概要
セキュリティ研究者のGal Weizman氏（Forever Security）が、単一の悪意ある拡張機能によって複数のブラウザに組み込まれたAIアシスタントをまとめて乗っ取れる新たな攻撃手法「BragJack」を実証した。標的となったのはGoogle ChromeのGemini Live、Microsoft Edge、Perplexity Comet、Opera Neon、そしてChrome上で動くAnthropicのClaudeという、5つのChromiumベースブラウザに搭載されたAIアシスタントで、悪用に成功するとローカルファイルの読み取り、閲覧履歴の取得、スクリーンショットの撮影、ブラウザのカメラやマイクへの潜在的なアクセスなどが可能になるという。この研究は結果として2万ドルを超えるバグ報奨金と2件のCVE採番につながった。
攻撃の仕組み
BragJackの核心は「Prompt Forcing」と呼ばれる技術にある。従来のプロンプトインジェクションが個別の指示を紛れ込ませるのに対し、Prompt Forcingでは攻撃者がエージェント全体に対してプロンプトとそれに続く一連の指示を与えられる点が異なる。具体的にはChromiumの宣言的ネットワークリクエスト（DNR）機能を悪用し、ネットワークリクエストの処理方法を書き換えることでセキュリティヘッダーを弱体化させたり、JavaScriptリソースをリダイレクトしたりする。
ブラウザごとに攻撃の切り口は異なっていた。Chromeでは、chrome://glicコンポーネントやGeminiのサイトへ直接コードを注入することはできなかったものの、埋め込まれたGeminiアプリが発するリクエストをインターセプトすることでセキュリティヘッダーを弱められた。Microsoft Edgeは「Think」モードと「Do」モードを分離することでこの種の攻撃への耐性を持たせていたが、Weizman氏はその分離処理にレース条件を発見し、制限を一時的に無効化することに成功した。特にPerplexity Cometのようなエージェント型ブラウザでは影響がより深刻で、エージェントに任意のウェブサイトへの訪問を強制し、受信メールを要約させたうえで結果を別のメールアドレスへ送信させる、といった一連の操作を自動的に実行させることも可能だったという。Opera Neonでも同様の脆弱性が確認されている。
報奨金とベンダーの対応
今回の研究では合計2万ドル超のバグ報奨金が支払われ、ベンダーごとの支払額は600ドルから最大7,000ドルの幅があった。発行されたCVEはChrome向けのCVE-2026-0628（報奨金7,000ドル）とMicrosoft Edge向けのCVE-2026-55945の2件で、ChromeとEdgeについては記事執筆時点で既にパッチが適用されている。一方、Perplexity、Opera、Anthropicについては対応状況が明記されておらず、引き続き注視が必要な状態にある。
過去の類似事例と今後の展望
記事は、ブラウザ組み込みAIエージェントを巡る同種の問題が過去にも指摘されてきた点を挙げている。2026年4月にはLayerXが「ClaudeBleed」と呼ばれる脆弱性を開示しており、これはClaude for Chromeが実際に動作を駆動しているスクリプトを検証せず、claude.aiというオリジンそのものを信頼してしまっていたことに起因していた。また2026年半ばにはManifold Securityが、拡張機能が実際のユーザー入力を確認しないまま合成クリックの上で組み込みAIワークフローを実行してしまう問題を報告しており、この不備は8回のリリースを経てもなお再現可能だったという。
ブラウザやエンドポイントアプリケーションへのAIエージェント搭載が急速に進む中、BragJackはこうした流れが抱える構造的なリスクを浮き彫りにする。これまで悪意ある拡張機能がアクセスできる範囲はウェブコンテンツ程度に限られていたが、AIエージェントが仲介役として組み込まれることで、ローカルファイルの読み取りや閲覧データへのアクセス、さらにはユーザーに代わってウェブサイト上で行動を起こすところまで攻撃の射程が広がりうる。専門家はブラウザを常に最新の状態に保ち、身に覚えのない、あるいは不要な拡張機能を削除し、「すべてのウェブサイトのすべてのデータを読み取りおよび変更」といった広範な権限を要求するプロンプトには特に注意を払うよう呼びかけている。