何が起きたか
LayerXの研究者は「BioShocking」と呼ぶ新しいプロンプトインジェクション手法を公表しました。攻撃サイトに埋め込まれたゲーム形式の指示文がAIブラウザに『BioShock』風の「別の現実」を受け入れさせ、2 + 2 = 5のような明らかに誤った命題や「Would you kindly」「victory is defeat」といったフレーズを通じて、安全ガードレールを段階的に無効化していきます。
最終ステップとして「コードテキストボックスの内容を指定URLに送信させる」という命令、すなわちユーザーの認証情報を窃取する動作を提示したところ、テストされたChatGPT Atlas、Comet、Fellou、Genspark、Sigma、Claude Chromeプラグインの6エージェント全てが、これをガードレール違反として認識できませんでした。
なぜ重要か
ジェイルブレイク自体はチャットボット時代からある古典的な問題です。しかしAIブラウザは、コンテンツの表示と「ユーザーに代わって行動する」機能をローカル環境で融合させている点で質的に異なります。従来ブラウザではsame-origin policyのような厳格な分離により、あるサイトが別のサイトやメールのデータを直接読むことはできませんでした。
この前提を壊すのが、AIエージェント特有の「制御プレーンとデータプレーンの融合」です。攻撃者がプロンプトインジェクションでAIを掌握できれば、ブラウザ内アシスタントに対して「アクセス可能なデータを渡せ」と指示するだけで、情報のサイロ化が崩壊します。
現時点の限界と今後の論点
LayerXのPoC自体は完成された攻撃ではなく、ゲームや指示文がユーザーの画面に見えてしまう（ステルス性がない）ことや、抜き取ったデータを遠隔に送信できるかが不明という制約があります。それでも、AIブラウザが個人情報や認証情報の新しい侵害経路になりうることを示した意義は大きく、ガードレールを回避する手法がまた一つ表面化したという事実は残ります。
💼 事業会社視点：これは自社にどう効くか
事業判断への含意
国内企業でChatGPT AtlasやCometなどのAIブラウザを業務端末に配布する動きが広がっていますが、経営者は「便利ツール」ではなく「同一プロセス内でメール・SaaS管理画面・社内DBに横断アクセスする権限を持つエージェント」として再定義すべきです。
とくに影響が大きいのは、SaaS事業者、EC事業者、そしてクライアント環境にAIブラウザを常駐させる受託開発・BPO業です。SaaS側は「same-origin policyを前提としたセッション管理」がAIブラウザ経由で骨抜きになるリスクを想定し、機微操作にステップアップ認証を必須化する検討が要ります。EC事業者は顧客サポート端末のAIブラウザから決済管理画面のトークンが漏れる経路を想定した棚卸しが必要です。受託開発企業は、納品先環境でのAIブラウザ利用可否を契約書レベルで整理しないと、後日責任の所在が曖昧になります。役員としては「AIブラウザは全社導入前に、権限分離とログ取得の標準を決める」ことを情シスに指示する局面です。
