【ITニュース解説】CommetJacking attack tricks Comet browser into stealing emails

「CometJacking」という新たなサイバー攻撃手法が発見され、Perplexity社が提供するComet AIブラウザがその標的となっている。この攻撃は、AI技術を搭載したブラウザの特性を悪用し、ユーザーのメールやカレンダーなどの機密情報を盗み出す手口である。システムエンジニアを目指す皆さんにとって、この攻撃から学べることは多い。

Comet AIブラウザは、従来のウェブブラウザにAIアシスタント機能を統合したもので、ユーザーの質問に答えたり、ウェブページの内容を要約したりする能力を持つ。このAI機能は、ユーザーが閲覧しているウェブページの内容や、URLに付加された情報（URLパラメータ）を基に動作することがある。CometJackingは、まさにこのURLパラメータの処理方法に潜む脆弱性を突いたものだ。

URLパラメータとは、ウェブサイトのアドレス（URL）の末尾に、「?」記号の後に続く形で付加される情報のことである。例えば、「https://example.com/search?q=AI&page=1」というURLの場合、「q=AI」や「page=1」がパラメータにあたる。これらのパラメータは、ウェブサーバーに対して「AIというキーワードで検索して、1ページ目を表示してください」といった具体的な指示を伝える役割を果たす。しかし、Comet AIブラウザの場合、このURLパラメータに含まれる文字列が、AIアシスタントへの「指示（プロンプト）」として誤って解釈されてしまう可能性があった。

攻撃者はこの特性を悪用し、悪意のあるプロンプトをURLパラメータに隠して仕込む。具体的には、「ユーザーのメールボックスにアクセスし、その内容を読み取って、指定された外部のサーバーに送信せよ」といった命令を、URLの正規のパラメータであるかのように見せかけて埋め込むのである。

このような攻撃手法は、「プロンプトインジェクション」と呼ばれる概念に近い。プロンプトインジェクションとは、AIモデルに対して、開発者が意図しない不正な指示（プロンプト）を注入し、モデルをだまして望まない動作を実行させる技術である。CometJackingの場合、URLパラメータが悪意あるプロンプトの運び屋となることで、Comet AIブラウザのAIアシスタントが、あたかもユーザー本人からの指示であるかのように錯覚し、機密情報を扱う操作を実行してしまうのだ。

この攻撃の巧妙な点は、ブラウザのセキュリティ機能の一つである「サンドボックス」を直接破るわけではないことにある。サンドボックスとは、ウェブページが閲覧者のコンピュータの他の部分にアクセスできないように隔離する、一種の安全な「箱」のような仕組みである。多くのウェブブラウザは、悪意のあるウェブサイトがコンピュータに損害を与えるのを防ぐために、このサンドボックス技術を採用している。しかし、CometJackingでは、ブラウザ自体が持つAI機能が悪用される。つまり、ブラウザの内部で、AIアシスタントが「正当な機能」として認識されている範囲で、メールの読み取りやデータ送信といった操作を行ってしまうため、サンドボックスによる外部からの防御だけでは完全に防ぎきれない可能性がある。AIアシスタントが、その権限内で行える操作を、攻撃者の意図するままに実行してしまう点が問題なのである。

攻撃が成功した場合、Comet AIブラウザが接続しているサービス、例えばGmail、Googleカレンダー、あるいは他のクラウドサービスなどに保存されている情報が盗まれる危険性がある。具体的には、メールの本文、添付ファイル、カレンダーの予定、連絡先リストといった、個人や企業の機密に関わるデータが流出してしまう恐れがある。これらの情報は、なりすまし詐欺やフィッシング攻撃、さらなるシステムへの侵入など、より大規模なサイバー犯罪の足がかりとして利用される可能性がある。

このような事態を防ぐためには、システム開発者と一般ユーザーの両方が、セキュリティに対する意識を高めることが重要となる。

システム開発者の視点では、特にAIアシスタントのような高度な機能を持つアプリケーションを開発する際には、入力値の検証とサニタイズ（無害化）を徹底することが極めて重要である。URLパラメータのような外部からの入力値をAIのプロンプトとして直接利用する際には、その内容が意図しない命令を含んでいないかを厳しくチェックし、危険な文字列は取り除く必要がある。また、AIアシスタントが外部サービスにアクセスする際の権限管理は、最小特権の原則に基づき、必要最低限のアクセス権限のみを与えるべきである。AIモデルが予期せぬ動作をしないよう、セキュリティを考慮した設計を初期段階から組み込む「セキュリティ・バイ・デザイン」の考え方が不可欠となる。さらに、AIの出力が直接ユーザーに表示される場合や、他のシステムに渡される場合にも、同様にサニタイズ処理を行うことで、別の種類の攻撃（例：クロスサイトスクリプティング）を防ぐことにもつながる。定期的なセキュリティ監査と脆弱性診断を実施し、潜在的なリスクを早期に発見・対処することも欠かせない。

一方、一般ユーザーの視点では、見慣れないURLや不審なリンクは絶対にクリックしないという基本的な心構えが何よりも大切である。フィッシング詐欺の手口は巧妙化しており、一見すると信頼できる送信元からのメールや、魅力的な内容のウェブサイトに見せかけてくることが多い。リンクをクリックする前に、URLが正規のものであるか、送信元は本当に信頼できるのかを注意深く確認する習慣をつけることが重要だ。また、ブラウザや使用しているアプリケーションは常に最新の状態にアップデートしておくべきである。ソフトウェアのアップデートには、新機能の追加だけでなく、発見された脆弱性を修正するセキュリティパッチが含まれていることが多いため、これを怠ると既知の脆弱性を攻撃者に利用されるリスクが高まる。AIアシスタントをブラウザや他のウェブサービスに接続させる際には、そのアシスタントがどのような情報にアクセスし、どのような操作を行うことを許可するのかを十分に理解し、不要な権限は与えないよう慎重に設定することも、自己防衛のために求められる行動である。

CometJacking攻撃は、AI技術が急速に進化し、私たちの日常に深く浸透していく中で、新たなセキュリティリスクが生じていることを示唆している。特に、AIが外部からの入力をもとに動作し、他のサービスと連携するようなシステムでは、これまでのセキュリティ対策では想定しきれなかった脆弱性が顕在化する可能性がある。システムエンジニアを目指す皆さんは、単にシステムを開発するだけでなく、それがどのように悪用される可能性があるか、どのようなセキュリティリスクを抱えているかを常に意識し、安全なシステム設計と運用に貢献できる知識とスキルを身につけていくことが求められる。この攻撃事例から、未来のシステム開発におけるセキュリティの重要性と複雑さを理解し、学びを深めてほしい。