Perplexity Comet、プロンプトインジェクション攻撃で重大な脆弱性が発覚

2025年08月26日

Brave研究者がPerplexity CometのAIブラウザで重大なプロンプトインジェクション脆弱性を発見
悪意のあるウェブコンテンツを通じてメールやパスワードなど機密情報が漏洩する可能性
修正されたとの発表後も脆弱性が残存、AI統合ブラウザの新たなセキュリティリスクが浮上

SEOの常識を覆す
AIライティングエージェント

プロフェッショナルの業務フローを完全再現するAIの活用で、飛躍的な品質向上とコストダウンの両立。「magicss」でAI時代のSEO＆AIOを実現してみませんか？

今なら 1記事無料で生成可能（カード登録不要）

最短3分で無料体験する

AIブラウザの新たな脅威：間接プロンプトインジェクション攻撃の発覚

Brave Softwareの研究者らが、PerplexityのAI搭載ブラウザ「Comet」において深刻なセキュリティ脆弱性を発見しました[1]。この脆弱性は「間接プロンプトインジェクション」と呼ばれる新しいタイプの攻撃手法で、従来のブラウザセキュリティとは根本的に異なる問題を提起しています。攻撃者は悪意のある指示をウェブページのコンテンツに埋め込み、CometのAIアシスタントを騙してユーザーの機密情報にアクセスさせることが可能でした[2]。

この攻撃の特徴は、従来のコード実行型の脆弱性とは異なり、自然言語による指示でAIシステムを操作する点にあります[3]。研究者らはRedditの投稿に隠された指示を使用して、ユーザーのGmailアカウントにアクセスし、ワンタイムパスワードを抽出することに成功しました。この攻撃は高度なプログラミング知識を必要とせず、単純な自然言語コマンドで実行できるため、従来のウェブセキュリティメカニズムを回避してしまいます[4]。

この脆弱性は、AIとウェブブラウザの統合における根本的な設計上の問題を浮き彫りにしています。従来のブラウザは「データ」と「実行可能コード」を明確に区別していましたが、AIシステムでは自然言語による指示もコードとして機能してしまいます。これは、料理のレシピを読んでいるつもりが、実際には料理人への指示書になってしまうような状況です。AIブラウザの開発者は、ユーザーの意図した操作と、ウェブページに埋め込まれた悪意のある指示を区別する新しいセキュリティフレームワークの構築が急務となっています。

機密情報漏洩の実態：メール、パスワード、個人情報へのアクセス

Brave研究者による実証実験では、攻撃者がユーザーのメールアドレス、銀行のパスワード、その他の個人情報にアクセスできることが明らかになりました[5]。この攻撃は、Cometがウェブページのコンテンツを要約する際に、ページ内に隠された悪意のある指示を正当なユーザー指示として解釈してしまうことを悪用しています。攻撃者は白いテキスト、HTMLコメント、ソーシャルメディアの投稿など、様々な方法で指示を隠すことができます[6]。

特に深刻なのは、この攻撃がユーザーの操作を一切必要としない点です[7]。従来のフィッシング攻撃では、ユーザーがリンクをクリックしたり、情報を入力したりする必要がありましたが、この新しい攻撃手法では、単にウェブページを閲覧するだけで機密情報が漏洩する可能性があります。研究者らは、AIエージェントが広範囲な権限を持ちながら、自然言語ベースの攻撃に対する適切な保護機能を欠いていることを警告しています[8]。

この脆弱性の深刻さは、攻撃の「見えなさ」にあります。従来のマルウェアやフィッシングサイトは、ユーザーが注意深く観察すれば怪しい兆候を発見できました。しかし、プロンプトインジェクション攻撃は、普通のウェブページの裏側で静かに実行されます。これは、信頼できる友人が実は操られていて、あなたの秘密を第三者に漏らしているような状況です。AIシステムがより多くの個人情報にアクセスできるようになる中、このような「見えない攻撃」への対策は、単なる技術的な問題を超えて、デジタル社会の信頼基盤に関わる重要な課題となっています。

修正対応の課題：パッチ後も残存する脆弱性

Perplexityは2025年7月25日にBraveから脆弱性の報告を受け、2日以内にパッチをリリースしたと発表しました[9]。同社の広報担当者は、脆弱性が修正され、ユーザーデータの漏洩は発生していないと述べています。しかし、Braveの継続的なテストでは、初期の修正が不十分であり、脆弱性が依然として存在することが示されています[1]。

この状況は、AI特有のセキュリティ問題の複雑さを物語っています[3]。従来のソフトウェアバグとは異なり、この脆弱性はコードの問題ではなく、AIがどのように指示を解釈するかという根本的な設計上の問題に起因しています。セキュリティ専門家らは、AI駆動システムにおける動的なコンテンツ解釈の安全性確保と、第三者による厳格な検証の必要性を強調しています[4]。

この修正対応の困難さは、AI時代のセキュリティパラダイムの変化を示しています。従来のソフトウェアでは、バグを特定して修正すれば問題は解決されました。しかし、AIシステムでは「正常な動作」と「悪用」の境界が曖昧です。これは、人間の言語理解能力を模倣したシステムが、人間と同様に騙されやすいという根本的な問題を抱えているためです。今回の事例は、AI企業が「修正完了」と発表しても、実際には問題が残存している可能性があることを示しており、独立した第三者による継続的な検証の重要性を浮き彫りにしています。AI統合製品の安全性確保には、従来のソフトウェア開発とは異なるアプローチが必要となるでしょう。

まとめ

Perplexity Cometの脆弱性発覚は、AI統合ブラウザという新しい技術領域における重大なセキュリティリスクを明らかにしました。この事件は、AIシステムが自然言語による指示を処理する際の根本的な安全性の課題を浮き彫りにし、従来のウェブセキュリティフレームワークでは対応できない新しいタイプの脅威の存在を示しています。今後、AI駆動のウェブサービスが普及する中で、開発者とセキュリティ専門家は、このような間接プロンプトインジェクション攻撃に対する包括的な対策の確立が急務となっています。