AIブラウザは危険か、7種の検証結果と会社で線を引く3つのルール
社員のブラウザに、いつの間にかAIの機能が入っていた。そう気づいて、このまま使わせてよいのか迷っていないでしょうか。
上司から「うちは止めたほうがいいのか？」と聞かれ、何を根拠に答えればよいか分からない方もいるはずです。ChatGPT AtlasやCometの名前は聞くものの、どこが危ないのかまでは調べきれていない、ということもあるでしょう。
判断の手がかりは、ワシントン大学が7製品を同じ条件で試した検証にあります。読み終えるころには、上司に答えるための社内ルールの案まで手元にそろいます。
AIブラウザの何が危険なのか、入力よりも「ログイン中の画面を読めること」
ふつうのAIチャットと、代わりに操作するAIブラウザの違い
AIブラウザで危ないのは、AIに何を入力したかよりも、AIが画面の何を読めるかです。ふつうのAIチャットとは、AIに見えている範囲がまるで違います。
| 比べる点 | ふつうのAIチャット | AIブラウザ |
|---|---|---|
| AIが読むもの | 自分が貼った文章 | 開いている画面全体 |
| AIがすること | 答えを返すだけ | クリックや入力まで代わりにやる |
つまり、ふつうのAIチャットが渡した書類だけを読む相談相手なら、AIブラウザは机の上の書類を全部見て、手続きまで進める代理の担当者です。「機密を入力しない」という従来の注意だけでは足りません。2026年1月下旬〜2月上旬の検証では、7製品中7製品で、AIがログインした状態の画面をそのまま読んでいました（ChatGPT Atlasはログイン状態に切り替えた場合。ワシントン大学）。
隠れた指示で、ほかのタブや伏せ字のパスワードまで読まれる
狙われるのは、Webページの見えない場所に書いた指示でAIを操る攻撃です。プロンプトインジェクション[1]と呼ばれています。
ふつうのブラウザには、サイトごとに情報を分けて互いに見せない決まり（同一オリジンポリシー[2]）があります。部署ごとに鍵付きの書類棚を分け、ほかの部署の棚は開けられないようにしているのと同じです。1995年の導入から約30年、ブラウザの守りの土台になってきました（ワシントン大学 UW News）。
AIブラウザでは、ニュースサイトの広告枠に埋め込まれた別のサイトの画面のように、AIがこの決まりの外から両方を読めてしまう場合があります。研究者はこれを「ブラウザのセキュリティにとって大きな後退」と述べました。
さらに、画面では伏せ字のパスワードも、画面の裏側にある元のデータから読めてしまった製品が7製品中2製品ありました（ワシントン大学）。「●●●●と表示されているから大丈夫」とは言えないのです。
盗まれる、なりすまされる、偽の情報を覚えさせられる
論文は、ここから起こりうる被害を3つ挙げています。
- 盗まれる：ログイン中の別サイトの中身を、攻撃者のフォームへ送られる。ChatGPT Atlasのエージェントモード[3]では実際に成功した
- なりすまされる：本人として、別サイトのフォームに入力・送信される
- 偽の情報を覚えさせられる：偽の銀行サイトの連絡先を覚え、後で銀行の電話番号を聞くと偽の番号を答える
3つ目は、隠れた指示がうまく効かなくても起こります。AIが読んだ偽のページの内容が、後の答えに混ざるからです。
ChatGPT AtlasやCometは危険なのか、AIブラウザ7種の検証結果
仕組みが分かると、次に気になるのは「うちの社員が使っている製品はどうなのか？」ではないでしょうか。
どの製品で何が読めたのか
ワシントン大学の研究チームは、2026年1月下旬〜2月上旬に7製品のその時点の最新版を検証し、2026年4月に発表しました（ワシントン大学）。開発元の対応は、2026年6月30日時点の大学の発表によります（ワシントン大学 UW News）。
| 製品 | ほかのサイトの埋め込み枠を読めたか | 伏せ字のパスワードを読めたか | 開発元の対応 |
|---|---|---|---|
| ChatGPT Atlas（エージェントモード） | 読めた | 読めた（ログイン状態のとき） | 報告の受け取りを断った |
| Gemini in Chrome | 読めた | 読まなかった | 返答した |
| Claude for Chrome | 読めた | 読めた | 返答しなかった |
| Perplexity Comet | 読めた | 読まなかった | 報告の受け取りを断った |
| Copilot in Edge | 読まなかった | 読まなかった | 返答した |
| Brave Leo AI | 読まなかった | 読まなかった | 返答した |
| Firefox AI Mode | 読まなかった | 読まなかった | 返答しなかった |
つまり、ほかのサイトの埋め込み枠を読めたのは7製品中4製品です。外へ送る窃取まで実際に成功したのはAtlasで、残る3製品は隠れた指示が効けば攻撃が成り立つ条件がそろっていました。
いちばん危険が小さかったのはFirefox AI Modeでしたが、できることもいちばん少ない製品でした。社員が使っている製品を、この表で照らし合わせてください。
開発元の対応と、提供を終えたChatGPT Atlas
研究チームは発表より60日以上前に、すべての開発元へ結果を伝えていました（ワシントン大学）。それでも、返答した3社、返答しなかった2社、受け取りを断った2社と、対応は分かれています（ワシントン大学 UW News）。
「Atlasがもう無いなら、気にしなくていいのでは？」
Atlasは2026年8月に提供を終えました（ITmedia NEWS）。一方でOpenAIは、Chromeのサイドバー[4]でChatGPTを使える拡張機能を更新しています（2026年7月10日の報道、The Decoder）。ChatGPTがブラウザの画面を読む使い方は、Atlasが無くなっても続いているのです。
表で「読まなかった」が並ぶ製品も、それだけで安全とは限りません。Copilot in Edgeは、7製品で唯一、ほかのサイトの複数のタブを許可なく同時に読んでいました（ワシントン大学）。
危ないのは、AIがログイン中の画面を読み、代わりに操作できる仕組みそのものです。製品を選び直すだけでは守りきれません。
AIブラウザは会社で禁止すべきか、IT担当がいなくても線を引ける3つのルール
製品選びだけで守れないなら、会社としてはどこで線を引けばよいのでしょうか。
全面禁止にすると、隠れて使われる
「いっそ全部止めてしまえば安心では？」
そう考えたくなるのは自然です。ただし全面禁止にすると、調べものや要約に使っていた業務が止まります。私物のスマホや個人のアカウントで隠れて使われれば、総務からは何も見えなくなります。
止めるか許すかの二択にせず、作業・画面・部署の3つで範囲を決めて許可してください。そのほうが、総務が使い方を把握したまま守れます。
使ってよい作業は、AIに読ませるだけのもの
社員に伝えるときは、作業を3つに分けると迷いません。
| 作業の種類 | 例 | 扱い |
|---|---|---|
| 読むだけ | 公開ページの要約、調べもの | 使ってよい |
| 内容を変える | フォームへの入力、文書の書き換え | 原則させない。使うなら実行前に人が確かめる |
| 外へ送る | 送信、購入、投稿 | AIにさせない |
つまり、許すのは「読むだけ」の作業です。内容を変える作業をどうしても使うなら、実行の前に必ず人が画面で確かめてください。
とはいえ、人の確認だけに頼ることもできません。論文は、確認画面が続くと慣れて押すだけになるという過去の研究を挙げ、利用者の確認だけには頼れないとしています（ワシントン大学）。開発元のAnthropicも、Claude Opus 4.8を使った社内試験で、隠れた指示による攻撃の成功率は0.08%未満だがゼロではないと書いています（提供元であるAnthropic社の発表、Anthropic）。確認が要る作業そのものを増やさないことが大切です。
ログインしたまま開かない画面を名指しする
「大事な画面には気をつけて」では、社員は何を避ければよいか分かりません。ルール文には、画面の名前をそのまま書いてください。
- ネットバンキング
- 会計ソフト
- 給与・人事のシステム
- 社内のメール
- 顧客情報のある管理画面
AIの機能を使うときは、これらのタブを閉じるか、ログアウトしてから使います。研究者のKohlbrenner氏も、AIがメールや銀行のアカウントにアクセスできる状態なら、詳しい人でも「これらの仕組みが情報を本当に守れる段階にあると信じるべきではない」と述べています（ワシントン大学 UW News）。
経理や人事など、使わせない部署の決め方
基準は、ネットバンキング・給与・個人情報を毎日扱うかどうかです。経理、人事、そしてルールを作る総務自身が当てはまります。毎日扱う部署ほど、タブを閉じ忘れる機会も多くなるからです。
社内通知の文面は、たとえば次の5行から書き始めてください。
- ブラウザのAI機能は、公開されているページの要約と調べものに使ってよい
- ネットバンキング、会計ソフト、給与・人事のシステム、社内メール、顧客の管理画面にログインしたまま、AI機能を使わない
- AIに送信・購入・投稿・フォーム入力をさせない
- 経理・人事・総務は、業務用のブラウザでAI機能を使わない
- 迷ったときは、総務の〇〇さんに相談する
設定を一括で管理する仕組みが無くても、この通知と一人ひとりの守りで運用を始められます。
AIブラウザの社内ルールを決めるなら、何から始めるか
ここまで読んで、上司の「うちは止めたほうがいいのか？」にどう答えるか、見えてきたのではないでしょうか。いまなら「止めずに、作業・画面・部署で線を引きます」と答えられます。あとは、社内で形にする順番を決めるだけです。
ステップ1：社員が使っているAI機能を聞き取る
全員に、どのブラウザのどのAI機能を、何の作業に使っているかを聞いてください。Chromeの右上のGemini、EdgeのサイドバーのCopilot、Cometのように見分け方を添えると、答えやすくなります。
ステップ2：検証の表と照らして上司に報告する
聞き取った製品を、7製品の検証の表と照らし合わせます。上司には「止めるのではなく、作業・画面・部署で線を引く」と報告し、ルール文の案を添えましょう。
ステップ3：ルール文を自社向けに書き換えて通知する
前の節の5行を、自社で使っている画面の名前と部署名に書き換えて通知します。相談先には、総務の担当者の名前を入れてください。
検証では、7製品中4製品がほかのサイトの埋め込み枠を読めました（ワシントン大学）。守りを決めるのは製品選びよりも、ログイン中の画面にAIを近づけない使い方の線です。まずは社員への聞き取りから始めてください。
用語の注釈
- プロンプトインジェクション Webページなどに隠した指示文で、利用者が頼んでいない動きをAIにさせる攻撃です。AIは読んだ文章と指示を区別しきれないことがあります。 ↩
- 同一オリジンポリシー あるサイトから別のサイトの中身を読めないように、ブラウザが分けておく決まりです。ログイン中の銀行の画面をほかのサイトから覗けないのは、この決まりがあるためです。 ↩
- エージェントモード ChatGPT Atlasで、AIがクリックや入力などの操作を利用者の代わりに行う使い方です。 ↩
- サイドバー ブラウザの画面の端に開く細長い欄です。ページを見ながらAIとやりとりできます。 ↩
- ブラウザプロファイル 同じブラウザの中で、ログイン状態やブックマークを分けて持てる区画です。仕事用と私用のように切り替えて使えます。 ↩