【ITニュース解説】Handing Real Logins to Headless AI Agents: Building the Lightpanda Session Bridge

AIエージェントが現代のウェブサービスで実際に仕事をする際、大きな壁となるのが「認証」の問題である。例えば、AIエージェントがAWSの請求コンソールを確認したり、SaaSダッシュボードでログを調べたり、社内ポータルからデータを取得したりする場合、多くはGoogle OAuth、SSO、パスキー、生体認証を伴う2要素認証などの複雑な認証システムによって保護されている。通常の「ヘッドレスブラウザ」（画面を持たないプログラム制御のブラウザ）では、物理的なセキュリティキーを認識したり、スマートフォンの認証アプリからの応答を処理したり、FaceIDのような生体認証プロンプトに応答したりすることはできない。

この課題に直面した開発者の多くは、これまでにいくつかの妥協策を取ってきた。しかし、それらは深刻なセキュリティリスクを伴う。例えば、パスワードをAIエージェントのプロンプトや設定ファイルに直接書き込む方法は、パスワードがAIモデルのコンテキストログやチャット履歴、デバッグ情報などに漏洩する危険性がある。また、一時的なセッションクッキーを手動でコピーペーストする方法は、クッキーの有効期限が短い上に、アクセス範囲の制限や、他のサイトへの不正アクセス（SSRF）に対する保護が一切ないという問題がある。さらに、ユーザーが普段使っているメインブラウザを「Chrome DevTools Protocol（CDP）」という仕組みで直接操作する方法は、ユーザーの作業を中断させるだけでなく、他のタブが乗っ取られるリスクや、影響範囲が広がるという重大な危険性がある。

「Lightpanda Session Bridge」は、これらの問題を解決するために開発された新しいアプローチである。その哲学は「認証の手順は人間が行い、エージェントには安全に隔離された認証済み実行環境を提供する」というものだ。これにより、AIエージェントは認証情報を直接知ることなく、必要なウェブサービスに安全にアクセスできるようになる。

このシステムは主に三つの層で構成されている。第一に「Chrome拡張機能（Manifest V3）」である。これは、ユーザーが普段使っているChromeやEdgeブラウザにインストールされる。ユーザーが目的のウェブサービスに通常通りパスキーやGoogle OAuth、2要素認証などを使ってログインした後、この拡張機能をクリックすると、そのアクティブなタブに関連する、厳密にスコープされたセッションクッキーのみを抽出する。この拡張機能は、標準的な権限（activeTab、cookies、storage）のみを要求し、最小限の機能で設計されている。初回起動時には、ローカルのリレーサーバーと自動的にペアリングを行い、安全な共有トークンをブラウザの隔離されたストレージに保存する。これにより、ユーザーが手動で認証情報をコピーペーストする必要がない。

第二の層は「強化されたループバックリレー（relay/server.py）」である。これは、ユーザーのローカルマシン上で動作するプログラムで、厳重なセキュリティゲートウェイの役割を果たす。このリレーは、127.0.0.1:8765というアドレス（自分自身のコンピューターからのみアクセス可能なローカルアドレス）に限定してリッスンしているため、外部からのアクセスを一切受け付けない。拡張機能から送られてきたクッキーを受け取ると、このリレーは厳格なオリジンマッチング（クッキーの送信元とターゲットが一致するか）を行い、クッキーの構造を「Lightpanda」というヘッドレスブラウザが理解できるDevToolsプロトコルメッセージに変換する。この変換処理では、標準化されたクッキー（__Host- や __Secure- 接頭辞を持つもの）の正規化も行われ、プロトコルの互換性の問題を回避する。そして、これらのクッキー情報を「CDP WebSockets」という通信路を通じて、次の層であるヘッドレスエンジンへと安全に転送する。このリレーは、クッキーの値や名前を決してログに記録したり、ディスクに保存したりしないため、情報漏洩のリスクを最小限に抑えている。

第三の層は「Lightpandaヘッドレスエンジン」である。Lightpandaは、Zig言語とGoogle Chromeで使われるJavaScriptエンジンであるV8をベースに構築された、超高速なオープンソースのヘッドレスブラウザである。このエンジンは、AIによるウェブ自動化に特化して設計されている。Windows環境の場合、「WSL2（Windows Subsystem for Linux 2）」という技術を使ってLinux環境内でLightpandaを動作させることで、Windowsホスト環境から完全に隔離しながら、フル機能のChromiumブラウザに比べて圧倒的に少ないメモリ使用量と高速な実行速度を実現する。リレーから転送されたクッキー情報を受け取ったLightpandaは、そのクッキーを使って認証済みセッションを確立する。このセッションは他のセッションから完全に隔離されているため、AIエージェントはこの安全な環境内で、実際の認証情報を知ることなく、目的のウェブサービスにアクセスし、必要なデータを読み取ったり、操作したりすることができるようになる。

なぜ認証情報そのものではなく、セッションクッキーを転送するのかという点も重要である。パスワードやAPIトークンは、一度漏洩すると永続的かつ無制限なアクセスを許してしまう危険性がある。AIエージェントがもしパスワードを手に入れてしまえば、その情報が他のエージェントに渡されたり、外部のシステムに送信されたり、デバッグ情報として残されたりする可能性を完全に排除することはできない。一方、セッションクッキーは本質的に安全性に優れている。セッションクッキーは一時的なものであり、自動的に有効期限が切れる。また、ユーザーがメインブラウザからログアウトするだけで、そのクッキーは即座に無効化される。さらに、セッションクッキーは特定のウェブサイト（オリジン）に厳密にスコープされており、他のサイトへの不正アクセスに利用されるリスクが低い。Lightpanda Session Bridgeでは、これらのセッションクッキーの特性を最大限に活用し、セキュリティを強化している。

このシステムのセキュリティは非常に厳重に設計されている。特に、ローカルでHTTPリレーがクッキーを受け取るという特性上、それが不正なアクセス（ローカルでの権限昇格やSSRF攻撃など）の入り口にならないよう、徹底した防御策が講じられている。例えば、クッキーの名前や値は、コンソールへの出力、ディスクへの記録、履歴への保存など、いかなる形でもログに残されることはない。リレーは、前述の通り127.0.0.1に固定されており、外部ネットワークインターフェースに公開されることはない。また、accounts.google.com、login.microsoftonline.comなどの認証プロバイダ（IdP）のドメインへのクッキー転送は自動的に拒否されるブラックリストが設定されている。SSRF（Server-Side Request Forgery）攻撃を防ぐため、ターゲットとなるドメインは有効な公開IPv4/IPv6アドレスに解決されなければならない。localhostのエイリアスやプライベートIPアドレス（10.0.0.0/8、192.168.0.0/16など）、ワイルドカードDNSサービスなどは厳しくブロックされる。DNSルックアップは60秒間キャッシュされ、TOCTOU（Time-of-Check to Time-of-Use）という、チェック時と使用時で状況が変化する攻撃を防いでいる。さらに、拡張機能とリレー間のペアリングハンドシェイクは、正規のchrome-extension:// Originヘッダーを持つ呼び出し元からのみ許可され、他のウェブページやローカルスクリプトからの不正な要求は403 Forbiddenとして拒否される。これらの対策は、9つの自動セキュリティテストスイートによって継続的に検証されている。

セッションがLightpandaに同期されると、AIエージェントのスクリプトは提供される軽量なPython SDK（lightpanda_client.py）を使って操作を行う。例えば、エージェントはLightpandaのCDPランタイムに接続し、目的のURL（例: https://app.example.com/dashboard）に対して既存の認証済みセッションでページを生成またはアタッチできる。そして、その認証されたセッションコンテキスト内でJavaScriptコードを実行し、ダッシュボードからユーザー名や残りのクォータ、CSRFトークンなどの情報を安全に抽出することが可能になる。この一連のプロセスにおいて、エージェントはパスワードを一切要求することも、ユーザーがアカウント乗っ取りのリスクにさらされることもない。

このシステムを導入する手順は比較的簡単である。まず、GitHubリポジトリをクローンし、必要な依存関係をインストールする。次に、用意されたスクリプトを使ってLightpandaヘッドレスエンジンとブリッジリレーをそれぞれ別々のターミナルで起動する。最後に、Chromeの拡張機能管理ページで開発者モードを有効にし、リポジトリ内のextension/フォルダを「パッケージ化されていない拡張機能の読み込み」機能で追加する。リレーが動作している状態で一度拡張機能のポップアップを開けば、自動的にペアリングが完了する。その後、認証済みのウェブサイトに移動し、拡張機能の🐼アイコンをクリックして「Sync Session」ボタンを押すだけで、安全なセッション転送が完了する。

ただし、このシステムにはいくつかの意図的な制限があることも理解しておく必要がある。まず「Human-in-the-loop」であること。セッションを同期するには、ユーザーがセッションごとに一度「Sync」ボタンをクリックする必要がある。これはセキュリティ上の設計選択であり、完全に無人で動作するサーバーファームのような用途ではなく、人間の監視下で動作するエージェントワークフロー向けに構築されている。次に「ローカルマシンのみ」という制限がある。リレーはリモートからの接続を厳格に拒否するため、AIエージェントのスクリプトとブラウザは同じワークステーションまたは開発環境上に存在する必要がある。最後に、「Zig / WSL2依存」という点である。Lightpandaは現在、LinuxやWSL2環境で最もスムーズに動作するように設計されており、Windows環境ではPowerShellスクリプトが自動的にWSL2の管理を行う。

Lightpanda Session Bridgeは、自律型AIエージェントが認証されたウェブ環境を安全にナビゲートする必要がある開発者にとって、非常に有用なオープンソースプロジェクトである。GitHubリポジトリはMITライセンスで公開されており、フィードバックや課題報告、プルリクエストは常に歓迎されている。この技術は、AIエージェント開発におけるセキュリティの課題を解決し、より安全で実用的なAIソリューションの実現に貢献するだろう。