AIセキュリティ企業のZenityは、Chrome版ClaudeとChatGPT Atlasを標的とした2つのAIブラウザハッキング手法の詳細を公開しました。これらの手法がアカウント乗っ取りやフィッシング、さらにはAmazonでの不正購入にどのように悪用され得るかを実証しています。
Zenityは水曜日に公開した2本の別々のブログ記事でこの研究内容を説明しています。1本はChatGPT Atlasに関する調査、もう1本はChrome版Claudeへの攻撃を扱っています。
ChatGPT Atlasのハッキング
Zenityの研究者たちは、OpenAIのエージェント型ブラウザであるChatGPT Atlasが、従来型のソフトウェアのバグではなく根本的なアーキテクチャ設計上の問題により、ゼロクリックの間接的プロンプトインジェクション(IPI)に対して脆弱であることを発見しました。
研究者らは、Xのスレッドに仕込んだたった一つのコメントを通じて「インテントの衝突(intent collision)」を悪用することで、攻撃者が正規のユーザーリクエストを乗っ取り、認証済みのウェブセッション全体にわたってエージェントを制御できることを実証しました。
Atlasのようなエージェント型ブラウザは、複数の認証済みタブにまたがって単一のエンティティとして動作するという設計上の特性から、そもそも同一生成元ポリシー(SOP)を破ってしまいます。これは事実上、クロスサイトリクエストフォージェリ(CSRF)を復活させるものです。この結果、信頼できないページ上の悪意ある指示が、ユーザーが現在ログインしている他のあらゆるサイトにまたがってエージェントに行動を実行させることが可能になります。
Zenityの研究者は2つのシナリオで攻撃を実証しました。1つ目は、ユーザーがAtlasに対し、Xの投稿に記載されたニュースレターへの登録といった日常的なタスクの実行を依頼するケースです。巧妙に仕込まれたXのコメントによって、Atlasは悪意あるペイロードページへと誘導されます。その後エージェントはWhatsApp Webに移動し、被害者の連絡先リストを読み取ったうえで、被害者本人になりすましてすべての連絡先にフィッシングメッセージを送信します。
2つ目のシナリオでは、Atlasが誘導されてAmazonにアクセスし、商品をカートに追加したうえで、配送先住所を攻撃者の所在地に書き換えます。最終的な購入ボタンのクリックを妨げる制限を回避するため、Atlasは代わりにAmazon組み込みのAIアシスタントであるRufusに注文の実行を指示します。
Zenityはこれらの調査結果を2026年1月にOpenAIへ報告し、同社はこの報告を認めましたが、簡単なパッチでの対応は困難だとしています。というのも、この攻撃はエージェント型ブラウザの中核機能である「ウェブコンテンツを読み取り、認証済みの複数ドメインにまたがってそれに基づいて行動する」という意図された能力そのものに依存しているためです。
Chrome版Claudeのハッキング
Zenityは、公式のClaude Chrome拡張機能に対するゼロクリック攻撃チェーンも実証し、間接的プロンプトインジェクションを複数のウェブプラットフォームにまたがる完全なアカウント乗っ取りにまでエスカレートさせています。
この攻撃手法は、アクティブなユーザーセッション内で動作するエージェント型ブラウザの、高い権限を悪用するものです。
同社が説明する攻撃シナリオの一つでは、被害者が不可視のプロンプト構造を含む悪意あるメールを受信します。Claudeに最新のメールを要約するよう依頼するだけで、エージェントは隠された指示を直接的な命令として解釈してしまいます。
通常であれば、標準的な安全機構が悪意あるスクリプトの直接実行をブロックするはずですが、攻撃者は不正なCDN上にカスタムのNPMパッケージをホストすることでこれを回避できます。Claudeは一見無害に見えるインポートの呼び出しをするようだまされ、その結果ペイロードコードが密かに実行されてしまいます。
研究者たちは、アクティブなセッションクッキー内で動作する攻撃者のスクリプトが、GmailのAtomフィードに問い合わせてメッセージIDを抽出し、メール本文全体を解析したうえで、受信トレイの内容を攻撃者のサーバーへ密かに流出させる様子を実証しました。攻撃者はさらに、標的ユーザーのGoogle Driveアカウント内のすべてのファイルを、攻撃者が管理するアカウントと密かに共有させることも可能です。
Zenityは、SlackおよびXのアカウントに対する自動アカウント乗っ取りについても実証しています。攻撃者はアカウントのサインインやパスワードリセットを引き起こしたうえで、エージェントにGmailを監視させて届いた確認コードを取得させ、それを攻撃者に転送させることでセッションの乗っ取りを完了できます。
これらの調査結果は2025年12月および2026年1月にAnthropicへ報告されましたが、「参考情報(informative)」として分類されました。
