AIブラウザにゼロクリックでエージェントを乗っ取られる脆弱性

Black Hat USA 2026 – ラスベガス – Claude in Chrome、Gemini in Chrome、Perplexity Comet、ChatGPT Atlas、Copilot Edgeといったブラウザが、新種のゼロクリック攻撃に対して脆弱であることが判明しました。攻撃者はこれを悪用して人工知能エージェントを乗っ取り、ユーザーに敵対する形で操作できます。

この問題の根本には、AIエージェントがタスクを処理する際に、メールやウェブページなど複数のソースから情報を取得する一方で、信頼できるコンテンツと信頼できないコンテンツを確実に区別できていないという構造的な欠陥があります。悪意のある攻撃者がそうしたコンテンツに不正な指示を紛れ込ませることができれば、エージェントを武器化し、そのアクセス権限を使ってユーザーになりすまして行動させ、機密データやアカウント、その他の連携サービスに手を伸ばせる可能性があります。

この脆弱性クラスを「PleaseFix」と名付けたZenity Labsの研究者たちは、今週開催されたBlack Hat USA 2026のセッションでこのリスクを実演しました。

AIブラウザにおける根本的な破綻

同社によれば、エージェント型ブラウザは、あるウェブサイトが別のウェブサイトのデータやリソースに自由にアクセスすることを防ぐ、ブラウザの基本原則である「同一オリジンポリシー」を根本的に破壊しています。AIエージェントは、異なるウェブサイトやソース同士を互いに分離したままにするのではなく、それらのコンテンツを組み合わせて処理し、行動に移してしまうのです。

「PleaseFixは、エージェントが接するコンテンツ、たとえばメールやカレンダーの招待、ウェブページなどの中に悪意のある指示を仕込むことで、この信頼モデルを悪用します」とZenityは月曜日のプレスリリースで述べています。「Zenity Labsが『インテント・コリジョン(Intent Collision)』と呼ぶ手法により、こうした隠された指示がユーザーの正当な要求に割り込み、エージェントをユーザー自身のIDや権限、アクセス権を使って攻撃者のために行動させる方向へ誘導します」

Zenityは、さまざまなエージェント型ブラウザや攻撃シナリオにおいて、攻撃者がこの問題をどのように悪用しうるかを実演しました。たとえばClaude in Chromeでは、悪意のある指示を含むメールの要約を求めるという単純な依頼が引き金となり、Gmailデータの窃取、被害者のGoogleドライブの共有設定変更、さらにはSlack、X、Claudeを含む各種アカウントの乗っ取りにまで発展する攻撃を、研究者たちは示しました。

Perplexity Cometについては、攻撃者が細工したカレンダー招待を使うことで、ユーザーの操作を一切介さずにエージェントを乗っ取り、ローカルファイルやパスワードマネージャーのワークフローにアクセスして機密データや認証情報を盗み出せることを研究者たちは示しました。同様に、ChatGPT Atlasでは、X上の一見普通に見えるリンクがエージェントの処理を乗っ取り、被害者のWhatsAppアカウントを通じてフィッシングメッセージを送信させられることを実演しています。また別の攻撃では、Amazonの注文内容を改ざんし、Amazonのアシスタント機能を悪用して被害者のクレジットカードで不正な購入を完了させられることも示されました。

「AIブラウザは、いわばあなたの従業員としてウェブ上で行動します。すでにメールやファイル、カレンダー、業務用アプリにログイン済みの状態です」と、Zenityでセキュリティ研究チームを率いるStav Cohen氏は説明します。「攻撃者がエージェントの読み取るコンテンツに隠された指示を紛れ込ませることができれば、社内ネットワークの内側から、あなたの従業員自身のアクセス権限を使って、エージェントをユーザーに敵対させることができてしまいます」

エージェントに識別能力が備わっていない現実

問題は、AIエージェントがメールや共有文書、カレンダー招待、ウェブページの中にある通常のコンテンツと、そこに紛れ込んだ悪意のある隠し指示とを区別できない点にあります。「重要なのは『修正すべきバグがある』ということではありません」とCohen氏は言います。「あなたの環境の中に、強力な新種の“内部関係者”が現れたということです。それは日常的なコンテンツによって乗っ取られうる存在であり、既存の防御策が前提としてきた枠組みには当てはまらないのです」

この問題に単一の解決策は存在しないものの、組織がインテント・コリジョン攻撃による被害を最小限に抑えるために取れる対策はある、と同氏は言います。前提とすべき考え方は、エージェントは乗っ取られるものだと想定した上で、最悪の場合何が起こりうるかを洗い出し、本当に必要のない権限はすべて取り除くことです。

具体的には、ブラウザの設定を見直してデフォルト設定を無効化すること、メールやAWS、GitHubといった業務用アカウントにAIブラウザでサインインしないこと、ブラウザが行動できる範囲を制限すること、そして「実行前に確認」というポップアップだけに頼らないことなどが挙げられます。

「核心にある問題はシンプルです。エージェントは、読むよう指示されたコンテンツと、そのコンテンツの中に埋め込まれた隠し指示とを、確実に区別することができません」とCohen氏は指摘します。「解決策は、AIに『きちんと振る舞ってくれ』と求め続けることではありません。エージェントが自分では覆せない厳格な制限を設け、それをデフォルトで有効な状態にして提供することです」

Cohen氏は、この問題はエージェント型ブラウザの設計上の欠陥であり、パッチ適用だけでは解決できないとしながらも、ベンダー各社は可能な限り個々の攻撃経路にパッチを当てることができるし、そうすべきだとも述べています。「AIブラウザが機能するためには」と同氏は言います。「エージェントはオープンなウェブ上のコンテンツを読み取り、それに基づいて行動せざるを得ません。そして、そのコンテンツは信頼できるものではなく、改ざんされる可能性を常にはらんでいます」