AIブラウザはハッカーにとって次の大きな標的となっている

OpenAIのAtlasやPerplexityのCometといったAIブラウザは、利便性を約束している。 しかし、それらは重大なサイバーセキュリティリスクを伴い、ハッカーにとって新たな遊び場を形成している。

AI搭載ウェブブラウザは、Google ChromeやBraveなどの従来のブラウザと競争し、毎日数十億人のインターネットユーザーを引き付けようとしている。

数日前、OpenAIはAtlasをリリースした。一方、PerplexityのCometは数ヶ月間存在している。AI搭載ブラウザはページ上でタイピングやクリックを行うことができる。ユーザーはフライトの予約、メールの要約、さらにはフォームへの入力などを指示できる。

基本的に、AI搭載ブラウザはデジタルアシスタントとして機能し、ウェブを自律的にナビゲートするように設計されている。それらはオンライン生産性の次の大きな飛躍として称賛されている。

セキュリティ研究者はAIブラウザの欠陥を指摘

しかし、ほとんどの消費者はAIブラウザの使用に伴うセキュリティリスクを認識していない。そのようなブラウザは、プロンプトインジェクションと呼ばれる新しい現象を通じて、洗練されたハッキングに対して脆弱である。

ハッカーはAIウェブブラウザを悪用し、ユーザーのログインセッションにアクセスして、承認されていないアクションを実行できる。例えば、ハッカーはメール、ソーシャルメディアアカウント、さらには銀行の詳細情報を閲覧し、資金を移動できる。

Braveによる最近の研究によると、ハッカーはウェブページや画像の中に隠された指示を埋め込むことができる。AIエージェントがこのコンテンツを分析し、隠された指示を見ると、それらを正当なユーザーコマンドであるかのように実行してしまうことがある。AI搭載ウェブブラウザは、本物のユーザー指示と偽物の指示を見分けることができない。

BraveのエンジニアはPerplexityのCometを実験し、プロンプトインジェクションに対するその反応をテストした。Cometはスクリーンショット内に隠された不可視のテキストを処理することが判明した。この手法により、攻撃者はブラウジングツールを制御し、ユーザーデータを容易に抽出できる。

Braveのエンジニアらは、これらの脆弱性を「AI搭載ブラウザというカテゴリ全体が直面している『システム的な課題』」と呼んだ。

プロンプトインジェクションは修正が困難

セキュリティ研究者やエンジニアは、プロンプトインジェクションの修正が困難だと述べている。それは、人工知能モデルが指示の由来を理解できないからである。本物のプロンプトと偽物のプロンプトを区別することができない。

従来のソフトウェアは安全な入力と悪意のあるコードを見分けることができるが、大規模言語モデル（LLM）はそれが難しい。LLMはユーザーの要求、ウェブサイトのテキスト、さらには隠されたデータなど、すべてを処理し、それらを1つの大きな会話として扱う。

そのため、プロンプトインジェクションは危険である。ハッカーは、安全に見えるコンテンツの中に偽の指示を簡単に隠し、機密情報を盗むことができる。

AI企業はプロンプトインジェクションが深刻な脅威であることを認めている

Perplexityは声明で、このような攻撃はコードや盗まれたパスワードに依存するものではなく、AIの「思考プロセス」を操作するものだと述べた。同社はCometを取り巻くプロンプトインジェクション攻撃を防ぐために複数の防御層を構築した。リアルタイムで脅威を検出する機械学習モデルを使用し、AIがユーザーの意図に集中し続けるためのガードレールプロンプトを統合している。さらに、このブラウザはメールの送信や商品の購入などの機密性の高いアクションに対して、必須のユーザー確認を求めている。

セキュリティ研究者は、AI搭載ブラウザが主要な改善策が導入されるまで、機密性の高いアカウントや個人データを扱う信頼に値しないと信じている。ユーザーはAIウェブブラウザを利用し続けることができるが、ツールへのアクセスを制限し、自動化されたアクションを無効化し、銀行口座、メール、医療アプリにログインしている際には使用を避けるべきである。

OpenAIのチーフインフォメーションセキュリティオフィサー（CISO）、デイン・スタッキー氏は、プロンプトインジェクションの危険性を認め、Xで投稿し、「私たちが非常に慎重に研究し、緩和している新興リスクの一つにプロンプトインジェクションがある。これは、攻撃者がウェブサイト、メール、または他のソースに悪意のある指示を隠し、エージェントを意図しない行動を取らせようとするものだ」と述べた。

スタッキー氏は、OpenAIの目標は人々が「最も有能で信頼でき、セキュリティに意識的な同僚や友人を信頼するのと同じように、ChatGPTエージェントにブラウザを使用することを信頼する」ことだと説明した。スタッキー氏は、OpenAIのチームが「それを実現するために懸命に努力している」と述べた。