2026年4月、ワシントン大学の研究者チームがリオデジャネイロでセキュリティ専門家が集まる会議の場に立ち、AIアシスタントにブラウジングを任せているすべての人を不安にさせるべき診断結果を発表した。問題はバグではない。修正パッチも来ない。その緊張は、今日市場に出回っているすべてのAI搭載ブラウザのアーキテクチャをまっすぐに貫いている。
古の壁、新たに崩される
研究者が何を発見したかを理解するには、同一生成元ポリシーを理解する必要がある。これはウェブ上で最も古く、最も重要なルールの一つであり、30年以上かけて、攻撃者が仕掛けてきたあらゆるワーム、クロスサイトスクリプト、データ漏洩に対応して、層を重ねて構築されてきた。ルールは単純だ。あるウェブサイト（例えば銀行のオンラインポータル）から読み込まれたコンテンツは、同じブラウザタブで動作する別のウェブサイトから読み込まれたデータを読むことができない。ニュースサイト上の広告iframeはGmailセッションに侵入できない。この目に見えないファイアウォールこそ、10個のタブを開いていても、それぞれが他のタブを略奪することなく済む理由である。
AI搭載ブラウジングエージェントは、そのファイアウォールを意図的に破壊する。
研究者のDavid Kohlbrenner氏、Franziska Roesner氏とその共同研究者らは、ChatGPT Atlas、Claude for Chrome、Perplexity Comet、Brave Leo AI、Chrome with Gemini、Microsoft Edge with Copilot、Firefox AI Modeの7つのAIブラウザをテストした。彼らが見つけたのは、安全な位置など存在しないセキュリティ環境であった。有用であるためには、AIエージェントはユーザーが見るすべてを見なければならない。それにはクロスオリジンのiframe、サイドバーウィジェット、埋め込まれたソーシャルメディア投稿、サードパーティ広告のコンテンツも含まれる。完全なアクセスがなければ、エージェントはページを要約したり、その内容に関する質問に答えたり、複雑なタスクを実行したりできない。しかし完全なアクセスがあれば、ユーザーが訪問するすべてのサイトが、エージェントの権限を通じてルーティングされる他のすべてのサイトのデータへの潜在的なチャネルを得ることになる。
二つの攻撃ベクトル
Kohlbrenner氏のチームは、攻撃者がこのアーキテクチャ上の譲歩を悪用できる具体的な方法を二つ特定した。一つ目はプロンプトインジェクションである。広告、コメントスレッド、一見無害なiframeの中に隠された悪意あるテキストが、AIをだましてデータを命令として誤解釈させる。エージェントは毒されたコンテンツを読み、正当なコマンドを与えられていると信じてそれに基づいて行動し、機密情報を転送したり、危険なリンクをクリックしたり、ユーザーが意図しなかったアクションを実行したりする可能性がある。
これは仮説上の話ではない。研究者らは複数のAIブラウザにわたって動作するインジェクション攻撃を実証した。エージェントはユーザーが分析を望むコンテンツと、積極的に操作しようとしているコンテンツを区別できない。なぜならエージェントの視点からは、両方とも同じページの統合ビュー内の単なるテキストにすぎないからだ。
二つ目のベクトルはメモリポイズニングである。AIエージェントはページを処理したら忘れるわけではない。コンテキストを構築し、タスクを追跡し、将来の応答を改善するために情報をメモリに保存する。研究者らは、これらのエージェントが異なる生成元から引き出された情報を同じメモリストアで日常的に混在させていることを発見した。悪意あるウェブサイトからのテキスト断片が、安全な銀行セッションのデータと絡み合う可能性がある。ひとたび混在すると、その保存データは、エージェントが読み取り権限を持つ任意の生成元からの後続のリクエストによって抽出される危険にさらされる。
主体性の罠
リオデジャネイロのプレゼンテーションが明らかにした不快な真実は、AIブラウザが有用であればあるほど、そのセキュリティプロファイルは悪化するということだ。調査対象の中で最もエージェント的な製品、ChatGPT Atlas、Claude for Chrome、Perplexity Cometは、最も脆弱でもあった。これらはより豊かな自動化、ユーザーアカウントとのより深い統合、より持続的なメモリを提供する。追加される能力ごとに攻撃表面積が広がる。
逆に、セキュリティ分析でより良い結果を示したブラウザは、より少ない機能しか提供しないものだった。Brave Leo AI、Microsoft Edge with Copilot、Firefox AI Modeは比較的クリーンな報告書を得たが、それはエージェント機能に対してより慎重なアプローチを取っているからにすぎない。野心が少ない分、安全なのである。それは解決策ではない。それは、いかなるエンジニアリングもまだ解決していないトレードオフである。
AIブラウジングに多額の投資をしている企業は、リスクを認識しており緩和策に取り組んでいると述べている。しかし研究者らは、現在のブラウザアーキテクチャ内で問題をエンジニアリングで解決できるかどうかについて懐疑的だった。
「ブラウザエージェントは一般公開の準備ができていない」とKohlbrenner氏はワークショップの聴衆に語った。
Roesner氏はより深い課題を競争力学の観点から捉えた。「企業がこれらのブラウザを押し出しているのは、競争圧力にさらされているからです。しかし、それらを安全にする方法はまだ未解決の課題です」
構造的矛盾
核心的な問題は、エンジニアがプロンプトサニタイゼーションを適切に実装できなかったとか、メモリ分離により強力な暗号化スキームが必要だとかいうことではない。AIブラウジングエージェントの基本設計自体に矛盾が含まれているということだ。ウェブ上で行動するために、エージェントは30年にわたるセキュリティエンジニアリングが enforce するために構築されてきたのと同じ境界を越えて読み書きする権限を必要とする。エージェントに主体性（ユーザーに代わって意思決定しアクションを実行する能力）を与えずして、その主体性が必要とするアクセスを与えることはできない。そしてそのアクセスを、ウェブを混沌から守ってきた同一生成元ポリシーを解体せずに与えることもできない。
これこそが、研究者が問題はアーキテクチャ上のものだと述べる意味である。特定の実装における欠陥であり、ポイントリリースで修正できるというものではない。それは、AIブラウザが何をするべきかという定義そのものに組み込まれた、主体性と封じ込めの間の緊張関係なのである。
ユーザーの電子メール、カレンダー、銀行口座、医療記録はすべて異なる生成元にある。真に有用なエージェントは、予定を調整し、経費を追跡し、コミュニケーションを要約するために、それらすべてから読み取る必要がある。しかしエージェントが生成元を越えて読み取れるようになった瞬間、それは銀行から広告ネットワークへデータが流れる潜在的なベクトルともなり、ユーザーが存在すると思っていたすべてのセキュリティ境界を迂回してしまう。
今後の展望
Kohlbrenner氏、Roesner氏とそのチームは完全な結果を「Security Analysis of AI-Powered Web Browsing Agents」というタイトルで発表し、2026年4月26日にリオデジャネイロで開催されたAgents in the Wildワークショップで発表した。論文は修正策を提供しておらず、著者らも持っているふりはしていない。問題を正確にカタログ化し、業界がその影響にもがき苦しむに任せている。
提案されている緩和策には、生成元ごとのメモリストアを持つサンドボックス化エージェント、クロスオリジン操作に対する明示的なユーザー確認、構造化データアクセスのための新しいブラウザAPIが含まれる。しかし各アプローチはエージェントの有用性を低下させる。トレードオフは避けられない。
公共の利益に関する問題は、市場が企業に積極的なエージェント機能から十分に距離を置き、安全なものを作る時間を許すかどうかである。Roesner氏が述べた競争圧力は緩和されていない。主要なブラウザベンダーはすべてAIアシスタントを搭載して出荷しており、各社はより多くの機能を追加する競争を繰り広げている。今日市場で最も安全なAIブラウザは最も機能の少ないものだが、それはマーケティングチームが売りたい製品ではない。
リオデジャネイロのプレゼンテーションは、解決策ではなく警告で終わった。同一生成元ポリシーを強化するのに30年かかった。AIブラウザはそれを3年で無効にした。そして、知能を内部に保ちながらそれを再構築する方法を誰もまだ見つけていない。
参考文献
Kohlbrenner, D., Roesner, F. et al.「Security Analysis of AI-Powered Web Browsing Agents」Agents in the Wild Workshop, Rio de Janeiro, 2026年4月
雅子 訳