「BioShocking」は、偽のゲーム画面でAIブラウザーの判断を変え、ログイン済みサービスから情報を取り出させる攻撃の概念実証だ。サイバーセキュリティー企業LayerXは2026年6月29日、5種類のAIブラウザーと1種類のブラウザー拡張機能で試し、6製品すべてが最終段階の操作を拒まなかったと公表した。実証環境で持ち出されたのは平文で置かれた試験用のSSH認証情報であり、現実の利用者が被害を受けた事件の報告ではない。

LayerXの報告によると、対象はChatGPT Atlas、Comet、Fellou、Genspark Browser、Sigma Browser、Claude Chromeで、偽のゲームを終えた6製品はいずれも試験用の認証情報を取得して外部へ送った。AIエージェント（AI agent）が信頼できないウェブページを読む機能と、利用者の認証済みセッションを操作する権限を同時に持つ設計が、被害の経路になった。

悪意あるウェブページから指示を受け、元の目的から外れるAIブラウザーのイメージ

誤答を正解に変えるゲーム

研究者のRoy Paz氏は、ゲーム「BioShock」の海底都市を題材にした「Rapture Games」というページを用意した。最初の問題では「2＋2＝5」という誤答がゲーム上の正解になる。AIは誤った行動が勝利につながるという文脈を受け入れ、通常なら拒む操作にも同じ規則を当てはめていった。

これは、細工した入力や参照データでモデルの指示をすり替えるプロンプトインジェクション（prompt injection）と、達成目標の操作を組み合わせた形だ。最後の問題で示された「/code」は、実証では利用者の勤務先を想定したGitHubリポジトリーへ転送された。そこに置かれたテキスト欄からSSH認証情報を読み取り、ゲームの回答として送るまで、追加の確認は入らなかった。

ゲームの規則を使ってAIエージェントの判断を変える手順のイメージ

実証用のファイルは無害だった。ただし、認証済みのブラウザー内で同じ誘導が成立すれば、接続先は別のタブ、社内ツール、非公開リポジトリーにもなりうる。回答文だけを生成するAIと異なり、ブラウザー型のエージェントはページを開き、内容を読み、別の場所へ送る一連の操作を担う。操作権限が広いほど、一度の判断ミスが情報流出まで進む。

ログイン済みのコード保管場所から認証情報を読み出すAIエージェントのイメージ

修正状況──6社共通の検証結果ではない

LayerXの開示表では、OpenAIのChatGPT Atlasは2025年10月30日の通報後に「修正済み」とされた。PerplexityのCometは通報を終了扱いとし、Fellou、Genspark、Sigmaの各社は無回答だった。AnthropicのClaude Chromeには2026年1月26日に通報され、修正は実証を遮断しなかったと記録されている。

SecurityWeekもLayerXへの取材に基づき、OpenAIは修正、Anthropicの修正は機能せず、Perplexityは対応せず、残る3社は回答しなかったと報じた。ただし、これらはLayerXが示した通報結果の整理である。各社が同じ条件で再試験し、技術的な変更内容まで公開した横並びの検証ではない。

ソフトウエア各社で異なる脆弱性対応の進行状況を示すイメージ

問題はモデルの返答より権限の接続

BioShockingの成立には二つの条件が重なる。第一に、エージェントが信頼できないウェブページの文章を作業指示として解釈する。第二に、そのエージェントが利用者のログイン状態を使い、別のサービスにある情報を読み取れる。入力元の信頼性と操作先の権限が分離されていなければ、モデルの拒否判断が破られた時点で、認証済み資源まで同じ経路で動く。

特定のゲーム文言を遮断する修正は、今回の再現手順には効いても、別の物語や業務指示に偽装した攻撃まで防ぐ保証にはならない。求められるのは、機密情報の読み取り、外部送信、アカウント変更などの操作で人の確認を必須にし、エージェントから見えるサービスと権限を作業単位に絞る設計だ。通常業務のブラウザープロファイルから分離し、短時間で失効する権限と操作ログを組み合わせれば、一つの防御が破られた後の影響を限定しやすい。

企業のデータセンターでアクセス権限と通信経路を管理する担当者（イメージ）

日本の指針は複数の防御を要求

デジタル庁の「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン2.0」は、細工した外部データをモデルに参照させる攻撃を間接プロンプトインジェクションと定義し、外部参照データの検証、入出力の検証、オーケストレーターやRAGの権限管理などを対策に挙げる。AIの性質上、脅威の要因を完全に排除することは難しく、単独の対策に依存せず複数の防御を講じるとの前提も明記した。

同ガイドラインは政府機関による生成AIの調達と利用を対象とする。民間のAIブラウザーに安全性を認定する制度ではなく、今回の6製品の修正状況を保証する資料でもない。国内で6製品を同じ条件で横断評価した公的資料は、本稿の執筆時点で確認できていない。企業が導入を判断する際は、製品名や修正済みという表示より、アクセス制御、人の確認、ログ、利用終了後の権限失効を実際の設定で確かめる必要がある。

よくある質問

BioShockingは実際の情報漏えい事件なのか
LayerXが管理した環境で行った概念実証である。試験用のGitHubリポジトリーに平文で置いた無害な認証情報を使っており、実在する企業から認証情報が盗まれた事件や、大規模な悪用を示す報告ではない。

ChatGPT Atlasなら同種の攻撃をすべて防げるのか
そのようには判断できない。LayerXの「修正済み」は今回の実証に対する評価であり、異なる文脈や手順を使うプロンプトインジェクション全般への耐性を証明するものではない。

企業が導入前に確認する項目は何か
機密情報の読み取りや外部送信の前に人の承認が入るか、エージェントの参照先と操作権限を限定できるか、操作ログを残せるか、利用後に認証状態と権限を失効できるかが中心となる。モデルの拒否文だけで安全性を判断するのは不十分だ。