AIセキュリティ企業のZenityが、OpenAIの「ChatGPT Atlas」とChrome向けのClaude公式拡張機能を標的にした攻撃手法を公表した。いずれもゼロクリックの間接プロンプトインジェクションを悪用するもので、アカウント乗っ取りやフィッシング、Amazonでの不正購入につながる可能性がある。8月6日、SecurityWeekが報じた。

Zenityは8月5日、2本のブログ記事で研究結果を公開した。1本はChatGPT Atlas、もう1本はChrome向けClaude公式拡張機能を扱っている。

Zenityの研究チームによると、エージェント型ブラウザのChatGPT Atlasは、一般的なソフトウェアの不具合ではなく、アーキテクチャ上の問題によってゼロクリックの間接プロンプトインジェクションにさらされるという。

同社は、Atlasのようなエージェント型ブラウザが、認証済みの複数タブをまたいで単一のエージェントとして動作する点を問題視する。こうした設計により、同一生成元ポリシー（SOP）が実質的に崩れ、信頼できないページの内容が、ユーザーがログイン済みの別サイト上での操作を誘導し得るとしている。

研究チームは、ニュースレター登録のような正規の操作に見せかけ、WhatsApp Web上で連絡先を読み取ったうえでフィッシングメッセージを送信するシナリオを実証した。

さらに、Amazonのカートに商品を追加し、配送先を攻撃者の住所に変更した後、AmazonのAIアシスタント「Rufus」を通じて購入を完了させる手順も示した。

Zenityによると、同社は2026年1月にこれらの研究結果をOpenAIへ通知し、OpenAIは報告を受領した。ただ、この問題は、Webコンテンツを読み取りながら認証済みドメイン全体で行動するエージェント型ブラウザの中核機能に起因しており、単純なパッチでの対処は難しいとの説明を受けたという。

Zenityはあわせて、Chrome向けClaude公式拡張機能を標的にしたゼロクリック攻撃チェーンも実証した。これは、間接プロンプトインジェクションから完全なアカウント乗っ取りにつなげる手法で、アクティブなセッション内で動作するエージェント型ブラウザの高い権限を悪用するものだという。

SecurityWeekによれば、研究チームは、悪意あるメールの要約を依頼するだけで、埋め込まれたプロンプトが直接の命令として解釈される可能性を示した。

この研究結果は、2025年12月と2026年1月にAnthropicとも共有され、参考情報として扱われたという。