ワシントン大学の実験チームは、AIエージェント機能を搭載したウェブブラウザに重大なセキュリティリスクが存在することを明らかにした。同チームが調査した7つのエージェント型ブラウザのうち4つは、ウェブセキュリティの基盤である同じoriginポリシーを回避できる脆弱性を抱えていた。実証攻撃では、悪意のあるウェブサイトがプロンプトインジェクション手法を用いてAIエージェントを操作し、別タブで開いた銀行サイトやメールなどの機密情報を不正に窃取することに成功した。ChatGPT Atlasを標的にした攻撃は特に成功率高く、Chrome with GeminiやClaude、Perplexity Cometでも同様の条件が確認された。 同ポリシーは1995年から導入され、異なるウェブサイト間のデータ隔離を保つことで現代のウェブ閲覧を安全に支えてきた。しかしAIエージェントに人間に近い操作権限を与えると、人間が避けるような暗黙的な命令にエージェントが騙され、セキュリティポリシーが機能しなくなる。研究者らは、悪意あるページに隠された指示がエージェントの処理を誘導するプロンプトインジェクションと、内部メモリに保存・圧縮される過程で異なるサイトの情報が混在するメモリポイズニングを主な攻撃経路として特定した。 ワシントン大学准教授のデビッド・コールブレンナー氏と教授のフランツィスカ・ロエスナー氏は、研究結果をリオデジャネイロで開催されたワークショップで発表し、エージェント型ブラウザは一般利用者にとってまだ安全ではなく、資格情報や金融データを含む環境への導入は推奨できないと警告した。各開発企業への報告では、OpenAI、Perplexity、Anthropic、Firefoxは対応または拒否を示し、GoogleやMicrosoft、Braveとは技術協議が行われているものの、機能を維持しつつ根本的に脆弱性を解消する明確な手法はまだ確立されていない。 調査によると、権限制限を最も厳格にしたFirefox AI Modeが最も安全だった反面、実用性は限定的にとどまる。ロエスナー氏は、30年かけて強化されてきたブラウザセキュリティが、新機能競争のため後退しかねないとして、エージェント型ブラウザの普及に伴うセキュリティ設計の抜本的見直しが急務であることを強調した。技術業界では、AIエージェントの実際の運用環境における防御基準を再構築する必要があるとの認識が広がっている。