AIブラウザで別サイトのデータが盗まれる？7種検証から見る挙動

ユーザーに代わってタブを開き、調べものや入力作業をこなす自律型AIブラウザの開発が急速に進んでいます。しかし、複数のサイトをまたいで操作する強い権限が、Webブラウザ本来の安全な境界線を越えてしまうセキュリティ上の課題も浮き彫りになってきました。

ネットバンキングを開いたままAIブラウザを使うと何が起きる？

米ワシントン大学の研究チームが発表した論文「Agentic Browsers and the Same-Origin Policy」によると、ユーザーに代わってWeb操作を行うエージェント型AIブラウザにおいて、ログイン中の銀行口座や電子メールなどの機密情報が悪意ある第三者に読み取られる危険性が実証されました。この検証結果は、ITmedia NEWSの報道でも詳しく紹介されています。

通常のブラウザでは、あるタブで開いたWebサイトの内容を、別のタブで開いているサイトが勝手にのぞき見ることはできません。銀行口座番号やパスワードを別のサイトに渡すには、人間がコピーして貼り付けるといった明示的な操作が必要でした。

しかし、人間に代わって画面を認識し操作するAIブラウザに広範な権限を与えると、この前提が変わってしまいます。悪意のあるWebページ内に隠された不正な指示テキスト、いわゆるプロンプトインジェクションをAIが読み取ってしまった場合、利用者が意図しないまま別タブのセッション情報を収集し、攻撃者へ送信してしまう動作が確認されています。

従来のブラウザにあった安全な境界線が崩れる理由

Webブラウザには1995年以来、「同一オリジンポリシー（Same-Origin Policy）」と呼ばれる基本的な安全機構が組み込まれています。これは、異なるドメインのWebサイト同士が互いのデータやプログラムに干渉するのを防ぐ仕組みです。この保護があるからこそ、怪しいサイトを閲覧していても、別タブでログインしている金融機関のセッションが守られてきました。

研究チームが指摘しているのは、AIエージェントの処理モデルがこの同一オリジンポリシーを事実上すり抜けてしまう点です。例えば、Webページ内に広告枠などの形式で埋め込まれた別サイトの枠（iframe）について、通常のブラウザは枠の内側と外側を厳格に分離して保護します。しかし検証されたAIブラウザの多くは、枠の内外のコンテンツを区別せずに一括して読み取って処理していました。

さらに一部のツールでは、画面上で黒丸などに伏せ字表示されているパスワード入力欄の文字列であっても、ブラウザの内部構造データ（DOM）から直接平文のまま読み出してしまう挙動が確認されています。

調査された7種類のブラウザで分かれた挙動

ワシントン大学の研究チームは、AIブラウザやブラウザ拡張機能の代表的な7種類を対象に、権限の範囲と脆弱性の有無を調査しました。その結果、調査対象のうち4種で同一オリジンポリシーを回避できる経路が確認されています。

ChatGPT Atlas（エージェントモード）とClaude for Chromeは、iframe内の読み取りだけでなく伏せ字パスワードの裏側データ取得まで行える権限を持っていました。特に拡張機能として動作するClaudeは、別サイトの枠内も含めて任意のJavaScriptプログラムを注入・実行できる強力な権限を有していたことが報告されています。

一方で、Firefox AI Modeは調査対象の中で最もリスクが低い結果となりましたが、エージェントとして利用できる機能そのものも少なく設計されていました。

実証された3つの具体的な攻撃シナリオ

研究報告では、AIエージェントの仕様を悪用した具体的な攻撃シナリオとして、次の3パターンが挙げられています。

1つ目は、エージェントに別サイトの機密情報を読み取らせ、攻撃者のサーバーへ送信させるシナリオです。研究チームはChatGPT Atlas（エージェントモード）を用いたテスト環境において、別タブで開かれていたデータの窃取に実際に成功しました。

2つ目は、データの抜き取りにとどまらず、別サイト上でユーザーになりすまして操作を実行させるシナリオです。ログイン状態にある正規のセッションを利用し、AIエージェントに入力フォームへの記入や送信、投稿処理を行わせる手法です。

3つ目は、悪意ある情報や指示をAIエージェントの「記憶（コンテキスト）」に紛れ込ませる攻撃です。エージェントは過去に訪問したページの情報を履歴として保持し、別サイトの情報と組み合わせて処理する性質があります。例えば、悪意あるサイトに偽の銀行問い合わせ窓口が書かれていた場合、その時点では被害が出なくても、履歴として蓄積された後にユーザーが正規の連絡先を質問した際、誤って偽の電話番号を回答してしまう危険性が指摘されています。

開発企業側の受け止めと提供状況の違い

研究チームはこの検証結果を各ツールの開発企業へ事前に通知しました。報告に対する各社の反応は分かれています。

Google、Microsoft、Braveの3社は研究チームに対して丁寧な返答を行いました。一方で、AnthropicとFirefoxからは返答が得られず、PerplexityとOpenAIは研究報告書の受け取り自体を辞退したと記録されています。

なお、検証対象の中でデータ窃取が実際に確認されたChatGPT Atlasについては、2026年8月時点で提供が終了しています。ただし、他のAIブラウザや拡張機能においても類似の実行権限が残されている場合、自律的にWebを操作させる機能の運用には構造的なリスクが伴います。

機密性の高いアカウントを操作する環境と、外部の一般的なWebページを自律巡回させる環境とで、利用するブラウザやプロファイルを切り分けておくことが、現状の仕様における客観的な判断材料となります。