OpenAIブラウザの脆弱性でWhatsAppを乗っ取りスパム送信が可能に

生成AIの台頭により、ブラウザは「エージェント」時代に突入しつつある。OpenAIが発表したAtlasブラウザは、価格比較ショッピングや旅程の整理などのタスクを自動でこなせると謳っている。しかし最近、セキュリティ企業Zenityの研究者たちが不安を呼ぶ事実を明らかにした。これらのAIブラウザが、ハッカーにとっての「マスターキー」になり得るというのだ。研究者たちは12件以上の脆弱性を発見し、Atlasに無断でAmazonの購入を完了させること、さらにはWhatsAppを乗っ取って連絡先にスパムを送信することにも成功した。

AIブラウザの「権限逸脱」リスク

Zenityの研究チームは、AtlasなどのAIブラウザで12件を超えるセキュリティ上の欠陥を発見した。問題の多くは、AIブラウザがウェブページと連携する仕組みに起因している。従来のブラウザは同一オリジンポリシーによって制限されているが、AIブラウザは「ユーザーの代わりに操作する」ために、ウェブページの内容の読み取り、クリックの模倣、フォームへの入力など、より高い権限を持っている。

攻撃者は、悪意あるウェブページの作成、プロンプトインジェクション、あるいは拡張機能の脆弱性を利用することで、AIブラウザに意図しない指示を実行させることができる。たとえば研究者たちは、Atlasを商品ページに誘導し、ユーザーがすでにログインしている決済情報を使ってAmazonの注文を自動完了させる方法を実演した。その一連のプロセスをユーザーはまったく気づかなかった。

さらに懸念されるのは、この種の脆弱性がコミュニケーションアプリの乗っ取りにも悪用できる点だ。ウェブページに悪意ある命令を埋め込んでおくと、AIブラウザがバックグラウンドでそれを「読み取った」際にWhatsAppのクイック送信がトリガーされ、全連絡先にスパムリンクやフィッシング情報が一斉送信される。

なぜAIブラウザはより攻撃を受けやすいのか？

核心は権限の境界にある。従来のブラウザが自発的に操作を実行することはほとんどないが、AIブラウザの価値はまさに自律的な意思決定にある。「自律性」とは、それだけ操作されやすいことを意味する。セキュリティ研究者は、AIブラウザは本質的に無制限のスクリプト権限を持つ「ロボット」であり、あらゆる外部シグナルが命令として実行される可能性があると指摘している。

加えて、AIモデルのセマンティック理解が新たなリスクをもたらしている。コードに欠陥がなくとも、悪意あるテキストが「推論」によって操作命令として解釈される可能性がある——これこそがプロンプトインジェクション攻撃の恐ろしさだ。Zenityが発見した複数の脆弱性はこの種に該当し、従来のバッファオーバーフローやSQLインジェクションとは異なる。

業界の対応：セキュリティと利便性のバランス

OpenAIはまだコメントを発表していないが、業界関係者はすでに再考を始めている。AIブラウザに「最小権限」モードを導入し、機密性の高い操作の前に二重確認を求めるべきだと主張する専門家もいる。さらに踏み込んだ対策として、AIをサンドボックス内で動作させ、ホワイトリストに登録されたサイトへの操作のみを許可するという方法もある。

Zenityチームはこう述べている。「私たちはAIブラウザに反対しているのではない。しかしベンダーは革新的な製品を市場に投入する前に、セキュリティの土台となる問題を解決しなければならない。」彼らはまた、ブラウザはユーザーがネットの世界に入る重要な入口であり、一度乗っ取られればアカウントの盗難に匹敵する深刻な被害をもたらすと強調した。

「AIブラウザは新たな攻撃対象領域を開き、その危険性は従来のネットワーク上の脆弱性をはるかに超えている。」——Zenityセキュリティ研究チーム

編集後記：今回の発見は時機を得た深い洞察である。攻撃シナリオはユーザーが悪意あるページに能動的にアクセスすることを前提としているが、AIブラウザの自律的な性質上、リスクを従来のブラウザのように「隔離」することはできない。今後は、すべての操作をAIに委ねるのではなく、ユーザーの意図に基づくコンテキスト認識など、よりスマートな権限チェック機構の登場に期待したい。結局のところ、あなたの代わりに注文できるブラウザは、ハッカーの代わりにも注文できるのだ。

本稿はWIREDより編訳