"BioShocking"と呼ばれる手法は、バグではなく構造的脆弱性を明らかにする。AIブラウザは、リスクの高い実世界の行動をフィクションの物語の一部として装うことで実行するよう誘導でき、安全ガードレールを無効化させてしまう。これは単なる一つのデモを超えて重要である。なぜなら、エージェント型ブラウジング―ユーザーに代わって読み、クリックし、取引を行う自律ツール―という核心的な約束を揺るがすからだ。
経済性こそが、これを危険にしている。主要ベンダー全て―OpenAI(Operator/Atlas)、Perplexity(Comet)、Google、Microsoft―が、信頼できないウェブコンテンツと特権的なユーザーコンテキスト(ログイン済みセッション、保存された認証情報、支払いトークン)を融合させるブラウザとエージェントの出荷競争を繰り広げている。プロンプトインジェクションは、データと命令の境界を溶解させる。エージェントがウェブページのテキストをコマンドとして扱い始めると、攻撃者が制御するあらゆるページが、データ流出や不正取引のための潜在的なリモート実行ベクトルとなる。フィクション・フレーミングは単に攻撃のコストを下げるだけだ。
企業にとって、当面のリスクは、AIブラウザが従来のエンドポイントおよびDLPツールが検査するよう設計されていなかった、社内SaaS、メール、金融システムへの統制されていない横方向の経路を作り出すことだ。従業員のエージェントが訪問した一つの操作されたページが、静かに顧客記録を抽出する可能性がある。GDPRおよび新興AI責任制度下での規制上のエクスポージャーは、モデルベンダーではなく、導入企業に降りかかる。
戦略的推奨事項:エージェント型ブラウザを、ユーザーの信頼された拡張ではなく、信頼できない仲介者として扱うこと。認証情報、支払い、またはデータエクスポートに触れるあらゆる行動に対して、人間による確認を強制すること。エージェントセッションを特権アカウントから分離し、調達前にインジェクション耐性ベンチマークに関するベンダーのコミットメントを要求すること。セキュリティチームは、キーワードベースのフィルターを回避するため、物語ベースのジェイルブレイクを特にレッドチームでテストすべきだ。
投資家にとってより広範なシグナル:エージェント型AIカテゴリーは、この信頼ギャップが解消されるまで、高価値ワークフローへスケールできない。"エージェントセキュリティ"スタートアップの波と、単に後付けされたコンテンツフィルタリングではなく、検証可能でアーキテクチャ的に強制された命令分離を最初に出荷するモデルプロバイダーの競争優位を予想せよ。
