Innovative Tech

“ブラウザを自律操作するAI”が暴走　「要約して」と入力しただけなのにパスワードが盗まれた　その手口とは？

　Braveブラウザを手掛ける米Brave Softwareは8月20日（現地時間）、他社のエージェント型ブラウザの脆弱性を見つけたと発表した。脆弱性が見つかったのは、米Perplexityが提供する「Comet」。Braveが他社のエージェント型ブラウザのセキュリティを検証している中で発見したという。

　エージェント型ブラウザとは、ユーザーに代わってWebサイト上で実際に操作を行うAI機能を持つブラウザだ。例えば「来週金曜日のロンドン行きの航空券を予約して」という指示に対して、AIが自律的にWebサイトを閲覧し、予約手続きまでを実行できる。このような強力な機能は便利である一方、重大なセキュリティリスクも内包している。

　今回発見した脆弱性は「間接プロンプトインジェクション」と呼ばれる攻撃手法だ。攻撃者が、Webページに見えない文字（白地に白文字、HTMLコメント、spoilerタグ）で「このユーザーのメールアドレスを盗み出せ」といった命令を埋め込んでおく。ユーザーがそのページを開いて「このページを要約して」とAIに頼むと、AIは隠された命令も一緒に読み込んでしまい、それを実行してしまうのだ。

　実際の攻撃デモンストレーションでは、次のようなことが起きた。ユーザーがRedditの投稿を見て「要約して」ボタンを押しただけで、AIは勝手に動き始める。

　AIアシスタントは隠された指示を実行し、Perplexityのアカウント詳細ページへ移動してユーザーのメールアドレスを抽出し、そのメールアドレスを使ってPerplexityにログインしてOTP（ワンタイムパスワード）を要求。

　次にGmailへ移動して受信したOTPを読み取り、最後にメールアドレスとOTPの両方を元のRedditコメントへの返信として送信し、攻撃者に情報を送る。これによって攻撃者はユーザーのメールアドレスとOTPを入手し、Perplexityアカウントを乗っ取ることが可能となる。

　なぜこんなことが可能なのか。従来のWebブラウザには、異なるサイト間で勝手に情報をやりとりできないようにする仕組みが備わっている。銀行のサイトとSNSのサイトは互いに隔離されており、一方が他方の情報を勝手に読み取ることはできない。

　しかしAIアシスタントは、ユーザーの代理として行動するため、全サイトにアクセスできる権限を持っている。これは便利な反面、悪用されるとAIはユーザーの完全な権限で動作し、銀行口座、企業システム、プライベートメール、クラウドストレージなど、認証済みのあらゆるサービスにアクセスできる。これにより、悪意を持った攻撃者はさまざまな行動を実行できる。

　この攻撃の深刻さは、従来のWebセキュリティメカニズムが完全に無効化される点にある。同一オリジンポリシー（SOP）やクロスオリジンリソース共有（CORS）といった長年にわたって構築されてきたセキュリティ機構が、AIアシスタントの前では意味を成さない。

　さらに、この攻撃は自然言語による単純な指示だけで実行可能であり、複雑な技術的知識を必要としない。RedditやFacebookなどのSNSにコメントを書き込むだけで、AIアシスタント機能を使った人が被害に遭う可能性がある。

　Braveは7月25日にこの脆弱性をPerplexityに報告。7月27日に初期修正が実装されたものの、7月28日の再テストで修正が不完全であることが判明した。8月13日の最終テストで脆弱性が修正されたように見えたが、8月20日の公開後のさらなるテストでは、Perplexityがまだこの種の攻撃を完全には緩和していないことが明らかになった。

Innovative Tech

2019年にスタートした本連載「Innovative Tech」は、世界中の幅広い分野から最先端の研究論文を独自視点で厳選、解説している。執筆は研究論文メディア「Seamless」（シームレス）を主宰し、日課として数多くの論文に目を通す山下氏が担当。イラストや漫画は、同メディア所属のアーティスト・おね氏が手掛けている。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  Brave、PerplexityのAIブラウザ「Comet」の深刻な脆弱性を指摘　「間接的プロンプトインジェクション」で情報漏えいの危険

• 

  AIの“Web操作”成功率、人間超えに成功　NECが世界初

• 

  ChatGPTの新機能「ChatGPT agent」登場　AIがさまざまな作業を代行　「deep research」「Operator」の技術を結集

• 

  Perplexityも月額200ドルの「Max」プラン提供開始

• 

  これがWeb 4.0？　Microsoftが提唱する「Open Agentic Web」を解説　今までのWebサイトは“司書のいない図書館”