Black Hat 2026で実証されたAIブラウザ乗っ取り：「PleaseFix」ゼロクリック脆弱性の全貌

これは単なる個別のバグではありません。Zenity が「PleaseFix」と名付けた、これまで文書化されていなかった脆弱性クラス（一群のゼロクリック脆弱性）の中で、最も劇的なデモンストレーションでした。研究者らが調査したすべての主要な商用エージェント型ブラウザが、この脆弱性の影響を受けることが判明しました。

Atlas WhatsAppワームの仕組み

Zenity の概念実証攻撃は、OpenAI がAtlasに実装した3層の安全システムを、以下の3つの手法で突破しました。

• ヘブライ語による指示: Atlasの安全フィルターは主に英語で訓練されていたため、英語以外の言語のコマンドは検出を逃れました。
• インテント・コリジョン（意図の衝突）: 研究者らは、ユーザーの正当なコマンド（例：「ニュースレターを購読して」）と、悪意のある隠しコマンドを巧妙に融合させ、エージェントが安全な行動と危険な行動を区別することを困難にしました。
• 偽のサンドボックス主張: 攻撃ページは、実行中のアクションが安全なテスト環境内で発生しているとAtlasに偽って伝え、エージェント自身の安全自己チェックを欺きました。

同じエクスプロイト連鎖は、Amazonでの無断購入にも悪用可能で、より広範なアカウント乗っ取り能力を示しています。なお、WhatsAppのエンドツーエンド暗号化自体は破られておらず、AIエージェントは単にユーザーの認証されたセッション内で動作していたに過ぎない点が重要です。

PleaseFix脆弱性クラスとは

Zenity Labs が開示した PleaseFix は、調査対象となったすべての主要な商用エージェント型ブラウザに影響を与える、これまでにないゼロクリック脆弱性のファミリーです。その影響は以下のプラットフォームで実証されました。

• ChatGPT Atlas (OpenAI)
• Claude in Chrome (Anthropic)
• Gemini in Chrome (Google)
• Perplexity Comet (Perplexity)
• Copilot Edge (Microsoft)

全体で、Zenity はこれらのプラットフォーム全体で 20件の異なる欠陥 を発見しました。根本的な問題はアーキテクチャにあります。エージェント型ブラウザは、Webコンテンツを自律的に読み取り、指示に従い、ユーザーに代わってアクションを実行するように設計されており、その自律性こそが攻撃対象領域となっているのです。攻撃者は、通常のコンテンツと予期される動作を通じてエージェントを乗っ取ります。マルウェアも、エクスプロイトも、ユーザーのクリックも一切不要です。

実証された攻撃の結果は以下の通りです。

• サイレントなデータ窃取: ローカルファイルや認証情報の外部流出。1Passwordなどのパスワードマネージャーも標的になりました。
• アカウントおよび端末の乗っ取り: 完全なセッションハイジャックと、ブラウザが動作するマシン上でのリモートコード実行。
• ソーシャルアカウントの乗っ取り: 被害者のアカウントからの投稿、連絡先へのメッセージ送信、フィッシングリンクの拡散。
• 不正な金銭的取引: Amazonなどでの無断購入。

業界の対応

• OpenAI: Black Hat 2026での暴露に先立ち、すでにAtlasの提供終了を発表していました。ブラウザは2026年8月9日、暴露からわずか数日後にサービスを停止しました。OpenAIはAtlasのエージェント機能を、より広範なChatGPT WorkプラットフォームやCodexに移行しましたが、セキュリティ上の懸念はこれらの新環境にも付きまとっています。
• 複数のベンダー: Zenityから協調的な開示を受け、パッチをリリースしました。しかし、AIエージェントにWeb上で広範な自律性を与えるという根本的なアーキテクチャ上の緊張関係は、未解決のままです。

なぜ専門家は「確定的セキュリティ障壁」を求めているのか

セキュリティ研究者らは、高度に自律的なAIエージェントの上に安全フィルターやプロンプトレベルのガードレールを追加で重ねる現在のアプローチは、構造的に不十分だと主張しています。Zenityの研究は、すべてのエージェント型ブラウザが、エージェントが処理するように設計された悪意のあるコンテンツを送り込むという、同じ基本的な手法で侵害される可能性があることを示しました。

核心的な問題は、確率的なAI安全フィルター（アクションが安全かどうかを推測するもの）では、それらのフィルターをすり抜ける新たな入力を生成できる攻撃者を確実に阻止できないことです。研究者らは、確定的セキュリティ障壁（確定的なセキュリティ障壁）、すなわちAIエージェントが命令をどのように解釈するかに関係なく、許可される行動にハードで強制力のある制約を設けることを求めています。その例としては以下が挙げられます。

• 許可されたアクションのハードコードされた許可リスト（例：「このブラウザからメッセージを送信してはならない」）。
• モデルの出力によってオーバーライドできない、オペレーティングシステムレベルのパーミッション境界。
• 高リスクなアクション（金融取引、メッセージ送信、認証情報へのアクセス）に対する、人間が介在するゲート（Human-in-the-loop）。

このような確定的な制御が実装されるまで、PleaseFix クラスの欠陥は、エージェント型ブラウザが、ごく普通に見えるWebコンテンツを公開するだけで、ユーザー自身に対して武器化されうることを示し続けるでしょう。