AIブラウザ（エージェントブラウザ）とは──任せてよい操作と、任せてはいけない操作

AIブラウザ（エージェントブラウザ）とは、AIがページを読むだけでなく、ユーザーの代わりにクリック・入力・遷移まで行うブラウザのことです。従来の「要約してくれるサイドバー」との違いは、出力が文章ではなく操作である点にあります。そしてこの違いが、そのまま事故の種類を変えます。読むだけなら間違った要約が出るだけですが、操作まで届くと、ログイン済みのメールやアカウントが第三者に渡り得ます。この記事では、ベンダー自身とセキュリティ研究者が公開した資料だけを使って、「何を任せられて、何を任せてはいけないのか」を線引きします。

• Anthropicは自社の Claude in Chrome について、123のテストケース・29の攻撃シナリオで評価し、対策なしの自律モードで攻撃成功率23.6%、対策適用後で**11.2%**という数字を公開している（2025-08-25）
• 同社は2025-11-24の続報で 「1%の攻撃成功率でも意味のあるリスクであり、プロンプトインジェクションに免疫のあるブラウザエージェントは存在しない」 と明記している
• Braveのセキュリティ研究チームは Perplexity Comet（2025-08）・Opera Neon（2025-10）・Mozilla Tabstack（2026-06） で実際に成立した攻撃を順に開示しており、いずれも起点は「このページを要約して」という無害な依頼だった

（本記事の情報は2026年8月27日時点、各社公開ページを取得して確認したものです）

AIブラウザとは何を指すのか

呼び名は各社バラバラで、「AIブラウザ」「エージェントブラウザ（agentic browser）」「AIモード付きブラウザ」などが混在しています。実装形態も3種類に分かれます。

共通するのは、AIが「読む」だけでなく「押す・書く・送る」までの権限を持つという一点です。ここが、AI検索エンジンや従来のチャット型AIとの決定的な違いになります。AI検索は答えを返して終わりますが、AIブラウザは答えを出すために勝手に別サイトへ移動できます。

エージェントという言葉自体の定義はAIエージェントとは何かの解説記事にまとめています。AIブラウザは、そのエージェントを「ブラウザという、ログイン済みセッションが山ほど並んだ場所」に置いた形態だと考えると分かりやすいはずです。

具体的に何ができるのか

Microsoftは2025年7月28日の公式ブログで、Edgeの Copilot Mode について次のように説明しています。新しいタブではチャット・検索・ナビゲーションが1つの入力欄にまとまり、ユーザーの許可があれば開いているタブ全部をCopilotが見て文脈を理解する。音声で指示すれば、ページ内の情報を探させたり比較用のタブを開かせたりもできる、と。

さらに同ブログには「今後（coming soon）」として、履歴や資格情報（credentials）へのアクセス許可を与えれば、予約の代行までできるようになるという記述があります。この一文が、AIブラウザというカテゴリの狙いと危うさを両方言い表しています。役に立つためには権限がいる。権限を渡すと、乗っ取られたときの被害範囲もそこまで広がる。

Anthropicは Claude in Chrome の告知（2025-08-25）で、社内利用の実感として「カレンダー管理、会議設定、メール返信の下書き、経費精算、新機能のテスト」を挙げています。同拡張は2025年11月24日にMaxプランのベータへ、12月18日にPro・Team・Enterpriseへ拡大しました。Team・Enterpriseでは管理者が組織全体で拡張を有効化・無効化し、サイトの許可リストと拒否リストを設定できます。

Opera Neonは公式ページで、エージェント機能とLLMの利用を月額19.90ドルのサブスクリプションとして案内し、MCPやCLI経由で外部のエージェントをブラウザに接続できるとしています。

なぜ壊れるのか──「読ませる」ことが「命令する」ことになる

AIブラウザの失敗は、AIの性能不足ではなく構造から来ます。OWASPは、LLMアプリケーションのリスク第1位としてプロンプトインジェクション（LLM01:2025）を挙げ、こう定義しています。「プロンプトインジェクションは人間に見える／読める必要はない。モデルにパースされる内容でありさえすればよい」。

Braveの研究チームは2026年6月8日の記事で、根本原因をより端的に書いています。「共有されたコンテキストウィンドウの中で、命令とデータの境界が崩壊すること」。信頼できるユーザーの指示と、信頼できないWebページの本文が、同じ1つの文脈に平らに並べられる。モデルには出所を見分ける手段がない。だから、ページに書いてある文字列が指示として実行される。

Braveはこの記事で、クラウド実行の Mozilla Tabstack とローカル実行の Cotypist（macOS用オンデバイス補完ツール）の両方で攻撃を成立させ、**「モデルがどこで動くかはリスクの有無を変えない」**と結論づけています。ローカルLLMなら安全、という直感は成り立ちません。

攻撃の仕組み自体はプロンプトインジェクションとは何かの記事で詳しく扱っているので、ここでは「操作の型」に絞ります。

失敗する操作の型は4つに整理できる

公開された事例を並べると、危険な操作は性質ごとに4つの型に分かれます。

型1：「読むだけ」に見えて、権限は行動側に残っている

Braveが2025年8月に開示したPerplexity Cometの事例では、起点は「このページを要約して」ボタンでした。Redditのコメントにスポイラータグで隠された指示をCometが読み、そのまま実行します。2026年6月のMozilla Tabstackの事例も、依頼文は "Summarize this page." の一文だけです。Braveによれば、エージェントは要約を一度も返さず、代わりに攻撃者のドメインへ移動し、会話履歴をフォームに入力して送信しました。

要約は読む作業に見えますが、エージェントは要約中もブラウザ操作の権限を持ったままです。ここが直感とズレます。

型2：ログイン済みセッションを横断する

Cometの実証攻撃は、ユーザーがGmailにログイン済みであることを利用しました。Braveの記述によれば、攻撃はPerplexityのアカウント詳細ページからメールアドレスを抜き、末尾にドットを付けた別ドメイン（perplexity.ai.）経由でログインを試みてワンタイムパスワードを発行させ、Gmailを開いてそのOTPを読み、Redditのコメント返信として両方を外部に出しました。

Braveはこの意味をこう書いています。「AIアシスタントが信頼できないページの指示に従うとき、同一オリジンポリシー（SOP）やCORSといった従来の防御は事実上無力になる」。ブラウザが何十年もかけて作ったサイト間の壁を、エージェントはユーザーの権限で正面から歩いて通過します。

型3：人間の目に映らない層を読ませる

隠し場所は本文だけではありません。開示済みの事例で使われた経路を並べると、白背景に白文字、ゼロ幅文字、HTMLコメント、DOM内の非表示フォーム欄、URL文字列、タブのタイトル（Anthropic）、レンダリングされないHTML要素（Opera Neon）、そしてスクリーンショット画像の中のほぼ見えない文字（Comet、2025-10-21開示）があります。

画像経由が成立するということは、テキストの入力サニタイズだけでは足りない、ということです。「変な指示が書かれていないか自分で目視すればいい」という運用は、この型に対しては機能しません。

型4：確認を挟まないモードで走らせる

Anthropicの数字は、すべて自律モード（autonomous mode）での測定だと明記されています。逆に言えば、行動確認（action confirmations）を挟む通常モードは前提が違います。Mozilla Tabstackの /v1/automate エンドポイントにもガードレールのパラメータはありますが、Braveによれば既定では設定されていません。

OWASPの緩和策5番も「特権的な操作にはhuman-in-the-loopを実装せよ」であり、Braveが2025年8月のComet記事で挙げた4つの緩和策のうち3つ目（番号は同記事の見出し順による本記事側の数え方で、Brave公式の採番ではない）も「セキュリティ・プライバシーに関わる操作は常にユーザー操作を要求せよ」です。両者が独立に同じ結論に達しています。

任せてよい操作と、任せてはいけない操作

上の4つの型を、日常の操作に落とすと次のようになります。この振り分けは筆者の整理であり、各社が公式に定めた基準ではありません。根拠として、Anthropicが Claude in Chrome で金融サービス・アダルト・海賊版のカテゴリを実際にブロックしていること、および同社が「金融・法務・医療などの機微な情報を扱うサイトでの利用を避けること」を推奨していることを置いています。

運用として効くのは、同じComet記事が挙げる4つ目の緩和策──エージェント用のブラウジングを普段のブラウジングから隔離する──です。実務的には、業務用のログイン情報が入っていない別プロファイル（あるいは別ブラウザ）でだけエージェント機能を有効にする、という形になります。ブラウザの外にエージェントを置く選択肢もあり、たとえばClaude CodeのようなCLI型は、そもそもブラウザのログイン済みセッションを持ちません。

正直に書いておく限界

この問題は現時点で解決していません。 これは筆者の見解ではなく、防御側の当事者がそう書いています。

Anthropicは2025年11月24日の記事で、対策を重ねた上で「1%の攻撃成功率は大きな改善ではあるが、依然として意味のあるリスクを表している。プロンプトインジェクションに免疫のあるブラウザエージェントは存在せず、我々がこの結果を共有するのは進捗を示すためであって、問題が解決したと主張するためではない」と述べています。OWASPも「生成AIの性質上、完全な防止手法があるかどうかは不明である」と書いています。

数字の読み方にも注意が必要です。Anthropicの23.6%→11.2%、ブラウザ特有の4種類の攻撃セットでの35.7%→0%は、同社の内部テストにおける自社製品の測定値です。攻撃セットが違えば数字は変わりますし、他社製品と横並びで比べられる共通ベンチマークは、筆者が確認した範囲では存在しません。0%という数字も「その4種類に対しては」という限定つきです。

Braveの開示にも留保があります。2025年8月のComet記事には、公開後の追試で「Perplexityはまだこの種の攻撃を完全には緩和できていないことが分かり、再報告した」という更新が追記されています。修正の告知と、修正の完了は別物です。

また、本記事では各社の公式ページとBraveの研究記事を取得して確認しましたが、Perplexity Cometの公式ドキュメントは取得時に403が返り、直接確認できていません。Cometに関する記述はすべてBraveの開示内容に基づくもので、Perplexity側の説明を突き合わせたものではありません。また、全ベンダーを調べ切ったわけではないため、ここに挙がっていない製品が安全だという意味にはなりません。

最後に、この記事の線引きは攻撃が成立し得ることを前提にした被害限定の考え方です。「ブロックできるから安全」ではなく「乗っ取られても金と身元が動かない範囲で使う」という設計にしておくのが、現時点で個人にできる最も現実的な対処だと考えています。

---

出典・確認方法：本記事の数字と仕様は、2026年8月27日にAnthropic（anthropic.com）、Microsoft（blogs.windows.com）、Brave（brave.com）、Opera（opera.com）、OWASP Gen AI Security Project（genai.owasp.org）の各公式ページを取得して確認しました。料金・提供範囲・対応プランは変更されることがあるため、利用前に各社の公式ページで最新の情報を確認してください。本記事はセキュリティ上の助言を提供するものではなく、特定の運用による安全性を保証するものでもありません。