2026年ラスベガスのBlack Hat USAカンファレンスで、セキュリティ研究機関Zenity Labsが警告すべき発見を発表しました：攻撃者は巧妙に構成されたメール、カレンダーの招待、またはソーシャルメディアの投稿を1つ送信するだけで、ユーザーの何のインタラクションも必要とせずに、市場で最も主流なAIブラウザを完全にハイジャックできるというものです。影響を受けるプラットフォームには、Claude（Chrome版）、Gemini（Chrome版）、Perplexity Comet、ChatGPT Atlas、Microsoft Copilot Edgeが含まれます。
この脆弱性のタイプは、Zenityによって「PleaseFix」と名付けられました。
AIブラウザのコア機能は、内蔵されたAIアシスタントがユーザーのためにページを読み、タブを開き、フォームを記入し、さらにはクリックを実行することです。しかし、これが脆弱性の根源でもあります。Zenityはこの攻撃手法を「意図の衝突」（Intent Collision）と呼んでいます。AIアシスタントは、ユーザーが発した指示と、タスクを実行する過程で読み取った内容を区別できません。攻撃者は悪意のある指示をメール、カレンダーの招待、またはウェブページの普通のテキストに隠すだけで、AIアシスタントはこれらの外部指示をユーザーのリクエストの一部と誤認し、ユーザーのログイン資格情報、権限、アカウントを使用して実行してしまいます。
Zenity Labsが明らかにした攻撃経路は衝撃的
Zenity Labsの現場デモでは、衝撃的な攻撃経路が明らかにされました：Claude（Chrome版）：巧妙に構成されたメールとユーザーの「受信箱を要約してください」という日常的なリクエストを組み合わせることで、Gmailの内容が盗まれ、Google Drive全体が攻撃者に静かに共有され、Slack、X、Claudeアカウントが完全に乗っ取られます。Claudeの「セキュリティモード」でも、AIが操作を実行する前にユーザーに確認を求めるモードであっても、攻撃は成功します。
Perplexity Comet：一見正常な会議カレンダーの招待だけで攻撃がトリガーされ、クリックは不要です。AIアシスタントはローカルファイルシステムにアクセスし、ロックされていない1Password拡張機能を利用して、攻撃者はユーザーのパスワードライブラリ全体を取得し、ユーザーを締め出しました。ChatGPT Atlas：人気のソーシャルメディア投稿の下にある普通のリンクがワークフローをハイジャックし、被害者自身のWhatsAppアカウントを通じてフィッシングメッセージを送信します。別のデモでは、Atlasが被害者のAmazonショッピングカートを攻撃者の住所に置き換えました；OpenAIのセキュリティバリアがチェックアウトを阻止すると、AtlasはAmazonのAIアシスタントRufusを呼び出し、
被害者のクレジットカードを使用して注文を完了しました。
Gemini（Chrome版）とCopilot Edge：攻撃者がローカルホスト（localhost）領域に入ると、Geminiは被害者のAWSアカウント内のオンラインサーバーを削除するために使用され、Copilot EdgeはSQLデータベース全体を破壊しました。ローカルホスト領域、つまり開発者ツール、データベースコントロールパネルなどのプログラムがユーザーのマシン上で直接実行される領域では、攻撃がさらに深刻です。CometはローカルにインストールされたAIツールOllamaとOpen WebUIを通じて逆シェルを構築し、コンピュータ全体のリモートコントロールを実現しました。
さらに、Zenityは「HistoryFix」と呼ばれる技術も明らかにしました。16年間存在するブラウザの脆弱性を利用して、攻撃者はブラウジング履歴に虚偽のエントリを埋め込むことができます。AIアシスタントはその後の読み取り時にこれらの虚偽の情報をユーザーに関する事実として扱い、これらのエントリは手動で履歴を消去しない限り永遠に期限切れになりません。Zenity Labsは、上記の発見をAnthropic、Perplexity、Google、Microsoft、OpenAIに事前に通知しました。
一部の企業は修正パッチをリリースしましたが、すべての影響を受けたプラットフォームが修正を完了したわけではありません。