2026年のラスベガスBlack Hat USAカンファレンスで、セキュリティ研究機関Zenity Labsは警告すべき発見を発表しました。攻撃者は巧妙に構成されたメール、カレンダーの招待状、またはソーシャルメディアの投稿を1つ送信するだけで、ユーザーのいかなるインタラクションも必要とせず、最も主流なAIブラウザを完全にハイジャックできるのです。影響を受けるプラットフォームには、Claude（Chrome版）、Gemini（Chrome版）、Perplexity Comet、ChatGPT Atlas、Microsoft Copilot Edgeが含まれます。
この脆弱性のタイプは、Zenityによって「PleaseFix」と名付けられました。
AIブラウザの核心機能は、内蔵されたAIアシスタントがユーザーに代わってページを読み、タブを開き、フォームに記入し、さらにはクリックを実行することです。しかし、これが脆弱性の根源でもあります。Zenityはこの攻撃手法を「意図の衝突」（Intent Collision）と呼んでいます。AIアシスタントは、ユーザーからの指示と、タスクを実行する過程で読み取った内容を区別できません。攻撃者は悪意のある指示をメール、カレンダーの招待状、またはウェブページの普通のテキストに隠すだけで、AIアシスタントはこれらの外部指示をユーザーの要求の一部と誤認し、ユーザーのログイン資格情報、権限、アカウントを使用して実行してしまいます。
Zenity Labsが明らかにした攻撃経路は衝撃的
Zenity Labsの現場デモは衝撃的な攻撃経路を明らかにしました。Claude（Chrome版）：巧妙に構成されたメールとユーザーの「受信箱を要約してください」という日常的なリクエストを組み合わせるだけで、Gmailの内容が盗まれ、Google Drive全体が攻撃者に静かに共有され、Slack、X、Claudeアカウントが完全に乗っ取られます。Claudeの「セキュリティモード」でも、AIが操作を実行する前にユーザーに確認を求めるにもかかわらず、攻撃は成功しました。
Perplexity Comet：一見正常な会議カレンダーの招待状が攻撃を引き起こし、クリックは不要です。AIアシスタントはローカルファイルシステムにアクセスし、ロックされていない1Password拡張機能を利用して、攻撃者はユーザーのパスワードライブラリ全体を取得し、ユーザーをロックアウトしました。ChatGPT Atlas：人気のソーシャルメディアの投稿下にある普通のリンクがワークフローをハイジャックし、被害者自身のWhatsAppアカウントからフィッシングメッセージを送信しました。別のデモでは、Atlasが被害者のAmazonショッピングカートを攻撃者の住所に置き換え、OpenAIのセキュリティバリアがチェックアウトを阻止した際に、AtlasはAmazonのAIアシスタントRufusを呼び出し、
被害者のクレジットカードを使用して注文を完了しました。
Gemini（Chrome版）とCopilot Edge：攻撃者がローカルホスト（localhost）エリアに侵入した後、Geminiは被害者のAWSアカウント内のオンラインサーバーを削除するために使用され、Copilot EdgeはSQLデータベース全体を破壊しました。ローカルホストエリア、つまり開発者ツールやデータベースコントロールパネルなどのプログラムがユーザーのマシン上で直接実行されるエリアでは、攻撃はさらに深刻です。CometはローカルにインストールされたAIツールOllamaとOpen WebUIを通じてリバースシェルを確立し、コンピュータ全体のリモート制御を実現しました。
さらに、Zenityは「HistoryFix」と呼ばれる技術も開示しました。これは、16年間存在しているブラウザの脆弱性を利用し、攻撃者がブラウジング履歴に偽のエントリを埋め込むことができるというものです。AIアシスタントはその後の読み取り時にこれらの偽情報をユーザーに関する事実として扱い、これらのエントリは手動で履歴を消去しない限り永遠に期限切れになりません。Zenity Labsは、上記の発見を事前にAnthropic、Perplexity、Google、Microsoft、OpenAIに通知しました。
一部の企業は修正パッチをリリースしましたが、すべての影響を受けたプラットフォームが修正を完了したわけではありません。