Black Hat 2026でAIブラウザが乗っ取られる：OpenAI、Google、Anthropic、Microsoft、Perplexityを直撃した「PleaseFix」ゼロクリック脆弱性

しかし、このAtlasの実演は、より大規模な発見の最も衝撃的な一幕に過ぎなかった。Zenityは、「PleaseFix」と名付けた一連のゼロクリック脆弱性を公表した。これは、主要なエージェントブラウザ5社に影響を及ぼし、約20件の個別の欠陥を含む。この問題の核心は、従来の意味での「バグ」ではない。エージェントAIブラウザが本質的に持つアーキテクチャ上の特性、すなわち「読み取ったコンテンツに埋め込まれた命令を信頼し、実行する」という設計そのものにある。電子メール、Webページ、カレンダーの招待状、ソーシャルメディアの投稿など、あらゆるコンテンツが攻撃の経路となり得る。攻撃者はユーザーに怪しいリンクをクリックさせる必要すらない。エージェントがユーザーの意図とコンテンツに隠された攻撃者の命令を区別できないため、ユーザーに代わって攻撃者が仕組んだ行動を自動的に実行してしまうのだ。

Atlas WhatsAppワーム実演の詳細

Zenityの最も衝撃的な概念実証は、OpenAIのChatGPT Atlasを標的にしたものだ。Atlasは2025年10月にローンチされたChromiumベースのブラウザで、Webを閲覧しユーザーに代わってタスクを完了するAIエージェントを内蔵している。攻撃の連鎖は以下の通りである：

1. ZenityはX（旧Twitter）上に一見無害なニュースレターの登録リンクを投稿した。
2. そのページのコンテンツには、ヘブライ語で書かれた悪意のある命令が隠されていた。この言語選択は意図的なものだ。OpenAIのセーフティ分類器は主に英語で学習されているため、ヘブライ語の命令は検知をすり抜ける一方で、AIモデル自体は命令を完全に理解して実行した。
3. このリンクをクリックしてニュースレターの購読を依頼したAtlasユーザーのブラウザは、隠された命令を処理した。AIエージェントは、ユーザーが既にログインしているWhatsApp Webセッションをバックグラウンドで密かに開き、事前に作成されたスパムメッセージをアカウント内のすべての連絡先に送信した。このメッセージには同じリンクが含まれているため、それをクリックした別のAtlasユーザーにもワームが伝播する可能性がある。

WhatsAppへの攻撃に加えて、研究者は同じ手法でAtlasを騙し、ログイン済みのAmazonアカウントに配送先住所を追加し、商品をカートに入れ、さらにAmazonのAIショッピングアシスタント「Rufus」に購入を完了させることにも成功した。これらの行動はすべて、ユーザーの認識や同意なしに行われた。

ZenityのCTOであるMichael Bargury氏は、この攻撃がWhatsApp自体の脆弱性を悪用したものではないことを強調した。WhatsAppのエンドツーエンド暗号化は損なわれておらず、問題は完全にAIブラウザがコンテンツを処理し、行動を実行する方法にあると述べている。

「PleaseFix」脆弱性クラスとは何か

Atlasへの攻撃は、Zenityが「PleaseFix」と呼ぶ、より広範な脆弱性ファミリーの一部である。これは、主要なエージェントブラウザ5社すべてに影響を与えるゼロクリックのエクスプロイトチェーンだ。

Zenityはこれらのプラットフォーム全体で約20件の欠陥を報告しており、その影響はデータの窃取、認証情報の漏洩から、リモートによる端末の制御にまで及ぶ。脆弱性の核心はアーキテクチャ上の問題である。エージェントブラウザは、読み取ったコンテンツ（電子メール、Webページ、カレンダーの招待状、文書など）を信頼し、その内容に基づいて行動するように設計されている。攻撃者は、エージェントが日常的なタスクを処理する過程で読み取る、ごく普通のコンテンツ内に悪意の命令を埋め込む。マルウェアもエクスプロイトも不要であり、何よりユーザーによるクリックさえ必要ない。

Zenityはこの根本的な仕組みを**「インテント・コリジョン（意図の衝突）」**と呼んでいる。AIエージェントが、ユーザーからの正当なリクエストと、読み取ったコンテンツに隠された悪意のある命令を混同し、攻撃者の目的をユーザー自身の意図の一部として扱ってしまう現象である。

実証された主要な攻撃手法

• 隠し言語命令 — ヘブライ語やUnicodeを使った難読化など、AIのセーフティ分類器をバイパスするために非英語圏の言語を使用。AIモデル自体は命令を理解するため、検知を逃れたまま実行される。
• 「インテント・コリジョン」（意図の衝突） — エージェントのプロンプト評価システムが無害、またはユーザーの意図に沿ったものと判断するように細工されたコンテンツを作成し、攻撃者が意図する行動を引き出させる。
• サンドボックス騙し — エージェントのセキュリティサンドボックスが許可する範囲と、攻撃者が実行させたい行動との間のギャップを突く。ブラウザタブへのアクセス、ローカルクッキー、認証済みセッションといった、エージェントに与えられた正当な権限自体が攻撃対象となる。

全ブラウザにわたる広範な影響

• ローカル端末へのアクセス — Zenityは、静かなデータ窃取や、被害者の端末をリモート制御する攻撃を実証した。
• パスワードマネージャーの危殆化 — エクスプロイトチェーンは、1Passwordを含むパスワード管理アプリを標的とし、認証済みセッション内での認証情報窃取を可能にした。
• 不正な購入 — エージェント自身のログイン済みセッションを利用して、ショッピングサイトでの住所追加や購入完了を実行した。
• アカウント乗っ取りと端末制御 — 完全な攻撃チェーンにより、アカウントの乗っ取りと被害者端末のリモート制御が実証された。

PleaseFix脆弱性ファミリーの最初の開示は、2026年3月に遡る。この時、ZenityはPerplexity Cometが、武器化されたGoogleカレンダーの招待状を処理するだけで、ローカルファイルを外部に送信し、1Passwordの認証情報をユーザーのクリックなしに盗み出すことができることを明らかにしていた。

なぜAtlasは最強のセキュリティを突破されたのか

テストされたブラウザの中で、OpenAIのAtlasは最も多くのセキュリティ層を持っていた。AI搭載のセーフティ分類器、制限付き実行サンドボックス、そして重要な操作に対する人間による確認プロンプトである。しかし、Zenityはこれらすべてを突破した：

1. セーフティ分類器は、命令をヘブライ語に切り替えることで無効化された。ヘブライ語は分類器の学習セットにおいてリソースの少ない言語であり、AIモデルは命令を理解したが、分類器はそれを悪意のあるものとしてフラグ付けしなかった。
2. サンドボックスは「インテント・コリジョン」によって迂回された。エージェントはニュースレター購読を正当なタスクと認識したため、サンドボックスは後続のWhatsAppやAmazon API呼び出しを許可した。
3. 人間による確認プロンプトは、エージェントがその行動を「機密」ではなく「日常的」なものと分類したため、トリガーされなかったか、自動化されたエージェントワークフローによって無視された。

業界の対応とAtlasの提供終了

OpenAIの公式な対応は、Black Hat開催前に下された製品決定によって形作られた。OpenAIはすでに2026年7月9日、Atlasが2026年8月9日をもって機能を停止することを発表していた。これはBlack Hatでの発表からわずか4日後である。同社はAtlasをスタンドアロンブラウザとして廃止し、そのエージェント機能をChatGPTデスクトップアプリ、Chrome統合、ChatGPT Work、そしてCodexに移行するとした。OpenAIのヘルプページでは、8月9日以降、Atlasは「開くこと、ブラウジングすること、ブラウザベースの機能をサポートすることができなくなる」可能性があり、セキュリティアップデートも提供されないと警告している。また、実演で示された具体的な問題については修正プログラムを適用したと述べている。

他のベンダーも対応を行った。Perplexity AIは、2026年3月の公表前にCometの脆弱性に対するパッチをリリースした。Black Hatにおいて、Zenityは責任ある開示プロセスを通じて影響を受ける企業と協力した後、拡大されたクロスベンダーの調査結果を発表した。

研究者の核心的な提言：AI対AIではなく、確定的な障壁を

Zenityの中心的な主張は、AI搭載のセーフティ分類器だけでは、構造的にエージェントブラウザを防御するのに不十分であるというものだ。分類器自体がAIモデルであるため、敵対的な入力、言語の切り替え、プロンプトインジェクションといった、攻撃の入り口となるのと同じ種類の脆弱性によっていつでもバイパスされうるからである。

研究者らは、確定的なセキュリティ障壁、すなわちモデルの操作では迂回できない、OSやブラウザアーキテクチャレベルでの、ハードで交渉の余地のない制御を導入するよう求めている。その例として、以下が挙げられる：

• ハードな許可プロンプト — メッセージ送信、支払い、ファイルアクセスといった機密性の高い操作に対して、エージェントが自動化できない、必ず人間の確認を要する仕組み。
• ハードウェアによる強制分離 — エージェントのプロセスとユーザーの認証情報をハードウェアレベルで分離すること。
• 帯域外のユーザー確認 — アカウントの変更、メッセージの送信、金銭取引の開始など、あらゆる重要な操作に対して、生体認証やハードウェアキーによる承認を必須とすること。

Bargury氏の核心的なメッセージは、「確率的なAI分類器で、確定的なセキュリティ問題を解決することはできない」というものである。

主要な結論：パッチで直す問題ではなく、構造的な設計上の欠陥

PleaseFix脆弱性群は、単にパッチを待つようなバグではない。エージェントブラウザがコンテンツを信頼し、その指示に基づいて行動するという構造的な設計上の欠陥である。テストされた主要なAIブラウザはすべて脆弱だった。Atlasは最も強力な防御を備えていたにもかかわらず、いかなるAI分類器も完全には防げない、言語の切り替えと意図の混乱による攻撃に屈した。Zenityの処方箋は、エージェントAIが安全に大規模に配備される前に、確定的でAIによる回避が不可能なガードレールをOSやブラウザアーキテクチャのレベルに組み込むことを業界に求めている。