Brave、PerplexityのAIブラウザ「Comet」にアカウント乗っ取りの脆弱性を発見

記事を読む手間を省こうと、AIブラウザに「このページを要約して」と頼むのは日常的な操作になりつつある。しかし自律型エージェントの時代において、その何気ないワンクリックが個人情報を丸ごと明け渡す引き金になりかねないことが明らかになった。

WebブラウザBraveのセキュリティチームは、Perplexityが提供するAIブラウザ機能「Comet」に深刻な間接プロンプト注入（Indirect Prompt Injection）の脆弱性が存在すると公表した。Webページ内に仕込まれた悪意ある隠しテキストをAIが読み込むと、別タブで開いているGmailからワンタイム認証コード（OTP）を勝手に盗み出し、攻撃者に送信してしまう。

Redditのコメント1つでアカウントを奪う手口

原因は、LLMを用いたエージェント型ブラウザの根本的な設計課題にある。

ユーザーがCometに「このページを要約して」と指示した際、CometはWebページから取得したテキストを、ユーザー自身の指示と明確に区別せずそのままLLMのコンテキストに流し込んでいた。そのため、Webページ内にあたかもシステム命令のような文章が埋め込まれていると、AIはそれを正規のタスクと誤認して実行してしまう。

BraveのシニアモバイルセキュリティエンジニアであるArtem Chaikin氏が構築した実証実験（PoC）の内容は衝撃的だ。攻撃者はRedditの投稿内に、ネタバレ隠しタグを使って悪意ある指示文を潜ませておく。

被害者がそのページを開き、Cometの「現在のページを要約」ボタンを押す。するとAIは隠された指示を読み取り、ユーザーに無断で裏側で一連の動作を完遂する。まずPerplexityのアカウント設定画面へ移動してメールアドレスを抜き出し、次にログイン画面で認証コードの発行を要求する。

既存の認証をすり抜けるため、末尾にドットを付与した特殊なドメインにアクセスさせる周到さも見せた。その後、AIは被害者がログイン済みのGmailタブを開いて届いたばかりの認証コードを読み取り、その情報をRedditのコメント欄に返信という形で書き込んで外部へ漏洩させる。被害者が要約ボタンを一度押しただけで、Perplexityアカウントはあっけなく乗っ取られてしまう。

パッチを当てても防ぎきれない現実

従来のWebセキュリティは同一生成元ポリシー（SOP）を基盤にしており、異なるサイト間で勝手にデータをやり取りできないよう厳格に遮断してきた。しかし、ユーザーのログイン権限をそのまま代行するAIエージェントの登場により、この長年培われた防壁は意味をなさなくなった。

Braveは2025年7月25日にPerplexityへこの脆弱性を報告した。Perplexityは迅速に対応し、2日後には初期修正を適用したものの、不完全であることが判明。やり取りを経て8月13日に修正完了とみなされ、8月20日の情報公開に至った。

だが話はこれで終わらなかった。ブログ公開後の追加テストにより、Perplexity側の修正が依然として不十分で攻撃を防ぎきれていないことが判明し、Braveは再報告を余儀なくされた。

著名セキュリティ研究者のSimon Willison氏は、Cometのセキュリティホールを「トラックが通り抜けられるほど巨大な穴」と評した。さらに、Brave自身も自社ブラウザの「Leo」で自律エージェント機能を開発中であることに触れ、「ガラスの家に住む者は他人に石を投げてはならない」と皮肉交じりに指摘している。Web上の指示とユーザーの入力を完全に切り離すことは、過去3年間にわたり誰も解決できていないLLMの宿命的課題だからだ。

なぜ重要か

私たちは、この事例が現在の「AIエージェントによるブラウジング自動化」の足元がいかに脆いかを如実に示したと考える。

一般ユーザーにとっての教訓は極めて明快だ。私生活のメインブラウザや社内ツールにログインしたままの環境で、AIブラウザに自律的なタスクを任せるべきではない。要約に要するわずか数十秒を惜しんだ結果、Gmailや銀行口座、業務システムへの侵入を許しては割に合わない。

業界全体にとっても深刻な警鐘だ。長年かけてOSやブラウザが築き上げてきた堅牢なサンドボックスに対し、近年のAIブラウザは「指示」と「データ」の区別すらつかない統計モデルにフル権限を与えてしまっている。

Braveが提起した「機密操作時の明示的確認」や「エージェント機能の厳格な分離」という対策方針は正しいが、モデルの自己判断に依存するアプローチには限界がある。権限を物理的に制限し、読み取り専用のサンドボックス環境を徹底しない限り、どんなに高度なAIブラウザであっても巧妙なプロンプト注入の餌食になり続けるだろう。