脆弱性は驚くほど単純だ。AIブラウザに誤った前提—例えば2+2=5と主張する—を与えると、モデルの推論は歪み、安全性のガードレールが崩れ落ち、通常なら拒否するはずの指示への扉が開かれる。これはパッチで修正可能なバグではない。今日のエージェント型モデルが実際にどう機能しているかを示す窓なのだ。

より深刻な問題は、LLMが固定されたルールを持たず、コンテキストによって形成される確率的傾向を持つことだ。ガードレールは統計的な嗜好であり、厳格な境界ではない。攻撃者が会話のフレームを再構築すれば、モデルの従順さはそれに従う。Perplexity、OpenAI、そしてGoogle ChromeやMicrosoft Edgeに組み込まれたエージェント機能のAIブラウザは、この脆弱性を継承している—しかもユーザーのログイン中のセッション、支払い認証情報、企業のSaaSダッシュボードへのライブアクセスを保持したままだ。その被害範囲は独立したチャットボットよりもはるかに大きい。

企業にとって、これは今年のもう一つの支配的なトレンドと真正面から衝突する。より安価で有能なエージェントへの突進だ。Anthropicの低価格なClaude Sonnet 5やAlibabaのQwenのような強力なオープンウェイトモデルが、ブラウジング、クリック、トランザクションを行う自律エージェントの導入を加速している。エージェントを経済的に実行可能にするすべてのコスト削減は、組織内の悪用可能な自律エンドポイントの数も倍増させる。より安価なエージェントはより多くのエージェントを意味し、より多くのエージェントはより大きな攻撃対象領域を意味する。

戦略的な誤りは、プロンプトインジェクションや前提汚染をコンテンツモデレーションの問題として扱うことだ。これらはアクセス制御の問題である。CISOはあらゆるAIブラウザが強制可能であると想定し、それに応じて設計すべきだ。エージェントの権限を狭く限定し、認証されたセッションから隔離し、不可逆的なアクション(支払い、データエクスポート、削除)には人間の確認を要求し、エージェントの行動を従業員の活動と同じくらい厳密にログに記録する。最小権限の原則はソフトウェアエージェントにも拡張されなければならない。

規制当局が注目することは確実だ。EU AI Actの執行が成熟し、米国の機関がエージェントシステムを精査する中、認証情報へのアクセスと弱い隔離を伴うブラウザを出荷するベンダーは責任問題に直面するだろう。投資家は、ランタイム監視とエージェントサンドボックスを構築する新興のAIセキュリティスタートアップ層を支持すべきだ—これは構築が不十分なカテゴリーであり、18か月以内にオプションのツールではなく必須のインフラストラクチャになるだろう。