Anthropic、Claudeが伏せ字パスワードを読めた 7種中4種に穴だ

AIブラウザ7種中4種で攻撃経路　ワシントン大が同一オリジンポリシーを検証

米ワシントン大学の研究チームは、AIブラウザと拡張機能の7種のうち4種で、別サイトの情報を盗める経路を見つけた。論文「Agentic Browsers and the Same-Origin Policy」は4月に出たもので、ブラウザの基本の守りである同一オリジンポリシーをAIが越えてしまうかを調べている。

経路が見つかったのはChatGPT Atlas（エージェントモード）・Chrome with Gemini・Claude for Chrome・Perplexity Cometの4種だ。どれも広告などとしてページに埋め込まれた別サイトの枠（iframe）の中身まで読んでいた。ブラウザは本来この枠の内と外を分けて守るが、AIエージェントはその壁を越えて両方を見てしまう。

Claude for ChromeとAtlasは伏せ字のパスワードまで読めた

7種の結果を並べると、守りの強さははっきり分かれた。とくに危ないのは、画面では伏せ字になっているパスワード欄の中身を裏側のデータ（DOM）から直接読めた2種だ。

Claude for Chromeは拡張機能として動くため、別サイトの枠の中も含めて好きなプログラムを動かせる強い権限を持っていた。便利さと危なさが同じ権限から来ている形だ。

研究チームが示した攻撃は3通り

1つ目は、別サイトの情報をAIに読ませて攻撃者のサイトへ送らせる手口だ。研究チームはChatGPT Atlasで実際にデータを盗み出せた。2つ目は、盗むのではなく別サイトで本人になりすまし、フォームの送信や投稿をさせる手口になる。

3つ目はAIの記憶に偽の情報を混ぜる手口だ。偽の銀行サイトの連絡先がいったん履歴に入ると、あとで銀行の電話番号を聞いたときに偽の番号を答えてしまう恐れがある。その場で偽サイトと見抜けていても防げない点がやっかいだ。

ネットバンキングと社内メールを開いたまま任せるのが危ない

いちばん影響を受けるのは、ログインしたままのタブが多い人だ。AIブラウザは人間に近い権限で動くので、悪意あるページに隠れた指示（プロンプトインジェクション）を読むと、開いている別サイトの情報まで持ち出せてしまう。

会社で言えば、社内のメールや経費の画面を開いたまま「このページを要約して」と頼むだけで条件がそろう。調べもの用と社内システム用でブラウザを分けるのが、今すぐできる手当てになる。

各社の受け止めも分かれた。Google・Microsoft・Braveは丁寧に返答したが、AnthropicとFirefoxは返答がなかった。PerplexityとOpenAIは報告書の受け取りを断っている。対策が済んだかどうかは、元記事には書かれていない。

ChatGPT Atlasは8月に終了　残る3種は設定とタブで守る

実験で盗み出しに成功したChatGPT Atlasは、8月に提供を終えている。いま使えないので、編集部が同じ条件で確かめることもできない。残るChrome with Gemini・Claude for Chrome・Perplexity Cometを使う人は、次の点を見直しておきたい。

• AIに作業を頼む前に、ネットバンキングや社内システムのタブを閉じる
• 知らないサイトや広告の多いページでは、AIに要約や操作を頼まない
• AIが答えた電話番号や振込先は、公式サイトで自分で照らし合わせる
• 機能より安全を取るなら、リスクがいちばん低かったFirefox AI Modeを選ぶ

今回の論文は「どのAIブラウザが賢いか」ではなく「どこまで見せてよいか」を問うている。各社が返答と修正をどう出すかで、仕事で使える製品の顔ぶれが変わりそうだ。