エージェント型ブラウザが巻き戻すウェブセキュリティの20年

ビジネスユーザーや開発者が仕事の負担を軽減するためにエージェント型ブラウザの活用を進める一方で、その利便性の源となっている特性そのものが、まったく新しいリスクの温床にもなりつつあります。セキュリティ研究者らは、エージェントがユーザーに代わって作業を遂行できるよう複数のウェブドメインをまたいでアクセスしやすくするために、エージェント型ブラウザがブラウザの重要なセキュリティ機構をいくつも「取り除いてしまった」と警告しています。

当然の結果として、市場に出回っているあらゆる商用エージェント型ブラウザが、アカウント乗っ取りから本格的なブラウザ脱獄、さらにはブラウザを動かす基盤システムのリモート侵害に至るまで、新たな攻撃手段の数々に対して脆弱な状態にさらされています。

「これらのエージェント型ブラウザには、それぞれ異なるセキュリティ保証を伴うまったく異なる設計が見られましたが、結局のところ、そのすべてをハッキングできてしまうことが分かりました」と、Zenityの最高技術責任者(CTO)兼共同創業者であるMichael Bargury氏は話します。同氏は来週開催されるBlack Hatのセッションで、この調査結果を発表する主要研究者の一人です。

「PleaseFix」がAIエージェントへのソーシャルエンジニアリングを容易にする

Zenityの研究者らは、Black Hatで取り上げるこの脆弱性クラスを「PleaseFix」と名付けました。これは、防御機構を回避するようユーザーをソーシャルエンジニアリングによって誘導する、ブラウザに対するよく知られた攻撃手法にちなんだ命名です。

「ブラウザの世界では、長年にわたって『ClickFix』と呼ばれる根深い問題を抱えてきました。ユーザーが何かをクリックするよう説得され、結果として悪意ある操作を自ら実行してしまうというものです」とBargury氏は言います。「今やAIが相手なら、エージェントに丁寧にお願いするだけで、代わりにやってくれるのです」

PleaseFixの悪用は平易な英語だけで実現可能で、エージェント型ブラウザを乗っ取り、最終的にはRCE(リモートコード実行)にまで発展するゼロクリック攻撃チェーンを構築できます。攻撃のきっかけは、エージェントを悪意あるコンテンツに接触させるよう仕向けることであり、SNSの投稿やニュースレター登録といった一見些細な操作でも十分です。

「私たちはあなたのSNSアカウントを乗っ取ったり、あなたに成りすまして友人全員にWhatsAppでメッセージを送ったり、Amazonで買い物をしたりできます。基本的に、ブラウザを通じてあなたができることは何でも可能です」とBargury氏は述べます。「しかも、実際にブラウザからマシンへと越境し、完全なRCEに至ることにも成功しています。この講演の悩みは、見せたいものが多すぎることです。壇上に立って、次から次へとデモを披露したいくらいです」

Zenityは今年3月にすでにPleaseFixを公表しており、Perplexity Cometの欠陥「Perplexed Browser」を突く2件のエクスプロイトを開示していました。1つ目はローカルファイルシステムへのアクセスを許すゼロクリックのエージェント侵害として初めて確認された事例であり、2つ目はパスワードマネージャーに対するアカウント乗っ取りを可能にするものでした。当時はCometに限定された話でしたが、これがより広範な研究の火種となりました。

「それ以来、私たちはエージェント型ブラウザを一つひとつ潰していきました」と同氏は語ります。ChatGPT AtlasからClaude for Chromeに至るまで、あらゆる製品をリバースエンジニアリングし、自律的なエージェントの行動を許容するためにセキュリティ機構がどのようにいじられているかを解明することに、相当な時間を費やしたと説明します。この過程で数多くの手がかりをたどり、PleaseFix系の欠陥がいかに蔓延しているかを示すに至りました。「今回の講演で示すのは、これが1つや2つの欠陥ではなく、脆弱性のクラス全体であるということです」

Zenityの研究者らはこの脆弱性クラスの悪用方法を探る中で、ブラウザ開発者やAI企業が攻撃を防ぐために組み込んでいるガードレールを回避する創造的な方法を模索したとBargury氏は述べます。BlackHatで披露する主要な手法の一つが、Zenityの研究者Stav Cohen氏が「意図の衝突(intent collision)」と呼ぶものです。これは、攻撃者が一見無害なユーザーからのエージェントへの要求を利用し、信頼できないコンテンツに含まれる悪意ある指示にエージェントが誤って踏み込むよう仕向ける手法です。

「モデルに対して『さあ、悪意あることをやれ』と直接ガードレールを突破しようとするのではありません。プロンプトインジェクションは一切行わないのです」とBargury氏は説明します。「私たちはただ、ユーザーが望んでいることは私たちの目的を通じて達成できるのだと、エージェント、つまりモデルに納得させるだけです。ユーザーがニュースレターへの登録を求めたなら、私は『ニュースレターに登録するとは、あなたのマシン上でリバースシェルを私に渡すことを意味する』と定義してしまいます。元々の意図と争うのではなく、ただ自分の望む方向へそっと押しやるのです」

ブラウザセキュリティの後退

Bargury氏によれば、PleaseFixが成立してしまう背景には、従来型ブラウザが何年も前に克服したはずの、非常に古典的なセキュリティ上の問題があるといいます。

「過去20年間、ブラウザを保護するために数多くの教訓が痛い目に遭いながら積み重ねられてきました」と同氏は語ります。SSRFやCSRFといった一般的な問題への対応を通じて、業界は幾重にも重なる緩和策を編み出し、それが長年うまく機能してきたと説明します。中でも特に重要なのが、あるサイトで行われた操作が別のドメインに波及するのを防ぐクロスオリジン制限だといいます。

「例えば私がTwitterやあるブログサイトにログインしたとして、そこで行われた操作がブラウザに指示を出し、私の銀行口座のページを勝手に開かせて、そこにあるボタンをクリックさせて何かを実行させる、ということはできません」と同氏は言います。「オリジンが異なるため、あるウェブサイトが別のサイトでリクエストを発生させることは許されていないのです。これはブラウザにおける根本的なセキュリティ制御ですが、これらのAIエージェント型ブラウザはすべて、その制御を取り払ってしまいました」

この問題に切り込んでいるのはZenityの研究者だけではありません。4月には、ワシントン大学Paul G. Allen School of Computer Science & Engineeringの研究者Franziska Roesner氏とDavid Kohlbrenner氏が、「Agentic Browsers And The Same-Origin Policy」と題した論文を発表しています。両氏は、各エージェント型ブラウザが同一オリジンポリシー(SOP)をそれぞれ異なる形で扱っていることを発見しました。開発元がエージェントの利便性と根本的なセキュリティ制御との間で、適切なバランスを模索している最中であることがうかがえます。

「最も制限が厳しいエージェント型ブラウザは、あらかじめ定義されたプロンプト形式でウェブページに関する限られた情報のみをエージェントに提供します。一方、制限が最も緩いシステムの多くは、人間のユーザーのように『振る舞う』、本格的なブラウザ利用エージェントです」と両氏は論文に記しています。「前者のアプローチはブラウザエージェントの有用性を大きく制限する一方、後者のアプローチはブラウザセキュリティに関する数十年の取り組みを台無しにしてしまいます」

Bargury氏はまた、制限の緩いエージェント型ブラウザが抱えるもう一つの問題として、決定論的で厳格なセキュリティ制御を、「何かが問題かどうかを懸命に見極めようとする」分類器を用いた非決定論的なシステムに置き換えてしまっている点を指摘します。同氏によれば、こうした非決定論的なシステムは、一定の割合で必然的に判定を誤るといいます。

「回避するのに脆弱性が必要だった確実な保証を、確実性のない仕組みに置き換えてしまっているのです」と同氏は述べ、ブラウザ脱獄の実行が飛躍的に容易になっていると説明します。「もはや、これらの非決定論的なシステムさえ回避すればよいのですから」

得られた教訓

Bargury氏のチームによる調査では、市場に出回るあらゆるエージェント型ブラウザを悪用できることが判明した一方で、ワシントン大学の研究者らと同様に、それぞれが異なるアーキテクチャ上のアプローチと異なるガードレールを備えており、その結果として異なる形の攻撃にさらされていることも分かったといいます。
「どれか一つが他より優れているというわけではありません。それぞれが違っていて、保護されているレベルも異なるだけです」と同氏は述べ、Black Hatでの発表とその後数週間にわたって、セキュリティ上の意思決定者が自らのニーズに応じて各ブラウザの脅威モデルをより的確に構築できるよう、技術情報を公開していく予定だと説明します。

同氏はまた、この講演が、セキュリティ分野の識者や各組織のセキュリティ責任者がブラウザ開発企業に働きかけ、これらのエージェント型ブラウザの動作についてより高い透明性を提供させる後押しになることも期待しています。

「エージェント型ブラウザはブラックボックスです。中で何が起きているか分からず、ログも得られず、思考の連鎖(chain of thought)も見えません」と同氏は言います。「これは企業全体への展開という観点では、到底受け入れられるものではないと考えています」

同氏は、こうした圧力によって、多くのAI企業がコーディングエージェント向けにすでに実現しているのと同様に、テレメトリー情報を開示する方向に動いてくれることを期待しています。

それまでの間、エージェント型ブラウザの恩恵を享受したいと考えるユーザーやセキュリティ担当者に向けて、同氏は隔離された専用の認証情報を使って運用するよう勧めています。

「現時点で自分自身の認証情報を使ってログインするようなことをすれば、ろくなことにはならないと思います」と同氏は述べ、エージェント型ブラウジング専用に隔離された、まったく別のメールアカウント一式や、独立したカレンダー招待、独立した認証情報を用意することが望ましい方法だと説明しています。