BragJack、1つの不正拡張機能がAIブラウザーエージェントを誘導し得ることを示す

Forever Securityのセキュリティ研究者Gal Weizman氏による研究プロジェクト「BragJack」は、よくある前提から始まるブラウザーエージェントのリスクを示している。その前提とは、不正な拡張機能がまずインストールされていなければならない、というものだ。インストール後に変わるのは、影響範囲である。デモでは、Chromeまたは他の対応ブラウザー環境にいったん存在する1つの拡張機能が、複数のAIブラウジングエージェントを誘導し、場合によってはユーザーによる追加クリックなしに動作を引き起こし得ることが示された。

チャットボットへのプロンプトからブラウザー制御へ

この研究は、Chrome上のGemini Live、Perplexity Comet、Microsoft Edge、Opera Neon、Chrome上のClaudeを対象に実演された。この一覧が重要なのは、問題が1つのアシスタントにおける単一の欠陥として提示されているわけではないためだ。AIブラウジングエージェント、ブラウザーの画面や機能、拡張機能の仕組みが交差するところに現れるパターンである。ブラウザーが共有環境となり、拡張機能は攻撃者がエージェントの見るものや行うことに影響を与えられる位置になる。

この区別は分析の中心にある。通常のプロンプトインジェクションは一般に、ページ本文などモデルが読み取る場所に悪意ある指示が置かれていることに依存する。BragJackは「Prompt Forcing」と呼ばれる手法を用いており、研究ではこれを通常のプロンプトインジェクションとは分けている。要点は、単にテキスト内へ指示を隠すことだけではなく、ブラウザーレベルの操作を用いて、制御された環境の中をAIエージェントに進ませることにある。

研究で説明された技術的な仕組みには、宣言型ネットワークリクエストルールが含まれる。これらのルールは、セキュリティヘッダーやリダイレクトを変更するために使える。実務上は、AIエージェントが結果として表示されるページやワークフローを解釈する前に、拡張機能がブラウザー通信やブラウザー保護の振る舞いを変えられることを意味する。その結果、エージェントは不正拡張機能によってすでに形作られたページ状態に基づいて行動する可能性がある。

デモで示されたこと

実演された影響には、ローカルファイルや履歴の読み取り、スクリーンショットの取得、さらにカメラやマイクに到達する可能性が含まれていた。これらはブラウザーおよびデバイス上の高感度な領域であり、デモに含まれていたことは、この研究が理論上のプロンプト操作にとどまらない理由を説明している。問題は、不正な拡張機能がアクセス、文脈、または流れに関する前提を変え得る環境で、AIブラウザーエージェントが動作することにある。

Perplexity Cometのあるデモでは、メールを要約している間に情報が外部へ持ち出された。このシナリオは、日常的なAIタスクとブラウザーレベルの干渉を組み合わせることの実務上のリスクを示している。ユーザーに見えている目的は単純で、エージェントにメールの要約を依頼することだ。しかし隠れた結果は異なる。情報が想定された文脈の外へ出ていく。提供された事実は、実運用環境でこれがどの程度広く起こり得るかを数量化していないが、デモは、明示された条件下でこの攻撃類型が実行可能であることを示している。

Microsoft EdgeのThink-and-Doの例では、競合状態が悪用された。この点は、挙動が静的なコンテンツ操作に限定されないことを示すため、研究に別の側面を加えている。AIブラウジングエージェントがブラウザーのワークフローを通じて動作する場合、タイミングと実行順序が重要になり得る。そのような場合、攻撃対象領域には、エージェントが何を読むかだけでなく、ブラウザーとエージェントが特定の手順をいつ実行するかも含まれる。

報告では、不正な拡張機能がインストールされた後、追加クリックなしに一部の動作が起こり得るともされている。これは、最初のインストール要件を取り除くものではなく、その要件は重要な制約として残る。しかし侵害後のユーザー操作モデルは変わる。ユーザーは、危険は動作を繰り返し承認することに依存すると考えるかもしれないが、研究は、インストール済み拡張機能が追加操作を必ずしも必要としない条件を作り出せることを示している。

報奨金の数字が示すこと

この研究は、合計で20,000ドルを超える報奨金を生み、個別の報奨額は600ドルから7,000ドルだった。これらの数字が証明しているのは、報告を受けた当事者が、少なくとも一部の発見を自社プログラムの下で有効と扱い、報奨に値すると判断したことだ。また、この研究が単一の孤立した報告ではなく、複数の金額帯にわたる複数の報奨を受けるだけの一連の問題であったことも示している。

一方で、これらの金額は、実際の攻撃現場での広がり、大規模なユーザー露出、またはすべてのAIブラウジングエージェントが同じように影響を受けることを証明するものではない。バグ報奨金の額は、悪用頻度の測定値ではない。また、すべてのベンダーや文脈にまたがる標準化された深刻度尺度でもない。600ドルの報奨と7,000ドルの報奨は、プログラムの規則、影響評価、再現の詳細、ベンダーの対象範囲を反映し得るものであり、それらを単一のリスクスコアにまとめるべきではない。

この研究には、CVE-2026-0628とCVE-2026-55945が含まれる。CVEが割り当てられることには意味がある。BragJackというより広い概念とは別に追跡できる識別子が、特定の報告済み問題に与えられるためだ。ただし、それ自体は、デモで名前が挙がったすべてのエージェントに同じ脆弱性が存在することを意味しない。より強い結論は、より狭い範囲のものになる。つまり、拡張機能に起因するブラウザーエージェントの悪用に関する広範な調査の一部として、特定の問題が特定され、報告され、カタログ化されたということだ。

修正と実務上の含意

GoogleとMicrosoftは、報告された問題を修正した。これは、研究上の主張とベンダーの対応を区別するうえで重要である。修正は報告された問題に適用されるものであり、拡張機能に起因するあらゆるPrompt Forcingシナリオに必ず適用されるわけではない。ここで利用できる事実は、名前の挙がったすべての製品による修正を説明しておらず、より広い類型が排除されたとも述べていない。実務上の含意は、ブラウザーエージェントのセキュリティを、モデルのアラインメント問題としてだけ扱うことはできないという点にある。

ユーザーや組織にとって、最も直接的な教訓はインストール済み拡張機能に関するものだ。BragJackは不正な拡張機能がインストールされていることを必要とするため、最初の信頼判断は引き続き重要である。しかし、その条件が満たされると、エージェントは攻撃者が影響を与えられるブラウザー文脈の中で動作する可能性がある。これによりリスクの見積もりは変わる。拡張機能は単なるブラウザーインターフェースへの追加要素ではなく、AI支援ブラウジングの振る舞いに対する制御点になり得る。

開発者やプラットフォーム担当チームにとって、この研究は、拡張機能の権限、ブラウザーのセキュリティヘッダー、リダイレクト、エージェントの自律性の境界を指し示している。AIブラウジングエージェントはウェブコンテンツを横断して読み取り、要約し、動作するよう設計されている。しかしBragJackは、エージェントが応答する前に、ウェブコンテンツとブラウザー状態が拡張機能によって能動的に形作られ得ることを示している。したがってセキュリティ設計では、ユーザーが何を求めたのか、エージェントが何を推論したのか、そしてブラウザー環境が何を提示するよう操作されたのかを分けて扱う必要がある。

BragJackが浮き彫りにした主な変化は、ブラウザー拡張機能が悪意を持ち得るということではない。その前提は攻撃要件そのものによって確立されている。変化は、AIブラウジングエージェントが、ブラウザーレベルの操作に対し、新たに結果へつながる経路を与えることにある。1つのインストール済み拡張機能が複数のエージェントに影響を与え得るうえ、デモはデータアクセスからワークフロー悪用までの効果を示している。この研究は普遍的な侵害を証明していないが、拡張機能への信頼、ブラウザーによる仲介、AIエージェントの動作を合わせて評価する必要がある理由を示している。