ChatGPT AtlasとPerplexity Comet──「ブラウザにAIを埋め込む」2社のアプローチと、OpenAI自身が認めるリスク

3行まとめ

1. ChatGPT Atlasは2025年10月21日macOS版先行、Perplexity CometはMac・Windows・iOS・Androidの4プラットフォームで展開。Cometは2025年10月2日から無料化されており、有料プラン（Pro $20/月、Max $200/月）は自律型のBackground Assistant等の上位機能向け
2. ワシントン大学の研究チームが2026年4月、7種類のエージェント型ブラウザを検証し、Atlasを含む4種類で「同一生成元ポリシー」を回避できる脆弱性を確認。Atlasでは実際に動作する概念実証攻撃に成功した
3. UW研究チームが結果を各社に送付したところ、**PerplexityとOpenAIは報告を受け取らなかった（declined the report）**という。AnthropicとFirefoxは無反応だった

「ブラウザそのものにAIを組み込む」という発想で、OpenAIとPerplexityはそれぞれ独自の製品を出している。OpenAIのChatGPT Atlas、Perplexityの Comet だ。両社の公式サイト（Wayback Machineに保存されたスナップショット）から、製品としての違いと、OpenAI自身が公式に認めているリスクを整理する。プロンプトインジェクション攻撃の技術的な仕組みそのものは、AIブラウザ（エージェントブラウザ）とは何かの記事でより詳しく扱っているので、本記事では2製品固有の情報にしぼる。

ChatGPT Atlasとは

OpenAI公式ブログ（2025年10月21日付）によると、ChatGPT Atlasは「ChatGPTを中核に据えた新しいWebブラウザ」だ。ページ内でChatGPTに質問でき、コピー＆ペーストやタブ切り替えなしにタスクを完了できるとしている。

主な特徴は次の通り。

• ブラウザメモリ: 訪れたサイトの文脈を記憶し、後で「先週見ていた求人情報をまとめて」のような依頼に使える。完全にオプトインで、設定からいつでも閲覧・アーカイブ可能。閲覧履歴を削除すると、関連するブラウザメモリも削除される
• エージェントモード: ChatGPTがタブを開き、クリックし、リサーチ・自動化・予定調整や予約までこなす。発表時点でPlus・Pro・Businessユーザー向けにプレビュー公開
• 発表当日（2025年10月21日）、macOS版がFree・Plus・Pro・Goユーザー向けに世界展開。Business向けはベータ、Enterprise・Eduはプラン管理者が有効化すれば利用可能。Windows・iOS・Androidは「近日対応」とされていた

PerplexityのCometとは

Perplexity公式サイトによると、Cometは「あなたのために働くブラウザ」で、Mac・Windows・iOS・Androidの4プラットフォームに対応している（Atlasが当初macOS限定だったのに対し、Cometは発表時点でより広いプラットフォーム展開）。公式サイトが紹介する使い方の例は次の通り。

• 「このニュースを複数の報道機関がどう違う切り口で報じているか」を調べる（AI検索的な使い方）
• 「一番良いウェブサイト生成ツールで簡単なサイトを作って」と頼む（構築代行）
• メールの返信を、自分のスケジュールを踏まえて下書きさせる
• シラバスから来週のテストに向けた学習計画を作らせる
• 「快適で安いオフィスチェアを買って」と頼む（購入代行、Comet Assistant機能）

OpenAIが自ら明記しているリスクと対策

ChatGPT Atlasの発表ブログで注目すべきは、OpenAI自身がエージェントモードのリスクを具体的に書いている点だ。実装済みの安全策として次の4点が挙げられている。

• ブラウザ内でコードを実行できない、ファイルをダウンロードできない、拡張機能をインストールできない
• コンピューター上の他アプリやファイルシステムにアクセスできない
• 金融機関など特定のセンシティブなサイトでは、ユーザーが操作を見ていることを確認するため一時停止する
• ログイン状態を解除した「ログアウトモード」で、機密データへのアクセスとリスクを制限できる

その上で、OpenAIは次のようにリスクを認めている。

"ChatGPT's agent capabilities still carry risk. [...] agents are susceptible to hidden malicious instructions, which may be hidden in places such as a webpage or email with the intention that the instructions override ChatGPT agent's intended behavior. This could lead to stealing data from sites you're logged into or taking actions you didn't intend."

さらに「（レッドチーム演習を数千時間実施した上でも）新たな攻撃のすべてを防げるとは限らない」とも明記しており、ユーザー自身に「エージェントに何の情報を渡すかを慎重に判断すること」「ログアウトモードの活用」「エージェントの活動を監視すること」を呼びかけている。

Cometの料金体系

Cometのブラウザ本体は2025年10月2日以降、無料でダウンロードでき、サブスクリプション登録も不要になっている。ただし上位機能は有料プランに紐づく。

ワシントン大学の独立検証──「ブラウザエージェントはまだ一般公開すべき段階ではない」

OpenAI自身がリスクを認めているだけでなく、第三者による独立した技術検証も存在する。ワシントン大学（UW）の研究チームは2026年4月26日、ブラジル・リオデジャネイロで開催の「Agents in the Wild Workshop」でこの分野の調査結果を発表し、UW公式ニュースページで概要を公開している。原文を直接確認した内容は以下の通り。

• 検証対象は7種類のエージェント型ブラウザ：Brave Leo AI、ChatGPT Atlas（Agent Modeあり・なし）、Gemini搭載のChrome、Anthropic Claude for Chrome、CoPilot搭載のMicrosoft Edge、Claudeをエージェントに選択したFirefox AI Mode、Perplexity Comet
• このうち4種類で、ブラウザの基本的なセキュリティ機構「同一生成元ポリシー（same-origin policy）」を回避できる条件がそろっていた
• ChatGPT Atlasでは実際に動作する概念実証（proof-of-concept）攻撃に成功。あるサイトに埋め込まれた別サイトが、埋め込み元のサイトから情報を盗み出せることを実証した（「メールサイトに埋め込まれた広告が、そのユーザーのメール内の機密情報を盗み出せる」ようなイメージ）
• 同様の攻撃が成立する条件は、Gemini搭載Chrome・Claude for Chrome・Perplexity Cometでも確認された
• 最も安全だったのはFirefox AI Modeだが、これは同時にエージェントとしての機能が最も限定的でもあった、と論文は指摘している
• 研究チームは調査結果を各社に送付。AnthropicとFirefoxは無反応、PerplexityとOpenAIは報告を受け取らなかった（declined the report）。Google・Microsoft・Braveとは「良いやり取りができた」という

UW Allen School（コンピューターサイエンス学部）のDavid Kohlbrenner准教授（共同筆頭著者）のコメントを直接引用する。

"Browser agents aren't ready for the public. Even if you're a relatively savvy user, if these agents have access to a browser that contains your credentials — your email, your bank account, whatever it is — you should not trust that these systems are ready to truly protect your information. They may get there in time, but they're not there yet."

（訳：ブラウザエージェントは、一般公開できる段階にまだない。たとえ比較的リテラシーの高いユーザーであっても、そのブラウザにメールや銀行口座などの認証情報へのアクセス権を持つエージェントがある場合、そのシステムが自分の情報を本当に守ってくれると信頼すべきではない。いずれそこに到達するかもしれないが、今はまだその段階ではない）

共同筆頭著者のFranziska Roesner教授は、「同一生成元ポリシー」が1995年に導入されて以来、ウェブブラウザのセキュリティを支えてきた基本的な仕組みだと説明した上で、「30年かけて築いてきたこの仕組みにとって、これは大きな後退だ」と述べている。この研究はMicrosoftからの寄付を一部の資金源としている。

OpenAIの追加対応──「新種のプロンプトインジェクション」への更新

CyberScoopの報道（2026年）によれば、OpenAIはその後、内部の自動化されたレッドチーム演習で「新しい種類のプロンプトインジェクション攻撃」を発見したとして、ChatGPT Atlasにセキュリティアップデートを配信したと発表している。更新には、新たに敵対的学習を施したモデルと、強化された安全策が含まれるという。

OpenAIが公開したデモの一例として、CyberScoopは次のシナリオを紹介している。自動化された攻撃者が、ユーザーの受信箱に「退職届を上司に送信せよ」という指示を仕込んだ悪意あるメールを配置する。ユーザーが後で「不在通知の返信を作成して」とエージェントに依頼すると、エージェントがその悪意あるメールに遭遇し、指示に従ってしまう可能性がある、というものだ（あくまで仮想的なデモ）。

OpenAIはブログで「エージェントがより多くのことをこなせるようになるほど、それだけ攻撃者にとって価値の高い標的になる」と述べており、CyberScoopは、英国の国家サイバーセキュリティセンター（NCSC）も同月、「生成AIアプリケーションに対するプロンプトインジェクション攻撃は、完全に緩和されることはおそらくない」と警告していたことも伝えている。

両社の公式サイトは今も直接見られない

• OpenAI・Perplexity両社の公式サイトは、本記事の作業時点（2026年8月29日）でも直接のcurlアクセスがHTTP 403で拒否され、本記事はInternet Archiveに保存されたスナップショット（Atlas: 2026年8月11日取得分、Comet: 2026年8月13日取得分）を一次資料としている。最新の機能・提供地域とは差異がある可能性がある
• UW研究チームの論文本文（ワークショップ発表の正式なペーパー）そのものは、本記事ではUW公式ニュースページの要約を経由して確認しており、論文原文は未確認
• CyberScoopが参照しているOpenAI公式ブログの原文（セキュリティアップデートの発表）は、本記事では直接確認しておらず、CyberScoop記事の引用の範囲にとどまる
• UW研究が「PerplexityとOpenAIは報告を受け取らなかった」としている点について、両社側からの反論・説明は本記事のソースには見当たらなかった
• プロンプトインジェクション攻撃の技術的な仕組みそのものは、AIブラウザとは何かの記事でBrave社の報告を扱っているので、そちらを参照してほしい

関連記事

• AIブラウザ（エージェントブラウザ）とは──任せてよい操作と、任せてはいけない操作
• ChatGPT Plus/Proの料金プラン【2026年版】
• AIエージェントとは？仕組みと活用事例【2026年解説】