AIを搭載したブラウザやエージェントは、ウェブ上の作業から面倒な手間を取り除くことを約束しています。これらはページの要約を作成したり、アカウントからデータを抽出したり、さらにはユーザーの代わりにクリックや入力を行うスマートアシスタントとしての役割も果たします。しかし、最新の研究によると、こうしたアシスタントが「現実」と「単なるゲーム」の区別がつかなくなると、ユーザーの認証情報や機密データが巻き添え被害を受ける可能性があることが明らかになりました。
各攻撃タイプの特権は、基本ルールのうち1つを無効にすることです：
「LLMには、有害な行動を防ぐことを目的とした安全対策が組み込まれている。」
研究者のロイ・パズ氏は、「BioShocking」と名付けた攻撃手法を考案・公表した。これは、架空のシナリオを現実であるかのようにAIブラウザに提示することで、その安全対策機能を無効化させる手法である。
このように、『BioShocking』は「プロンプト注入」と「目標操作」の交差点に位置しています。プロンプト注入が機能するのは、AIモデルがアプリの指示と攻撃者の指示を区別できないため、誤った指示に従ってしまうことがあるからです。一方、目標操作攻撃は、エージェントが最適化すべき対象を巧妙にすり替え、「ユーザーを助ける」という目標を「どんな手段を使ってもゲームに勝つ」という目標に変えてしまいます。
「BioShocking」という概念実証実験では、攻撃者はゲーム『BioShock』の世界観をモチーフにした、一見無害に見えるウェブページを操作します。このページにはパズルが提示され、自律型ブラウザとして動作するAIエージェントが、ユーザーに代わってそのパズルを解くよう求められます。しかし、ここにひねりがあります。このパズルは間違った答えに対して報酬を与え、エージェントに対して「ここは通常のルールが適用されない特別な環境である」と明示的に伝えるのです。
最後のパズル手順では、エージェントにGitHubリポジトリにアクセスし、コード内のパスワードや認証情報などの機密データを見つけて、ゲームを完了するためにそれらを共有するように指示します。6つの主要なAIブラウザとプラグイン（ChatGPT Atlas、Comet、Fellou、Genspark Browser、Sigma Browser、Claude）に対するテストでは、 Chrome 延長措置――すべてのエージェントは要求を拒否するのではなく、指示に従った。
つまり、攻撃者はAIエージェントを架空の現実に没入させることで、そのエージェントに安全策の枠から外れるよう仕向けたのです。
「BioShocking」は孤立した現象ではありません。これは、AIエージェントそのものを標的とする攻撃がますます増えている傾向を示す、また一つの例に過ぎません。OpenClawのAIメールエージェントに関する最近の研究では、基本的なフィッシングの手口を用いるだけで、エージェントを騙してAWSの認証情報や顧客記録を漏洩させることが可能であることが実証されました。
明らかに、これらのブラウザに共通する弱点は、認証済みコンテキストの扱い方にある。AIブラウザが「エージェントモード」で動作する場合、メール、コードリポジトリ、クラウドダッシュボード、パスワードマネージャーなどの機密性の高いプラットフォームにおいて、ユーザーのログイン状態を引き継ぐことがよくある。AIモデルの視点から見れば、それらは単に読み取るべきもう1つのページであり、コピーすべきフィールドがさらに増えたに過ぎない。AIモデルにとって、それらは特別な意味を持たない。
もし周囲の説明で、認証情報のコピーが無害な課題の一環であるとされている場合、現在の多くの実装ではそれに従ってしまうでしょう。
懸念されるのは、ベンダーの対応、あるいは対応の欠如である。Pazは2025年10月にBioShockingの問題を影響を受けた6社のベンダーに報告した。報告によると、そのうち3社は返答せず、現在概念実証をブロックする修正を実装しているのはOpenAIのChatGPT Atlasのみである。AnthropicはClaudeのパッチを適用しようと試みた。 Chrome プラグインは存在するものの、攻撃シナリオに対する対策は依然として効果がないと報告されている。Perplexity AIは、報告時点でこの問題を未解決のままクローズしている。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、単なるニュースの見出しに留まるべきではありません。今すぐMalwarebytesダウンロードして、デバイスを脅威から守りましょう。
