AIブラウザのプロンプトインジェクション欠陥に完璧な対策なし

Black Hat USA 2026 – ラスベガス – AI搭載のWebブラウザはプロンプトインジェクションに対するガードレールを強化しつつありますが、この蔓延する脅威が近い将来になくなることはなさそうです。

Black Hat USA 2026において、Brave Softwareのセキュリティエンジニアであるアルテム・チャイキン(Artem Chaikin)氏は「Attacking and Defending AI Browsers」と題したセッションを開催しました。このセッションは、ユーザーに代わってWebアプリケーションを操作・閲覧できるAIアシスタントを組み込む機会が増えている現代のWebブラウザについて、そのセキュリティの実情を明らかにすることを目的としていました。

エージェント型、あるいはそれに類する機能でよくあることですが、こうしたブラウザ機能は、適切に細工されたWebページを介した間接的なプロンプトインジェクションに対して脆弱であり、データ流出やアカウント乗っ取りにつながる恐れがあります。チャイキン氏は、自身が分析したすべてのブラウザがプロンプトインジェクションに対して脆弱であったと述べています。

プレゼンテーションの前半ではデモが行われ、OperaのAIブラウザ、Perplexityの Cometブラウザ、そしてChatGPTのAtlasブラウザを対象に検証が実施されました。Operaと Perplexityについては、HTMLの裏に隠した命令(Opera)や、画像の上にほぼ透明なテキストとして重ねた命令(Perplexity)、あるいはスポイラータグの裏に隠したRedditのコメント(Perplexity)によって、既存のガードレールを回避できることを示しました。

チャイキン氏はまた、AIブラウザを保護するために用いられている主要なガードレールについても取り上げました。具体的には、Anthropic、OpenAI、Googleといったベンダーが提供する高性能な最先端モデルの利用、モデルにユーザーの指示のみに従うこと、Webページのコンテンツを信頼できないものとして扱うこと、サードパーティのコンテンツ内の命令を決して実行しないことを指示する強力なシステムレベルのプロンプト、危険な入力を実行する前に人間を介在させること、信頼できるコンテンツへのタグ付け、出力を実行する前のツール呼び出しのスキャン実装などが挙げられます。

最先端のAIブラウザでも苦戦

これらはいずれも一般的に推奨される対策ですが、単独では十分ではないことがChatGPTのAtlasを対象としたデモで示されました。このブラウザにはシステムレベルのプロンプト、信頼できる/できないコンテンツのタグ付け、セカンダリモデルによるツールスキャン、ユーザー承認プロンプトが備わっています。それでもなお、チャイキン氏の調査によって脆弱性があることが判明しました。

デモの中でチャイキン氏は、攻撃者がWebページのコンテンツ内で信頼できるコンテンツタグを模倣し、モデルを混乱させる手口を示しました。ツール呼び出しに関しては、URLフラグメントに隠されたデータ流出が適切にスキャンされていないことを示しました。特に注目すべきは、利用上限に達した無料ユーザーのモデルが、たまたまプロンプトインジェクションに対してより脆弱なモデルにダウングレードされてしまうケースを示した点です。

「『ちょっと待って、これって金を払わないと生き残れないシナリオなのか?』と思うかもしれません」とチャイキン氏は冗談交じりに述べました。

AIブラウザのセキュリティに完璧な解決策なし

この調査の結果を受け、チャイキン氏は自社ブラウザのためにこの知見をBraveへ持ち帰る必要があると気づきました。

「これらの問題をすべて見つけた後、Braveで同じことが起きないようにするのが自分の仕事なのだと気づきました」と同氏は述べています。「非常にストレスの多い作業でした」

Braveのアプローチには、こうした命令中心のセキュリティ問題に対処するための複数の機能が含まれています。個人アカウントがデフォルトでログアウトされるようブラウザプロファイルを分離すること、一定のセキュリティ基準を下回らないよう強力なモデル要件を設けること、そして言語ベースの整合性チェックです。チャイキン氏によれば、BraveはClaude Haiku 4.5を下回るモデルへはダウングレードしないとのことです。

この整合性チェックは、Metaの「Prompt Firewall」の概念や、エージェントシステムで用いられる類似のアーキテクチャに着想を得たものです。プライマリのLLMがツールアクションを実行しようとすると、そのアクションは実行前に一時停止されます。次に「センチネル」と呼ばれる第二のモデルが、ユーザーの元々のリクエスト、それまでの会話の文脈、提案されたツールアクションを検証し、そのアクションにリスクがあるかどうかを判断します。そして、リンクを開いてよいか本当に確認したいかをユーザープロンプトで提示し、リスクを可視化します。

ユーザーがエージェントにWebページの要約を指示したにもかかわらず、間接的なプロンプトによってエージェントがGmailを開こうとした場合、センチネルモデルはこれらの動作が一致しないと判断する可能性が高いといえます。

このほかにも、モデルに到達する前にテキストをサニタイズする手法や、プロンプトインジェクションの検出に特化したモデルの利用、ユーザーが要求する特定のタスクにのみ権限を付与する動的な権限管理など、研究の方向性は他にも存在します。ただし、いずれも完璧な解決策ではないと同氏は述べています。

実際のところ、チャイキン氏の結論は、AIブラウザにおけるプロンプトインジェクションに対して、現時点で完璧な解決策は知られていないというものです。より優れたモデル、強力なシステムレベルのプロンプト、コンテンツタグ付け、ツールスキャン、セカンダリの検証モデルなど、それぞれの緩和策は一定の効果をもたらしますが、絶対的な保証は存在しません。

「正直なところ、この不確実性とはうまく付き合っていくしかないと感じていますが、今後どうなるか見守りたいと思います」と同氏は締めくくりました。

チャイキン氏のこの結論は、同研究者が以前に言及していたブラウザセキュリティの歴史との比較を彷彿とさせます。現代のブラウザが単一の仕組みではなく複数の防御層に頼ってセキュリティを確保しているのと同様に、AIブラウザについても、リスクを完全になくすことはできないにせよ、それを軽減するために複数の重なり合ったガードレールが求められることになりそうです。