両方を見てしまう。

　さらに、ChatGPT Atlas（エージェントモード）とClaudeは、画面上では伏せ字になっているパスワード欄の文字列まで裏側のデータ（DOM）から直接読み取ることができた。ブラウザ拡張機能として動くClaudeは、別サイトの枠内も含めて任意のプログラム（JavaScript）を注入・実行できる強い権限を持っていた。

　テストされた中で最もリスクが低かったのが「Firefox AI Mode」だが、一方で使える機能も少ない。

調査対象となったエージェント型AIブラウザ7種の、タブ間および埋め込み枠（iframe）などへのデータアクセス権限の検証結果

　研究チームは、攻撃シナリオを3つ紹介している。1つ目は、エージェントに別サイトの情報を読み取らせ、攻撃者のサイトへ送信させる。研究チームはChatGPT Atlas（エージェントモード）で実際にデータ窃取に成功した。

　2つ目は、盗むのではなく、別サイトでユーザーになりすましてフォームの入力・送信や投稿を実行させる。

　3つ目は、悪意ある情報や指示をエージェントの記憶に紛れ込ませる攻撃。エージェントは訪問したページの情報を履歴として蓄積し、別サイト由来の情報と混ぜて扱うことがある。例えば、銀行の偽サイトの連絡先を掲載していた場合、その場では偽サイトと見抜けても、いったん履歴に取り込まれると本物の情報と区別がつかなくなり、後でユーザーが銀行の電話番号を尋ねた際に偽の番号を答えてしまう恐れがある。

　研究チームは調査対象となったブラウザの開発企業にこの結果を共有した。Google、Microsoft、Braveからは丁寧な返答があった一方、AnthropicとFirefoxからは返答がなく、PerplexityとOpenAIは報告書の受け取りを辞退した。なお、検証したブラウザのうちChatGPT Atlasは8月に提供が終了している。

Source and Image Credits: Milne, S. (2026, June 30). Some agentic AI browsers come with major cybersecurity risks, UW study finds. UW News. University of Washington.

Copyright © ITmedia, Inc. All Rights Reserved.

SpecialPR

Innovative Tech

2019年にスタートした本連載「Innovative Tech」は、世界中の幅広い分野から最先端の研究論文を独自視点で厳選、解説している。執筆は研究論文メディア「Seamless」（シームレス）を主宰し、日課として数多くの論文に目を通す山下氏が担当。イラストや漫画は、同メディア所属のアーティスト・おね氏が手掛けている。

この連載の記事をもっと見る

この記事の著者

2014年から幅広い分野の研究論文をピックアップして解説しているメディア「Seamless」（シームレス）を主宰している。