「このページを要約して」でAIが別の操作を始める？ AIブラウザを狙うプロンプトインジェクション
AIブラウザは、ページを読むだけでなく、リンクを開く、フォームへ入力する、メールを送るなどの操作まで代行できるようになっています。しかしWebページ、メール、カレンダー招待などにAI向けの悪意ある指示が埋め込まれていると、AIが利用者の指示と混同して意図しない操作を行う「間接プロンプトインジェクション」が起こる可能性があります。2026年8月のBlack Hat USAでは、主要なAIブラウザやブラウザ連携AIを対象にした攻撃実証が報告されました。ただし、これはAIブラウザが触れただけで必ず乗っ取られるという話ではありません。ログイン範囲や権限を絞り、送信・購入・設定変更などの重要操作を人間が確認することで、便利さを残しながらリスクを下げられます。
- AIブラウザやAIエージェントを使う人
- メールやWebページの要約をAIへ任せる人
- AIに買い物やフォーム入力を任せたい人
- 生成AIを仕事の自動化へ使う人
AIブラウザへ任せる際は、接続サービス、ログイン状態、実行権限、重要操作の確認方法を先に確認してください。
身近な事例を知る
AIブラウザへ「このメールの予定をカレンダーに入れて」と頼んだだけなのに、メール内にはAI向けの別の指示が隠されていた
人間から見ると普通の案内メールですが、本文の一部やリンク先に「別のサイトを開く」「特定の情報を送信する」といったAI向けの指示が含まれていました。通常のブラウザなら文章は単なる表示内容ですが、AIエージェントは文章を読みながら次に行う操作を判断します。そのため、外部コンテンツの文章が利用者からの命令のように扱われると、利用者が頼んでいない操作へ進む可能性があります。
あなたならどうする？
まず一つ以上選んでから確認してみてください。
推奨される行動- 必要なサイトと権限だけを渡し、重要な操作は人間が確認する
選んだカードの表示を見ながら、今回はどの行動が安心につながるか確認できます。
プロンプトインジェクションを100％見抜くことを利用者側の責任にするのは現実的ではありません。OpenAIも、AIエージェントが外部コンテンツから操作される可能性を前提に、危険な操作や機密情報の送信が起きた場合の影響を制限する設計が重要だと説明しています。 ChatGPT agentの利用案内でも、不要なアプリ連携を無効にする、機密性の高いサイトへのログインを慎重に扱う、曖昧で広範囲な指示を避ける、怪しい動作があれば停止するといった対策が案内されています。
確認ポイント
AIがどのサイトへログインしているか
メール、クラウドストレージ、SNS、通販、金融サービスなど、現在AIから操作可能なアカウントを確認します。
依頼内容が広すぎないか
「メールを全部整理して」「必要なことを全部やって」のような指示より、対象と操作を限定します。
送信・購入・削除などを自動承認していないか
取り消しにくい操作では、実行直前に人間が内容を確認できる設定を優先します。
外部から届いた文章をAIが読んでいるか
メール、Webページ、共有文書、カレンダー招待などは、攻撃者が内容を書き込める可能性がある情報として扱います。
AIが突然別のサイトへ移動していないか
依頼内容と関係の薄いページ、ログイン画面、外部フォームなどへ移動した場合は一度停止します。
必要以上のアプリやコネクタを接続していないか
使っていない連携を外すことで、AIが誤操作した場合に触れられる情報を減らせます。
重要な作業と情報収集を同じ環境で行っていないか
ニュース要約や一般検索などの作業と、社内システムや金融サービスへのアクセスを分ける運用も有効です。
製品側の安全対策が更新されているか
プロンプトインジェクション対策は継続的に改善されているため、ブラウザや拡張機能を最新状態にします。
現時点での見立て
人間もフィッシングメールに騙されることがあります。同じように、AIエージェントも外部から与えられた情報を誤って信用する可能性があります。だから安全対策を「絶対に騙されないAI」に任せるのではなく、万一誤判断しても送金、情報送信、アカウント変更などへ簡単に進めない仕組みにすることが重要です。Anthropicも、ブラウザ型AIではすべてのWebページが潜在的な攻撃経路になり得ると説明し、プロンプトインジェクションは現在も解決済みの問題ではないとしています。
安全な対処方法
安心につながる行動
- 一般的な検索やページ要約からAIブラウザを使い始める送信や購入を伴わない低リスクの用途でも、AIブラウザの便利さを十分に体験できます。
- タスクごとに必要なサービスだけ接続する万一AIが外部コンテンツに影響されても、アクセス可能なデータと操作を減らせます。
- 「読むだけ」と「操作する」を分けて依頼する最初に情報を整理させ、その結果を確認してから操作を依頼することで意図しない実行を減らせます。
- 送信、購入、削除、権限変更では人間の確認を残す実行前の確認が最後の安全境界として機能します。
- 作業が終わったら不要なログインや連携を解除する次のブラウジングタスクで不要なアカウントへアクセスされる範囲を減らせます。
- AIの実行履歴や操作内容を確認する依頼と関係のないサイトや操作があった場合に早く気付けます。
- 機密作業用と一般ブラウジング用の環境を分ける公開Web上の悪意ある情報と重要な社内データが同時にAIの操作範囲へ入ることを防ぎやすくなります。
避けたい行動
- AIが安全機能を持っているので完全に任せるOpenAIやAnthropic自身も、プロンプトインジェクション対策がすべての攻撃を排除できるとは説明していません。
- メールやWebページに書かれた命令をAIが必ずデータとして扱うと思うLLMでは外部コンテンツに含まれる文章が、意図しない指示として解釈される可能性があります。
- 金融、パスワード管理、社内機密などを最初からすべて接続する便利さは増えますが、誤操作や攻撃成功時の影響範囲も大きくなります。
- AIの画面を監視しているだけで安全だと考えるバックグラウンドで処理するエージェントでは、利用者がすべての途中操作を見られない場合があります。
- プロンプトインジェクションがあるからAIブラウザは危険だと決めつける情報収集、比較、要約など権限の小さいタスクでは便利に利用でき、権限設計によってリスクを調整できます。
- 怪しいページを自分で探してAIの耐性を試す実際のアカウントやデータが接続された環境で攻撃テストをすると、意図しない操作や情報送信につながる可能性があります。
AIの前向きな活用
AIブラウザを「全部やる秘書」ではなく「少しずつ権限を渡す助手」として使う
AIブラウザの強みは、複数ページを調査する、比較する、フォーム入力を補助するなど、人間のクリック作業を減らせることです。最初からメール、クラウド、通販、決済まで全部を任せる必要はありません。「調べる」「候補を作る」「人間が確認する」「実行する」と段階を分ければ、便利さの大部分を残したまま安全性を高められます。
- 旅行候補を調べてもらい予約は自分で確定する
- 通販商品の比較表を作らせ購入ボタンは自分で押す
- メールを分類させ返信案だけ作らせる
- 会議候補日を調べてもらい招待送信前に確認する
- 公開Webだけを対象に調査を任せる
- 社内データを扱うタスクでは接続先を限定する
今回、覚えておきたいこと
AIエージェントは「絶対に騙されない」ことより、「騙されても大事な操作ができない」設計が大切。
情報源
- OWASP GenAI LLM Top 10 2026（外部リンク） OWASP GenAI Security Project セキュリティ指針
- PerplexedBrowser: Perplexity's Agent Browser Can Leak Your PC's Local Files（外部リンク） Zenity Labs セキュリティ機関
- Designing AI agents to resist prompt injection（外部リンク） OpenAI 公式発表
- ChatGPT agent（外部リンク） OpenAI Help Center 公式発表
- Mitigating the risk of prompt injections in browser use（外部リンク） Anthropic 公式発表
- Zero-Click AI Browser Hacking: Claude and ChatGPT Atlas Hijacked via Emails, X Posts（外部リンク） SecurityWeek 報道機関
- OpenAI's Browser Could Be Hijacked to Spam Your WhatsApp Contacts（外部リンク） WIRED 報道機関
誠主任からひとこと