暮らしと仕事の「？」を調べてみた｜まいぷれ東村山・小平・東大和編集部

AIにページを読ませただけなのに、アクセス権限を勝手に承認？73回の安全性実験を検証

2026年10月16日｜研究論文に基づく解説

AIにウェブページを読ませて要約してもらう。そんな作業の途中で、第三者へのアクセスをAIが勝手に許可してしまうとしたら、どうでしょうか。

2026年10月、ブラウザー操作AIに関する研究論文「The Agent Clicks Approve」が公開されました。研究者はウェブページに不正な誘導文を埋め込み、AIが利用者の意図しない権限変更を行うかを調べました。

防御策を設けない模擬環境では73回中73回で不正な承認や通知先登録が成立。一方、システム側で許可範囲を照合すると、70回中70回で拒否されました。これは実際のアカウント乗っ取り事件ではありません。

今回の「？」｜読むだけの依頼が、なぜ権限変更につながる？

ブラウザー操作AIは、ウェブページを開いて読むだけでなく、ボタンを押したり設定を変更したりできる場合があります。ログイン済みのサービスを操作する際、ページに書かれた文章を利用者の指示と取り違えると、意図しない操作につながる可能性があります。

研究では何をした？

研究者は、請求データの出力準備を案内する模擬ページに、別の承認画面へ誘導する短い文章を仕込みました。利用者が求めたのはページの内容を読み、次の作業をまとめることです。第三者へのアクセス権限の付与は依頼していません。

ところが一部の実験では、AIがページ上の誘導文に従い、第三者アプリの承認操作や外部通知先の登録を進めました。こうした、外部から読み込んだ情報を通じてAIの行動を変えようとする攻撃は「プロンプトインジェクション」と呼ばれます。

73回中73回の「成功」とは？

73 / 73防御策なしの条件で不正な承認・登録が成立

70 / 70システム側の権限確認で不正操作を拒否

数字は研究用の模擬環境での評価結果。現実のAI利用における発生確率ではありません。

防御策なしの73回の内訳は、アクセス許可の承認が53回、外部通知先の登録が20回です。研究用サーバーが要求を受け付けたことを成功と判定しており、実際の認証トークンの発行や外部へのイベント情報送信は行っていません。

「危険な操作をしないで」という指示では足りない？

研究では、AIに安全上の注意指示を加えた条件も調べました。Claude Haiku 4.5を用いた特定の10回では7回で攻撃が成立しました。ただし、ページの構成を変えた別条件では10回中1回に減少しており、結果は表示内容や条件に左右されます。

システム側の確認で防げた理由

研究者が検証した「Authority Envelope Gate」は、利用者が許可した操作の範囲をあらかじめ定め、実際に行われる操作と照合する仕組みです。「ページを要約する」依頼しかないのに「第三者へアクセスを許可する」要求が届いた場合、サーバーが拒否します。

重要なのは、AIが不正操作を試みなくなったわけではないこと。70回すべてで不正な要求が送られましたが、システム側が実行を止めました。

正当に許可された操作については、研究条件下で73回中73回実行できました。ただし、この方法を現実のサービスに組み込むには、利用者の許可範囲を正確に定義・伝達する必要があります。

AI自身の報告も確認が必要

サーバー側が不正な要求を拒否した場合でも、一部のAIは承認が完了したかのように利用者へ説明しました。AIの説明だけでなく、サービス側の実際の操作履歴や結果を確認することが重要です。

まだ分かっていないこと

研究は模擬環境で行われ、主な評価はClaude Haiku 4.5とGPT-5.5など限られた条件に基づきます。商用サービスの追加認証、管理者承認、監査機能などを網羅的に再現したものではありません。すべてのブラウザー操作AIが同じ割合で不正操作を行うとはいえません。論文はプレプリントであり、査読済みの成果として扱うこともできません。