「このページを要約して」が思わぬ操作に AIブラウザを惑わせる隠し命令
AIブラウザやAIエージェントは、Webページを読み取るだけでなく、リンクを開く、フォームへ入力する、ログイン中のサービスを参照するといった操作も行えるようになっています。一方、ページ内に人間からは見えにくい命令文を仕込み、AIへ本来頼んでいない操作をさせようとする「間接プロンプトインジェクション」も報告されています。AIによる要約や検索を避ける必要はありませんが、閲覧用のAIと重要なアカウントを分け、送信・ログイン・外部リンクへの移動などは人間が確認する運用が重要です。
- AIにWebページやPDFを要約させる人
- AIブラウザやブラウザ拡張機能を利用する人
- メールやクラウドサービスをAIと連携している人
AIの回答内容だけでなく、そのAIが何を閲覧し、どこへ情報を送れる状態なのかも確認してください。
身近な事例を知る
AIブラウザへ「このページを要約して」と頼んだだけなのに、別のサイトへ移動しようとした
見た目は普通の記事やゲームでも、HTMLのコメント、背景と同じ色の文字、ページ内の説明文などに、AIだけが読み取ってしまう指示が含まれている場合があります。AIはユーザーからの依頼とページ内の文章を同時に処理するため、悪意ある文章を「実行すべき命令」と誤認する可能性があります。
あなたならどうする？
まず一つ以上選んでから確認してみてください。
推奨される行動- 重要なアカウントと閲覧環境を分け、外部送信や操作前に確認する
選んだカードの表示を見ながら、今回はどの行動が安心につながるか確認できます。
間接プロンプトインジェクションを文章上の指示だけで完全に防ぐことは困難です。重要なのは、AIが誤って誘導された場合でも被害が広がらないように、アクセス権限、ログイン状態、送信機能を制限することです。要約や情報収集にはAIを活用しつつ、メール送信、ファイル共有、決済、認証情報の参照などは明示的な確認を挟みます。
確認ポイント
AIが別のページへ移動しようとしていないか
要約だけを依頼したのに、無関係なURLやログイン済みサービスを開こうとした場合は停止します。
外部送信の確認画面が表示されていないか
リンクの読み込みや画像表示でも、URLを通じて情報が外部へ渡る可能性があります。
必要以上のアカウントへログインしていないか
AIブラウザを使う環境で、メール、クラウド、金融、開発サービスなどを同時にログイン状態にしないよう確認します。
依頼した内容と実行しようとしている操作が一致しているか
要約の依頼なのに、コピー、送信、投稿、削除などを始めようとした場合は承認しません。
AIの警告を習慣的に無視していないか
未確認URLや外部送信に関する警告は、内容を読まずに許可しないことが重要です。
サービスや拡張機能が最新状態か
AIブラウザや拡張機能は更新し、不要な連携や古い認証トークンを解除します。
現時点での見立て
AIブラウザは便利ですが、Web上の文章を完全に善意の情報として扱うことはできません。誤誘導をゼロにしようとするより、閲覧、参照、送信、実行の権限を分け、重要操作に確認を挟む方が現実的です。
安全な対処方法
安心につながる行動
- 要約用のブラウザ環境と重要業務用の環境を分けるAIが誘導されても、メールや社内システムなどへ到達できる範囲を狭められます。
- AIには必要最小限のアクセス権だけを与える読み取りだけで足りる作業に、送信、編集、削除権限まで与える必要はありません。
- 外部送信、投稿、購入、削除の前に確認を必須にするAIが誤った指示へ従っても、人間の承認で止められます。
- 不審な挙動があれば作業を停止し、ログインセッションを確認する意図しないページ移動や情報参照が起きた場合の被害拡大を防げます。
- 重要な情報はコピーして別の安全な環境で要約するAIへ直接Web操作を任せず、必要な文章だけを渡すことで攻撃対象を減らせます。
避けたい行動
- ログイン済みのサービスを多数開いたままAIブラウザを使う誘導されたAIが参照できる情報や操作範囲が広がります。
- 要約中のページが安全だからAIの操作も安全だと考えるページの見た目と、AIが読み取るHTMLや埋め込み情報は一致しない場合があります。
- 「命令を無視して」とプロンプトへ書くだけで安心する文章による防御だけでは、巧妙な誘導や新しい攻撃手法を完全には防げません。
- 警告画面を確認せず許可する警告疲れによって、情報送信や未確認URLへの移動を自分で承認してしまう可能性があります。
- AIが実行した操作を後から確認しない要約結果が正常でも、裏側で別のページへアクセスしている可能性があります。
AIの前向きな活用
AIは「閲覧担当」として使い、重要操作は人間が担当する
Webページの要約、複数記事の比較、専門用語の説明など、情報を読む仕事にはAIが役立ちます。一方、ログイン済みサービスからの情報取得、メール送信、ファイル共有、購入、削除などは、人間の確認を挟む役割分担が安全です。
- 記事本文だけをコピーしてAIに要約してもらう
- 複数の公式情報を比較する観点をAIに整理してもらう
- リンクを開かせず、確認すべき情報源の種類だけを提案してもらう
- 送信前のメール文面を作らせ、実際の送信は自分で行う
- AIブラウザ用に権限の少ない別アカウントを用意する
今回、覚えておきたいこと
AIにWebを読ませるときは、読める範囲と実行できる範囲を分ける。
情報源
- BioShocking AI: ?Gaming? the AI Browser and Escaping its Guardrails（外部リンク） LayerX Security セキュリティ機関
- BioShocking: AI Browser Agents Weaponized for Credential Theft（外部リンク） Cloud Security Alliance AI Safety Initiative セキュリティ機関
- Designing AI agents to resist prompt injection（外部リンク） OpenAI 公式発表
- Keeping your data safe when an AI agent clicks a link（外部リンク） OpenAI 公式発表
誠主任からひとこと