AIが代わりにサイトを開き、調べものや予約まで進める「AIブラウザー」が広がっています。米ワシントン大学の研究 者が7種を調べたところ、4種で、悪意あるサイトがAIをだまして、別のサイトの情報を盗める経路が見つかりました。ネットバンキングや通販 、メール を使う人が知っておきたい点をまとめます。
何を調べた? 「サイトどうしの壁」が守られるか
研究したのは、ワシントン大学 のフランツィスカ・レスナー教授とデビッド・コールブレナー助教らです。論文「Agentic Browsers and the Same-Origin Policy」を4月に公開し、4月26日に研究会で発表しました。大学は6月30日にニュースとして紹介しています。
ブラウザーには、「同一オリジンポリシー」という基本の守りがあります。1995年に入った仕組みで、別のサイトどうしが互いの情報を読んだり書き換えたりできないようにするものです。このおかげで、あるタブで危ないサイトを開いていても、別のタブでログインした銀行 の情報は守られます。
研究は、AIのエージェントに人と同じような操作の権限を与えたとき、この壁が守られるかを確かめました。心配したのは「プロンプトインジェクション」です。サイトの中に隠した文章を、AIが自分への指示だと思い込んでしまう攻撃のことです。
調べたのは次の7種で、2026年1月下旬から2月上旬に、その時点の最新の版で実験しました。
Brave Leo AI
ChatGPT Atlas(エージェントモードあり・なし)
Chrome with Gemini
Claude for Chrome
Microsoft Edge with Copilot
Firefox AI Mode
Perplexity Comet
何が分かった? 4種で壁を越える経路
研究によると、ChatGPT Atlas、Chrome with Gemini、Claude for Chrome、Perplexity Cometの4種では、プロンプトインジェクションが成功すれば、同一オリジンポリシーを回り込める条件がそろっていました。ChatGPT Atlasのエージェントモードでは、別のサイトの情報を盗み出す実験に実際に成功しています。
実験の流れは次の図のとおりです。
研究者が示した攻撃の流れ。AIが埋め込まれた銀行のページの中身を送ってしまう 出典: Franziska Roesner, David Kohlbrenner(University of Washington) (引用)
利用者が、攻撃者のサイトを開く
そのサイトの中に、銀行などの別のサイトが埋め込まれて読み込まれる
利用者が、AIに「このページを要約して」と頼む
AIが、隠された指示にだまされ、埋め込まれた銀行のページの中身まで要約する
AIが、要約をページの入力欄に入れる
入力欄の中身が、自動で攻撃者に送られる
研究のページは、逆向きの攻撃もあり得るとしています。たとえば、ページの中の広告の枠が、外側のページの大事な情報を盗むような形です。
このほか、画面では伏せ字になっているパスワードの入力欄の中身を読める設計など、別のリスクも見つかりました。別のサイトで利用者になりすまして入力や投稿をさせる攻撃や、AIの記憶に悪い情報を紛れ込ませる攻撃の条件があることも確かめています。
大学のニュースは、記憶への攻撃の例を挙げています。その場ではだまされなくても、いったんAIの記憶に入ると、どのサイトから来た情報かがあいまいになり、守りが効かなくなるおそれがあるというものです。
AIに与える権限が少ないブラウザーほど、おおむね安全でした。いちばんリスクが低かったFirefox AI Modeは、できることもいちばん限られていたとしています。
ワシントン大学の研究者が公開した論文のページ 出典: University of Washington (引用) 各社はどう応えた?
研究者は、論文の公開の60日以上前に、調べたブラウザーの各社に結果を伝えました。大学のニュースによると、Google、Microsoft、Braveとはよいやりとりができた一方、AnthropicとFirefoxからは返事がなく、PerplexityとOpenAIは報告を受け取らなかったとしています。
大学のニュースは、ブラウザーの機能を保ったままこの問題を解く、はっきりした方法は今のところないとしています。
"Browser agents aren't ready for the public,"
出典: University of Washington「Some agentic AI browsers come with major cybersecurity risks, UW study finds」
コールブレナー助教は、ブラウザーのAIエージェントは一般の人が使える段階にはまだないと話しています。メールや銀行口座などのログイン情報が入ったブラウザーにAIが触れられるなら、その仕組みが情報を本当に守れると信じるべきではない、という趣旨です。
暮らしと仕事への影響
ふつうのブラウザーでは、ネットバンキングを開いたまま別のタブで買い物をしても、サイトどうしの壁が情報を守ります。AIに操作を任せると、その壁の強さが、AIがだまされにくいかどうかに左右されるようになる、というのが研究の指摘です。
研究のページは、利用者に向けて、AIブラウザーの機能は安全の仕組みがまだ固まっていないので慎重に選ぶよう勧めています。特に、拡張機能として動き、ページにプログラムを入れられる強い権限を持つClaude for Chromeには注意するよう書いています。Atlas、Comet、Chrome with Geminiも、できることが多いぶんリスクの高い側だとしています。
結果は2026年1〜2月の版を調べたもので、その後の更新で振る舞いが変わっている可能性があります。ただ、AIに広い権限を与えるほど守りが難しくなる、という考え方は、どの製品を使う人にも当てはまります。
今日からできること
銀行、クレジットカード、メールにログインしたままのブラウザーで、AIのエージェントに知らないサイトの要約や操作を任せない
AIに調べものを任せるときは、大事なサイトにログインしていない別のブラウザーや別のプロファイル(使う人ごとの設定)を使う
AIの拡張機能を入れているなら、どんな権限を持っているかを確かめ、使っていないものは外す
AIが答えた銀行やお店の電話番号、送金先は、公式のサイトやカードの裏の番号で確かめてから使う
家族のパソコンにAIブラウザーが入っていたら、ネットバンキング用のブラウザーと分けているかを一緒に確かめる
大事な情報をAIに渡さない考え方は、AIに「カードの写真」を送らない 便利そうでも大事な情報は渡さない でも紹介しています。
関西の暮らしと仕事での使いどころ
関西の会社や自治体が関わる話ではありません。ここでは、関西で暮らし働く人の使い方の例として整理します。
たとえば、小さな店の経理の担当者が、同じパソコンのブラウザーでネットバンキングと仕入れ先の通販サイトを開いているなら、AIに仕入れ先の比較や注文を任せる作業は、別のブラウザーに分けておくと安心です。
町工場や事務所で、AIに取引先のサイトの要約を頼むことが増えてきたら、ログイン中の業務システムと同じ画面で頼まない、という決まりを社内で一つ決めておく使い方もあります。
便利なAIほど、大事なログインとは分けて使っといてな。
