ネットバンキングにログインしたまま別の作業を続ける行為がどこまで危険かを確かめるため、研究チームが「ChatGPT Atlas」などAIブラウザや関連するブラウザ拡張機能7種を調査した。その結果、4種で、悪意ある攻撃者がブラウザの基本的なセキュリティ機構である「同一オリジンポリシー（Same-Origin Policy）」を回避できる攻撃経路が確認された。
事案の詳細
調査対象は、ChatGPT Atlas、Chrome with Gemini、Claude for Chrome、Perplexity Comet、Edge with CoPilot、Brave Leo AI、Firefox AI Modeの7種。AI機能を備えたブラウザや、それに類するブラウザ拡張機能が、ユーザーのログイン状態や閲覧中のページ情報をどのように扱うかが調べられた。
攻撃経路が確認されたのは、ChatGPT Atlasのエージェントモード、Chrome with Gemini、Claude for Chrome、Perplexity Cometの4種だった。これらでは、Webページ内に広告などとして埋め込まれた別サイトの枠であるiframeの内容までAIエージェントが読み取る挙動が確認された。
通常、ブラウザは同一オリジンポリシーによって、異なるサイト間のデータ読み取りを厳しく制限している。しかし、確認されたAIエージェントでは、その境界を越えてページ本体とiframeの双方を参照できる場合があった。これにより、ネットバンキングなど別サイトでログイン中の情報を、悪意あるWebページを起点に読み取られる可能性が生じる。
さらに、ChatGPT AtlasのエージェントモードとClaudeでは、画面上では伏せ字になっているパスワード欄についても、ページ内部のDOMに保持された文字列を直接読み取れることが確認された。ブラウザ拡張機能として動作するClaudeには、別サイトのiframe内を含め、任意のJavaScriptを注入・実行できる強い権限も確認された。
想定される悪用は、情報を読み取って盗み出すことに限られない。攻撃者がユーザーになりすまし、別サイト上でフォームへの入力・送信や投稿などの操作を実行させる経路もある。個別の金融機関や口座で実際に被害が発生したかどうかは、現時点で確認できない。
この調査は、米ワシントン大学のFranziska Roesner氏とDavid Kohlbrenner氏による論文「Agentic Browsers and the Same-Origin Policy」として、2026年春に発表されたもの（ICLR 2026のワークショップで発表）。ITmedia NEWSによると、研究チームの報告に対し、Google、Microsoft、Braveは回答したが、AnthropicとFirefoxからは返答がなく、PerplexityとOpenAIは報告書の受け取りを辞退した。なお、OpenAIは2026年7月にChatGPT Atlasの提供終了を発表しており、現在は同ブラウザを使い続けることはできない。ただし、AIエージェントにページの読み取りや操作を任せる仕組みは他の製品にも広がっており、指摘された設計上の問題は引き続き重要である。
影響と背景
ネットバンキングは、個人や企業の資金移動に直結するため、ログイン状態の管理が重要な領域だ。AIブラウザやAIエージェントは、ユーザーの代わりに複数のWebページを読み取り、入力や操作を実行できる一方、従来のブラウザが前提としてきたサイト間の境界を越えて情報を扱う場合がある。
今回の調査は、単一製品だけの問題ではなく、AI機能をブラウザや拡張機能に組み込む設計全体に関わるリスクを示している。特に、ネットバンキングにログインしたまま、信頼できないページを閲覧したり、AIエージェントに作業を依頼したりする場合、ログイン情報の読み取りや、本人に代わる操作につながる可能性がある。
対策・今後の展望
- 高機密の作業は分離する：ネットバンキングなど重要なログインを伴う操作は、AIブラウザやAI拡張機能を利用する環境と分け、専用のブラウザ、端末、プロファイルなどで行う。
- 作業が終わったらログアウトする：離席や別タスクに移る前にログアウトし、不要なログインセッションを残さない。金融機関が提供する多要素認証や取引通知も有効にする。
- AIブラウザの利用ルールを決める：業務でAIブラウザやブラウザ拡張機能を使う場合、金融系サイトや機密情報を扱うサイトでの利用を制限し、導入前に権限と動作を確認する。
- AIエージェントの権限を最小化する：不要な拡張機能を無効化し、ページの読み取り、JavaScriptの実行、フォーム送信などの権限を必要最小限に抑える。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】ネットバンキングを日常業務で使う場合、ログインしたまま同じブラウザでメールやWeb検索などを続ける運用が起こり得ます。今回の調査結果を踏まえると、AIブラウザや関連拡張機能が有効な環境では、ログイン済みセッションの情報が読み取られたり、ユーザーに代わる操作に悪用されたりするリスクを考慮する必要があります。
【観点②：セキュリティ専門家でない人への平易な解説】例えるなら、金庫の鍵を差したまま席を離れ、別の用事をしているようなものです。AIエージェントにページを読ませたり操作を任せたりすると、別のWebページに埋め込まれた内容まで扱われ、金庫の中身を見られたり、本人の代わりに操作されたりする余地が生じます。
【観点③：中小企業が今週中にできること】まず経理担当者のPCで、ネットバンキングを開いたまま別作業をしていないか確認し、終業時は必ずログアウトする運用に変えます。次に、AIブラウザや関連拡張機能を使う部署へ、金融系サイトでは利用しない方針を周知します。例外を認める場合は、利用する製品の権限や動作を確認したうえで、上長または管理部門の承認制にします。
参照: UW News（ワシントン大学） ／ ネットバンキングにログインしたまま別作業は危険？ 「ChatGPT Atlas」などのAIブラウザ7種でデータ窃取を検証