「BragJack」と名付けられた新たな概念実証(PoC)攻撃により、5種類のエージェント型ブラウザ環境が侵害され、機密情報が窃取される恐れがあることが判明しました。対象となったのは Google Chrome（Gemini搭載）、Microsoft Edge、Opera Neon、Perplexity Comet、そしてChrome版Claudeです。
この攻撃を発見したのは、Forever Securityでエージェント型ソフトウェアおよびブラウザの脆弱性を研究するGal Weizman氏です。本日公開されたブログ記事によると、同氏はこの発見により影響を受けた各社から合計2万ドル以上のバグバウンティを獲得したとのことです。
これまでのAI関連攻撃の多くとは異なり、BragJackはAIのガードレールを回避する必要も、攻撃者がAIエージェントに読み込ませることを想定したコンテンツ内に指示を隠すプロンプトインジェクションに頼る必要すらありませんでした。Weizman氏はブログ記事の中でそう記しています。
同氏は「我々はもっと厄介なものを発見した」と述べ、「発見した脆弱性はすべて、同一の重大な設計上の欠陥を共有していた」と付け加えています。この欠陥は、エージェント型ブラウザが拡張機能とやり取りする方式そのものに起因しており、攻撃者が通信チャネルを完全に乗っ取り、ブラウザ内蔵エージェントにプロンプトを強制的に送り込むことで、思いのままに操作できてしまうのだとDark Reading誌の取材に説明しています。
Weizman氏はメールでの取材に対し、次のように述べています。「エージェントがやり取りするデータの中に巧妙に指示を隠し、それに引っかかることを期待する必要すらなかった。プロンプトを次々と送り続けるだけで、エージェントを説得してあらゆることを実行させられたのです」「注目すべきは、この攻撃が世界で最も普及しているエージェント型ブラウザのうち5種類に対して有効だったという点です。これは単なる個別の脆弱性事例にとどまらず、新種の攻撃手法と呼べるものです」
異なるAIへの攻撃、共通する構造的欠陥
Forever Securityは、この攻撃の影響を受けた5社（Google、Microsoft、Opera、Anthropic、Perplexity）に連絡を取りました。各社とも自社技術に脆弱性が存在することを認め、Anthropicの最低600ドルからGoogleの最高7,000ドルまで、それぞれバグバウンティを支払っています。GoogleとMicrosoftに至っては、それぞれのエージェント型ブラウザであるChromeとEdgeの脆弱性に対してCVEを発行しました。番号はCVE-2026-0628とCVE-2026-55945です。これらの問題はすでに修正されています。
各ブラウザで確認されたBragJackの現れ方はそれぞれ異なっており、脆弱性の内容も個別に異なっていました。しかし、各ブラウザで悪用された構造上の問題は共通していました。つまり、いずれのブラウザも、本来は信頼されない拡張機能と高い権限を持つAIエージェントとを隔てるはずの境界線を、拡張機能が越えられる状態になっていたのです。これはつまり、これら5種類のブラウザのいずれかを使用し、拡張機能を一つでもインストールしている消費者はすべてリスクにさらされていたことを意味し、Weizman氏によれば、その対象は数億人規模のユーザーに及ぶといいます。
例えばGoogle Chrome／Geminiの場合、Chromeは拡張機能がGeminiのページにスクリプトを注入することはブロックしていましたが、Geminiの読み込みに使われるネットワークリクエストを拡張機能が改変することは防いでいませんでした。研究者らはこの隙を突き、自らのサイトのJavaScriptを差し替えることで、Geminiのブラウザ側「ボディ」部分を制御下に置くことに成功しました。ブログ記事によると、これによりユーザーのクリックを一切介さずに、スクリーンショットの取得、ローカルファイルへのアクセス、カメラやマイクの起動が可能になったとのことです。
別の例として、Microsoft Edge／Copilotで BragJack を実行するには、より強固な防御策が講じられていたため、研究者らは二つの脆弱性を連鎖させる必要があったとブログ記事は述べています。まず、ブラウザエージェントにプロンプトを送信できる特別な権限を持つMicrosoftのマーケティングページを発見しました。次に、そのページを保護しているネットワークレベルの防御機構を、Edgeの「Think」モードと「Do」モードの切り替え時に生じるレースコンディションを突くことで回避し、絶妙なタイミングでモードを切り替えることで、エージェントに自分たちの指示を受け入れさせ、かつ実行させることに成功したといいます。
BragJackが示すAIエージェントのサイバーリスク
BragJackが注目に値するのは、攻撃者がAIエージェントを操る新たな手口を示しただけでなく、まさに週末に元Anthropic従業員と現CEOがそれぞれAI開発を制御下に置くよう発した深刻な警告の内容を裏付ける事例にもなっている点です。Weizman氏はDark Reading誌に対し、「（ブラウザに搭載されているような）過剰に強力なエージェントが悪意ある者の手に渡った場合、どれほど危険なものになり得るかを示している」と述べています。
同氏は「今回の調査で対象となったブラウザエージェントは、攻撃側の拡張機能が指示した内容ならば何でも実行してしまいました。機密情報（メールのやり取りなど）へのアクセス、その情報のどこへの流出、さらにはユーザーが認証済みのあらゆるウェブサイト上での破壊的操作の実行まで、指示された通りに応じてしまったのです」と述べています。
この点を踏まえ、業界は前述の警告に耳を傾け、慎重に開発を進める必要があるとWeizman氏は指摘します。同氏は、「データの漏えいやシステム状態の変更を引き起こしかねないタスクの完了を防ぐ組み込み型の制約」を、エージェントが一般公開される前に備えておくべきだと述べています。
ブラウザエージェント乗っ取りへの防御策を今すぐ講じるべき
組織はまた、エージェント型ブラウザが暴走した場合に発生し得るBragJackやその他の攻撃に対して、直ちに防御策を講じるべきです。当面の対策として、Weizman氏は、組織内のChromiumベースのブラウザをすべて最新の状態に保つこと、そして「組織が検証しておらず、広く知られておらず安全性も確認できていない拡張機能はすべて削除する」ことを推奨しています。
こうした攻撃は既存のエンドポイント検知・対応(EDR)システムを回避できてしまいますが、セキュリティオペレーションセンター(SOC)側でも、各エージェント型ブラウザのAIプロバイダーとの過去のやり取りを観察し、影響を受けた可能性のあるエンドポイントを特定することで、検知の仕組みを構築できるとWeizman氏はDark Reading誌に語っています。そこまで実施した上で、SOCは「ブラウザエージェントがAIプロバイダーのサーバーとの間で行ったやり取りの記録をエクスポートし、侵害を示唆し得る不審な挙動がないか確認すべきだ」と同氏は推奨しています。
さらに今後を見据え、Weizman氏は、エンドポイント上でエージェント型コンポーネントが行う操作を傍受し、豊富なコンテキストとAIの能力を活用して、安全な操作と組織を危険にさらす操作とを見分けられる次世代のEDRの導入も検討すべきだと付け加えています。
翻訳元: https://www.darkreading.com/endpoint-security/bragjack-browser-agentic-ai
