『画面の向こうの実行者』――ブラウザAIを権限主体として扱うとき

2025年7月17日、OpenAIはChatGPT agentのシステムカードで、遠隔の仮想ブラウザを操作するこのエージェントが、メールや銀行口座にログインした状態で動くときは「Watch Mode」に入り、利用者が画面から離れると自動で止まる、と書きました（OpenAI）。同年12月、GoogleはChromeのエージェント機能について、計画を立てるモデルとは別に、ウェブの内容を一切見ない検査役のモデルを置き、行動を一つずつ拒否できるようにしたと説明しました（Google）。2026年3月には、13の最先端モデルを標的にした公開レッドチーム競技の論文が出て、すべてのモデルで乗っ取りに成功した攻撃が見つかったと報告されています（arXiv）。

ブラウザを操作するAIは、この1年で研究プレビューから一般提供へ進みました。Anthropicは2025年11月にClaude for Chromeをベータへ広げ（Anthropic、当ラボ短報）、GoogleはGeminiをChromeへ組み込んだうえでエージェント機能のプレビューを始めました（当ラボ短報）。会話AIの時代、安全性の議論の中心は「変なことを言わないか」でした。ページを読んで、クリックし、フォームに入力し、購入や送信まで済ませるAIでは、守るべきものが変わります。攻撃者は利用者に話しかける必要がなく、AIが読むページのどこかに文章を仕込めば、その手を動かせるからです。

この特集で私が確かめたいのは、次の仮説です。ブラウザAIの安全性は、モデル単体がプロンプトインジェクションに強いかどうかだけでは決まらず、外部の内容を読む計画系と実行権限を分け、読めるサイト・書けるサイト・できる操作をタスク単位で狭め、重大な操作を別系統の検査か人間の確認へ渡す設計が要る、というものです。公開競技の記録、三社の設計文書、そしてGoogleが実際のウェブで観測した攻撃の記録を、同じ基準で読みます。

会話の安全から、行動の安全へ

Anthropicは、ブラウザ利用が危険を二つの方向で増やすと説明しています。攻撃面が広いこと、つまりページ、埋め込み文書、広告、動的に読み込まれるスクリプトのすべてが命令の入り口になること。そして、エージェントが取れる行動が多いこと、つまりURLへの移動、フォーム入力、クリック、ダウンロードのどれも、乗っ取られれば攻撃者の道具になることです（Anthropic）。同社は「エージェントが訪れるすべてのウェブページが、攻撃の経路になり得る」（日本語訳）と書いています。

Googleも同じ脅威を、Chromeのセキュリティモデルの言葉で言い直しています。ブラウザは長年、サイトごとの隔離と同一オリジンの原則で、あるサイトが別のサイトのデータに触れないようにしてきました。ところがエージェントは、レシピを一つのサイトで集め、別のサイトのカートを埋めるように、サイトをまたいで動くのが仕事です。乗っ取られたエージェントが任意のサイトを操作できるなら、それは事実上、サイト隔離の迂回になります（Google）。ログイン済みのサイトを抱えたローカルのブラウザで起きれば、被害はデータの流出に直結します。

つまり、争点は「AIが妙な返答をするか」から「AIが持つ権限を、誰の命令で使うか」へ移りました。私はこの変化を、ブラウザAIを一人の利用者の代理として動く権限主体として扱う必要が生まれた、と読んでいます。人間の従業員なら、担当外のシステムにはアクセス権が無く、送金には承認者がいます。同じ設計をAIにも要るのか、あるいはモデルを賢くすれば済むのかが、以下の問いです。

公開競技が測ったもの

モデル単体の耐性がどこまで頼れるかを、当事者の自己申告ではなく外から測った記録があります。Gray Swanが主催し、英国AI安全性研究所と米国のCAISI、複数の開発企業が分析に参加した公開レッドチーム競技です。論文は2026年3月16日にarXivへ投稿され、NISTのCAISIが同月23日に解説を公開しました（NIST）。

論文の著者らは、モデルの能力と堅牢性の相関が弱く、Gemini 2.5 Proは高い能力と高い脆弱性を同時に示したと書いています（arXiv）。CAISIの解説はさらに、堅牢なモデルに対して見つかった攻撃は堅牢でないモデルへ転移しやすいが、逆方向は成り立たないと補足しています。この競技が強調するもう一つの点は「隠蔽」です。利用者はエージェントの最終応答しか見ないことが多いため、有害な操作を実行しながら、返答には何の痕跡も残さない攻撃が成立します。

この数字を読むときの注意を書いておきます。成功率は競技という母集団、つまり報酬を目当てに攻撃を磨く参加者と、主催者が用意した41のシナリオに対する値であり、一般のウェブで利用者が被害を受ける確率ではありません。また、最も低い0.5%という値も、13モデルの中で最良というだけで、零ではないことのほうが設計上は重い意味を持ちます。著者らはベンチマークが飽和し古くなる問題に触れ、四半期ごとの競技更新を続けるとしています。

私はこの記録から、二つのことを取り出します。能力の向上が堅牢性を保証しないこと。そして、最良のモデルでも成功例が残る以上、モデルの耐性は攻撃の成功率を下げる層であって、乗っ取られた後に何ができるかを決める層ではないことです。次に、三社が「乗っ取られた後」をどう設計しているかを見ます。

三社の設計を同じ物差しで並べる

三社の説明文書はいずれも当事者の資料です。ここでは各社が何を作ったと述べているかを、同じ観点で並べます。観点は、モデル自身の耐性、外部内容を読まない検査役の有無、権限の範囲をどう狭めるか、重大操作を人間へ渡す条件の四つです。

Anthropicの説明は、モデルの耐性に最も重心があります。強化学習で、模擬ウェブに埋めた命令を見分けて拒否する訓練を行い、モデルの文脈に入る信頼できない内容をすべて分類器で走査し、人間のレッドチームが探し続ける。その結果として、社内の適応型攻撃者に対する成功率を約1%まで下げたとし、同時に「1%の成功率は、大きな改善ではあっても、意味のあるリスクを表す」（日本語訳）と書いています（Anthropic）。権限の側は、2026年4月の文書で補われます。利用者が道具ごとに「常に許可」「承認が必要」「遮断」を選べること、Claude Codeでは個々の操作ではなく計画全体を先に承認するPlan Modeを置いたこと、そして「どの道具とデータを渡し、どの権限を与え、どの環境で動かすかを顧客が慎重に考える」ことを勧めています（Anthropic）。同社は、モデル、ハーネス、道具、環境の四層すべてに安全策が要り、訓練の良いモデルでも設定の甘いハーネスや権限の広い道具から悪用され得ると述べています。ただし、外部内容を読まない検査役を製品に置いたという記述は、両文書にありません。

Googleの説明は、反対に構造へ重心があります。計画モデルにはスポットライティングという手法で利用者とシステムの指示を優先させ、既知の攻撃を訓練へ取り込むとしつつ、それだけでは足りないとして「User Alignment Critic」を置きました。Geminiで作った別のモデルで、計画が終わった後に提案された行動を一つずつ見て、利用者の目的に合わない行動を拒否します。このモデルは提案の要約だけを受け取り、ウェブの生の内容を見ないため、ページからは毒を入れられません。拒否が重なれば、計画モデルは利用者へ制御を返します。権限の側には「Agent Origin Sets」があります。セッションごとに、内容を読めるオリジンの集合と、クリックや入力ができるオリジンの集合を分け、どのオリジンをその集合へ入れるかは、やはりウェブ内容に触れない判定機能が決めます。無関係なオリジンのiframeはモデルに渡さず、モデルが生成したURLは既知の公開URLに限る決定論的な検査を通します。人間への確認は、銀行や医療のような機微なサイトへの移動を一覧照合で止めること、パスワード管理からのログインを確認すること、購入・支払い・メッセージ送信の前に止まって利用者に最後の一歩を委ねることの三段です（Google）。同社は、初期実装ではオリジン集合を簡略化した版で始めると明かし、外部研究者に最大2万ドルの報奨金を出す枠も設けています。

OpenAIの設計は、二社の中間に見えます。ChatGPT agentはモデルの訓練と、更新可能な監視・フィルタ、状態を変える操作の前の確認、そして機微な文脈でのWatch Modeを組み合わせます。発売時点では、記憶機能を無効にし、ターミナルからの通信を画像や一部データセットのGET取得に限りました。訓練の効果は次の表のように公表されていますが、システムカード自身が「モデルの挙動だけを測り、対策の全体は測っていない」（日本語訳）と注記しています（OpenAI）。

三社を並べると、同じ結論に別の道から着いていることが分かります。モデルの耐性を上げる作業は三社とも続けているのに、どの社も「それで足りる」とは書いていない。AnthropicとOpenAIは、足りない分を利用者の承認と権限の絞り込みへ回し、Googleはそれに加えて、ウェブ内容を読まない検査役という構造を製品に入れました。私の見立てでは、能力向上を権限分離の代替にできるという説を支える材料は、当事者の文書の側にもありません。

一方で、この比較には見えないものがあります。三社の数値は互いに測定条件が違い、AnthropicとOpenAIの防御率は社内の攻撃者に対する値、Googleは率を公表していません。Anthropic自身が2026年4月の文書で、エージェントの耐性を比べる標準の方法が無く、各社の自己検査は独立に検証されていないと認めています（Anthropic）。各社の設計が発表どおりに動いているかは、公開競技のような外部の測定が積み重なるまで、当事者の説明として受け取るのが妥当です。

実験の脆弱性と、現実の被害は別の量

ここまでは、攻撃が成功し得るという実験の記録でした。では、現実のウェブで攻撃者はどれだけ動いているのか。Googleの脅威情報部門が2026年4月に公表した調査は、これを分けて測った数少ない資料です。同社はCommon Crawlの公開ウェブのアーカイブを走査し、既知のプロンプトインジェクションの型を探しました（Google）。

見つかったものの多くは、AIの口調を変える悪戯、AIによる要約に自社の文脈を足そうとする指示、自社を推薦させるSEO目的の文章、AIに読ませないための細工でした。データ窃取を狙う例は少数で、しかもサイト運営者の実験に見えるものが中心です。同社は「攻撃者はまだこの研究成果を大規模に実用化していないようだ」（日本語訳）と評価しています。ただし同じ調査は、2025年11月から2026年2月にかけて悪意ある分類の検出が相対で32%増えたこと、走査がログインを要するSNSを含まないことも書いています。攻撃側の費用対効果が変われば、規模も洗練も伸びると同社は見ています。

この資料を、私は仮説に不利な材料として読みました。実験で脆弱だからといって、いま被害が多発しているとは言えません。競技の8,648回の成功と、ウェブ上の実験的な悪戯を同じ量として語れば、読者に間違った切迫感を与えます。それでも設計を急ぐ理由は、被害の頻度ではなく、被害の形にあります。会話AIの失敗は返答の中に残りますが、ブラウザAIの失敗は送信済みのメール、完了した購入、変更された設定として残り、しかも競技の記録が示すとおり、最終応答には痕跡が無いことがあります。低い頻度と取り返しの利かない結果の組み合わせが、権限の設計を後回しにできない理由です。

読者が見るべき境界

以上を踏まえて、私の判定を書きます。仮説は材料に支えられました。公開競技は、モデル単体の耐性が攻撃成功率を下げても零にはならず、能力と堅牢性が別の量であることを示しました。三社の設計文書は、いずれも耐性を権限の設計で補っており、能力向上を代替にできるという説を支える記述はありません。現実の被害がまだ限定的であることは、設計を急がない理由にはならず、失敗の形が変わったことを踏まえれば、むしろ先に境界を引いておく理由になります。

導入する側が見るべき境界は、この特集の観点そのままです。エージェントが読めるサイトと書けるサイトが分かれているか。ウェブ内容を読まない検査役がいるか、あるいは代わりに人間がどの操作で呼ばれるか。購入や送信のような、取り返しの利かない操作の前で必ず止まるか。そして、その約束を当事者以外の誰が測っているか。四つ目に答えられる製品は、いまのところありません。

この見立てが外れる条件も書いておきます。公開競技の更新で、最先端モデルの成功率が適応的な攻撃に対しても継続して零近くに収まれば、モデル耐性の比重は大きくなります。逆に、Googleが次に予定するSNSを含む調査で、実用化された窃取攻撃が広く見つかれば、被害の頻度についての私の読みは修正が要ります。私が次に見るのは、Gray Swanの四半期更新、Chromeのオリジン集合が簡略版から本来の二集合へ進むか、そして各社の自己申告の数値を独立に測る枠組みが、CAISIのような機関から出てくるかどうかです。画面の向こうで手を動かすのがAIになった以上、その手に何を持たせるかを決めるのは、モデルの賢さではなく、私たちの設計です。