通常の拡張機能でブラウザ内AIを乗っ取る手法、セキュリティ企業が実証結果を公開

要点

• セキュリティ企業のForever Securityは、通常のブラウザ拡張機能を利用してChromiumベースの5製品に組み込まれたAIアシスタントを乗っ取る実証結果を公表した。

• 対象となったのはGoogle Chrome、Perplexity Comet、Microsoft Edge、Opera Neon、Claude in Chromeの5製品で、ユーザーのクリック操作なしでAI機能が悪用可能だった。

• 広告ブロッカー等で広く使われる2つの標準的な拡張機能権限を組み合わせ、AIが指示を受信する信頼済みWebページを乗っ取る手法が用いられた。

• 最も深刻な影響が確認されたCometではPC内ファイルの読み取りや閲覧履歴の漏洩が可能であり、ChromeやEdgeなど一部製品では修正パッチが提供されている。

• Forever Securityは5製品の脆弱性報告により、各社から合計で約2万ドル（製品ごとの内訳合算は2万500ドル）のバグ報奨金を獲得した。

• セキュリティ企業のForever Securityは2026年9月16日、一般的なブラウザ拡張機能を利用して、Chromiumベースの主要ブラウザやツールに組み込まれたAIアシスタントを不正操作できる実証結果を公開した。対象となったのはGoogle Chrome（Gemini Live）、Perplexity Comet、Microsoft Edge、Opera Neon、およびAnthropicの「Claude in Chrome」拡張機能の5製品だという。

• 今回の検証は研究環境で実施された概念実証（PoC）であり、実際の攻撃への悪用は確認されていないと説明されている。ただし、攻撃者が作成した拡張機能が被害者のブラウザにインストールされている場合、ユーザーによる追加のクリック操作なしに、AIエージェントの遠隔操作や端末内データの読み取りが行われるリスクがあったとしている。

信頼済みWebページを掌握する攻撃手法

Forever Securityの解説によると、検証対象となった各製品のAIアシスタントは共通の構造を持っているという。ブラウザ内には画面の把握、ファイル操作、カメラの制御、アクション実行などを担う「身体（body）」が存在し、外部サーバー上で動作して指示を出す「頭脳（brain）」と連携して動作する。このブラウザ内の「身体」は、Chromeの「gemini.google.com」やCometの「perplexity.ai」といった、事前に指定された信頼できる特定のWebページからのみ命令を受け付ける仕様となっていた。

通常、拡張機能にはブラウザ本体を直接制御する権限はなく、Webページの内容を変更する機能にとどまる。しかし研究チームは、AIの「身体」が命令を受信する信頼済みWebページそのものを拡張機能によって掌握し、そのページを経由してAIへ独自の指示を送り込む手法を構築した。

この攻撃に必要とされたのは、広告ブロッカーなどで広く使われている「Webページを変更する権限」と、ブラウザの通信を制御する「declarativeNetRequest（通信内容を変更するAPI）」の2つの一般的な権限のみだったという。これらを組み合わせることで信頼済みページ内に独自のコードを挿入し、正規のベンダーになりすましてAIアシスタントへコマンドを送信することが可能になったと説明している。

各製品における影響と脆弱性の対応状況

Forever Securityが報告した各製品への影響および対応状況は以下の通りである。

Google Chrome

Chromeの検証事例は、同社の研究員であるGal Weizman氏が2026年3月に「GlicJack」として公表した既知の内容に基づく。Googleは2026年1月初旬に公開したバージョン143.0.7499.192で修正済みである。本脆弱性は「CVE-2026-0628」として登録されており、米サイバーセキュリティ・インフラセキュリティ庁（CISA）により10点満点中8.8の高深刻度スコアが設定されている。実証では、ローカルファイルの読み取り、カメラおよびマイクの起動、ブラウザプロファイルの漏洩、スクリーンショット撮影が可能であったとされている。なお、AIエージェント自体の任意操作は対象外だった。報奨金は7,000ドルが支払われている。

Perplexity Comet

Perplexityが開発したCometは、全機能がAI駆動型として設計されたブラウザであるため、エージェントが広範な権限を持っていたことから、研究チームは「最悪のケース（worst case）」と評価している。乗っ取りが成功した場合、端末内の任意ファイルの読み取り、閲覧履歴の一覧取得、スクリーンショット撮影、ユーザーになりすました操作などが可能な状態にあったという。Perplexityはメインページへの拡張機能アクセスを制限していたが、保護が不十分だったテスト用アドレス「testing.perplexity.com」の隙を突いて侵入されたとしている。本件に関するCVEは割り当てられていないが、7,000ドルの報奨金が支払われた。

Microsoft Edge

Edgeは侵入の難易度が最も高かったとされている。Microsoft側で拡張機能による介入を防ぐ対策が講じられていたため、研究チームは2つの弱点を組み合わせて突破した。AIへプロンプト送信が許可されていたマーケティング用ページを掌握し、さらに競合状態（処理のタイミングが重なることで予期せぬ動作が生じる不具合）を利用してエージェントを切り替えたという。Microsoftは2026年7月2日リリースのバージョン150.0.4078.48で修正しており、「CVE-2026-55945」（深刻度4.2）が割り当てられている。実証ではAIエージェントの操作が可能であることが確認され、報奨金は5,000ドルだった。

Opera Neon および Claude in Chrome

Opera NeonにおいてもクリックなしでAIエージェントを操作できる脆弱性が確認され、900ドルの報奨金が支払われた（CVEはなし）。

一方、Anthropicが提供する「Claude in Chrome」について、Forever Securityは「ブラウザそのものではなく拡張機能であるため、拡張機能が別の拡張機能を悪用する構造に過ぎない」として、今回の研究の中で最も影響が軽微な事例と位置づけている。Anthropicは本件を「中程度（medium）」の深刻度と評価し、同社を最初の報告者として認定して600ドルの報奨金を支払った。なお、Claude in Chromeに関連しては、2026年4月にセキュリティ企業LayerXが「ClaudeBleed」と呼ばれる欠陥を指摘し、同年7月にもManifold Securityが同様の脆弱性の残存を報告していた。

機能別の悪用可否と報奨金一覧

Forever Securityが公表した、各製品における実証結果の機能別影響一覧は以下の通りである。

影響・機能項目	Chrome	Comet	Edge	Opera Neon	Claude in Chrome
ローカルファイルの読み取り	可能	可能	不可	不可	不可
カメラ・マイクの起動	可能	不可	不可	不可	不可
AIエージェントの操作	不可	可能	可能	可能	可能
ブラウザプロファイルの漏洩	可能	可能	不可	不可	不可
閲覧履歴の漏洩	不可	可能	不可	不可	不可
スクリーンショット撮影	可能	可能	不可	不可	不可
ユーザーのクリック操作	不要	不要	不要	不要	不要
CVE番号	CVE-2026-0628	なし	CVE-2026-55945	なし	なし
獲得報奨金	7,000ドル	7,000ドル	5,000ドル	900ドル	600ドル

研究チームが獲得したバグ報奨金の総額は、各社への報告を合わせて約2万ドル（内訳合算では2万500ドル）に達した。今回の検証結果は、ブラウザに統合されたAIアシスタント機能とWeb拡張機能の権限モデルが組み合わさることで生じる脆弱性の実態を示している。