AIが使うブラウザーは安全なのか　便利な開発ツールに潜む情報漏えいの危険性

Index

AIが文章を書き、画像を作り、プログラムまで作ってくれる時代になりました。さらに最近では、AIがパソコン内のファイルを読み込んだり、ブラウザーを操作したりして、人間に代わって作業を進める「AIエージェント」も広がっています。

便利になる一方で、これまでとは違ったセキュリティー上の問題も生まれています。

CNET Japanによると、開発支援ツール「Codex」や「Visual Studio Code（VS Code）」に内蔵されたブラウザーで、パソコン内の悪意あるHTMLファイルを開くと、本来アクセスできないはずの別のファイルまで読み取られるおそれがあることが分かりました。

これは、セキュリティー企業Forever Securityが2026年10月29日に公表した調査によるものです。

今回の問題は、プログラムを開発する人だけに関係する話ではありません。AIがさまざまな作業を代行するようになることで、私たちが普段使っているパソコンの安全性にも、新しい視点が必要になっていることを示しています。

そもそも、AI開発ツールとは？

今回名前が挙がっているCodexやVS Codeは、主にプログラムを作ったり、修正したりするためのツールです。

例えば、Webサイトを作る場合、通常はプログラムを書き、ブラウザーで表示を確認し、問題があれば修正するという作業を繰り返します。

こうした作業をAIが手伝ってくれるのがAI開発支援ツールです。

最近のツールには、作成したWebページを確認するためのブラウザーが内部に組み込まれています。別のブラウザーを起動しなくても、その場で表示を確認できるため便利です。

しかし、この便利な機能が、今回の問題の入口になりました。

HTMLファイルを開いただけで、なぜ危険なのか

HTMLファイルとは、Webページを表示するためのファイルです。例えば、ホームページを作るときに使われる index.html などがこれに当たります。

通常、インターネット上のWebページを閲覧しただけで、パソコン内部に保存されている文書や写真を自由に読み取られることはありません。

ブラウザーには、Webページがパソコン内部のファイルに勝手にアクセスできないようにする制限が設けられているからです。

ところが、今回問題になったAI開発ツールの内蔵ブラウザーでは、この制限が十分に機能しないケースが見つかりました。

例えば、次のような状況を考えてみてください。

インターネットから、Webサイトのサンプルデータをダウンロードします。
中に入っているHTMLファイルを開いて、表示を確認します。
そのHTMLファイルには、利用者に分からないように悪意あるプログラムが仕込まれています。
内蔵ブラウザーのセキュリティー上の不備を悪用し、パソコン内の別のファイルを読み取ろうとします。

利用者は、特別な操作をしたつもりはありません。普通にファイルを開いて内容を確認しただけです。

それでも、ブラウザー側の制限に問題があれば、想定していなかった情報にアクセスされる可能性があるのです。

盗まれるのは、どんな情報なのか

今回の調査では、次のようなファイルや情報が読み取られる可能性が報告されています。

SSH秘密鍵： サーバーに接続するために使う重要な鍵
APIキー： 外部サービスを利用する際の認証情報
.envファイル： パスワードやデータベース接続情報などを保存するファイル
認証トークン： サービスへのログインや利用権限を確認するための情報
個人ファイルやソースコード： パソコン内に保存されている文書や開発データ

少し分かりにくいものもありますが、簡単に言えば、パソコンの中に保存されている「外部サービスやサーバーにつながるための情報」です。

これらが盗まれると、パソコン内の情報が漏れるだけでは済まない可能性があります。

例えば、サーバーに接続するための鍵が盗まれれば、そのサーバーへの不正アクセスにつながるおそれがあります。クラウドサービスの認証情報が流出すれば、別のシステムにまで被害が広がる可能性もあります。

つまり、一つのファイルを読み取られたことが、別の場所への侵入につながる場合があるのです。

問題が見つかったのは、CodexやVS Codeだけではない

Forever Securityの調査では、次の5つのAI関連ツールで問題が報告されています。

Codex： パソコン内の別のファイルを読み取れる問題
VS Code： ブラウザー内部の仕組みを悪用したファイル読み取りの問題
Claude Desktop： 同様にブラウザー内部の仕組みを悪用した問題
Cursor： Webページをきっかけに、パソコン側でプログラムを実行させる問題
GitHub Copilot： ブラウザーのアドレス表示を偽装する問題

それぞれ原因や内容は異なりますが、AIツールに組み込まれた機能が、攻撃に利用される可能性があるという点は共通しています。

なお、調査報告によると、CursorとGitHub Copilotの問題は公表前に修正されています。一方、CodexとVS Codeについては、2026年10月29日の公表時点で未修正とされていました。

セキュリティーソフトを入れていれば安心なのか

今回の問題で考えたいのは、セキュリティーソフトだけでは防ぎきれない可能性があるということです。

セキュリティーソフトは、不審なファイルやプログラム、通信などを検知するための重要な対策です。しかし、正規のアプリケーションに組み込まれた機能そのものに問題があれば、通常のウイルス対策だけでは十分に対応できない場合があります。

今回のように、正規の開発ツールに内蔵されたブラウザーが攻撃の入口になるケースでは、アプリケーション側の設計や権限管理も重要になります。

また、外部からダウンロードしたファイルや、出所が分からないプロジェクトを不用意に開かないことも大切です。

AIに何を許可するのかが重要になる

これまでのパソコンでは、アプリケーションごとに役割が比較的はっきりしていました。

ブラウザーはWebサイトを見るもの。文書作成ソフトは文章を書くもの。ファイル管理ソフトはファイルを整理するもの。

しかし、AIエージェントは違います。

ブラウザーで情報を集め、パソコン内のファイルを読み込み、文章やプログラムを作り、必要に応じて実行することもできます。

つまり、AIにできることが増えるほど、AIがアクセスできる情報や操作できる範囲も広がっていきます。

企業でAIを導入する場合も、単にどのAIが高性能なのかを比較するだけでは不十分です。

どのファイルまで読み取れるのか
どのフォルダーにアクセスできるのか
外部のWebサイトとどのような通信をするのか
パソコン上でプログラムを実行できるのか
パスワードや認証情報をどのように管理しているのか

こうした権限の範囲を確認することが必要になります。

便利さの裏側にある、新しいセキュリティーの課題

今回の問題は、AIが危険だという話ではありません。

AIが人間に代わって多くの作業をできるようになったことで、これまで以上に広い範囲の情報や機能にアクセスする必要が生まれています。その便利さを支える仕組みが、十分に安全でなければ、新たな攻撃経路になってしまいます。

セキュリティーソフトを入れているから安心。大手企業が提供するアプリケーションだから安全。そうした考え方だけでは、これからの脅威に対応できなくなるかもしれません。

大切なのは、アプリケーションが信頼できるかどうかだけではなく、そのアプリケーションが何にアクセスでき、何を実行できるのかを理解することです。

AIがパソコンを操作し、さまざまな仕事を代行する時代。これからのセキュリティー対策では、AIにどこまでの権限を与えるのかという視点が、ますます重要になっていくのではないでしょうか。