序論：生成AIエコシステムにおける新たな攻撃ベクトル

生成AI（人工知能）の急速な普及に伴い、ブラウザ上でChatGPT、Claude、DeepSeek、Gemini等の大規模言語モデル（LLM）と対話する為のインターフェースを提供する拡張機能が爆発的に増加している。しかし、これらのツールが提供する利便性の裏側で、ユーザーの機密情報を標的とした「プロンプト密猟（Prompt Poaching）」と呼ばれる新たなサイバー攻撃の形態が深刻な脅威となっている。

本報告では、サイバーセキュリティの専門的見地から、特定されたマルウェア拡張機能の技術的メカニズム、データの漏洩経路、及び被害を最小限に抑える為の対策を包括的に論じる。また、並行してユーザーコミュニティから報告されているGoogle Geminiにおける日本語画像生成時の文字化け（Mojibake）問題についても、その技術的要因と解消策を詳述する。

マルウェアが混入した拡張機能の特定と被害状況の分析

対象拡張機能の技術的プロファイル

今回、OX Securityの調査によって、ChatGPTやDeepSeekとの対話データを意図的に外部へ流出させていたことが特定されたのは、以下の2つのChrome拡張機能で在る。

これらの拡張機能は、合計で90万人以上のユーザーにインストールされており、その規模はこれまでに確認されたAI関連の悪意ある拡張機能の中でも最大級で在る。特に、「Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI」については、Googleの厳格な審査を通過したことを示す「おすすめ」バッジが付与されていた為、多くのユーザーや企業が疑うことなく導入してしまったという背景が在る。

OX Securityによる発見の経緯

OX Researchチームは、定常的な脅威分析の中で、これらの拡張機能がAITOPIA社という実在する正規のAIツール開発企業の製品を巧妙に模倣していることを発見した。正規のAITOPIA拡張機能は、複数のLLMとサイドバーを通じて対話出来る機能を提供しており、プライバシーポリシーにおいて「会話データはAmazonのUSリージョンに在るサーバーに保存される」ことを明示している。

これに対し、今回特定されたマルウェア拡張機能は、AITOPIAのUI（ユーザーインターフェース）をそのままコピーし、同じ機能をユーザーに提供しつつ、その裏側で正規のプロセスとは無関係なデータ抽出コードを動作させていた。

攻撃の技術的メカニズム：ドキュメントオブジェクトモデル（DOM）への介入

これらの拡張機能が採用した手法は、従来のネットワークパケットを傍受する中間者攻撃（MITM）ではなく、ブラウザの内部で処理される「レンダリング後のデータ」を標的とする極めて巧妙なもので在る。

データの捕捉と抽出プロセス

これにより、通信がHTTPSで暗号化されていたとしても、ブラウザ上に表示された「テキストそのもの」をコピーすることが可能となる。取得されたデータは、個々のユーザーを識別する為のユニークID（gptChatId等）と共に、Base64エンコーディングによって隠蔽され、攻撃者が管理するC2（コマンド＆コントロール）サーバーへ送信される。

C2サーバーへの送信スケジュールとインフラ

データの送信は、ユーザーの作業を妨げないよう、約30分間隔でバックグラウンドにて実行される。OX Securityが特定した主なデータ送信先ドメインは以下の通りで在る。

更に、これらの拡張機能は「Lovable」というAI駆動型のウェブ開発プラットフォームを悪用し、プライバシーポリシーのホストや一部のインフラ構成要素を設置していた。これにより、攻撃者はあたかも新興のAIスタートアップで在るかのような外観を保ち、セキュリティベンダーのドメインフィルタリングを回避していたと考えられる。

窃取されたデータの種類と潜在的リスク

今回の攻撃によって流出した可能性の在る情報は、単なる会話データに留まらず、広範なプライバシー及びビジネス上の機密情報を含んでいる。

漏洩したデータの分類

• AI会話の完全な記録：企業秘匿のソースコード、将来のビジネス戦略、社内の法的検討事項、個人を特定出来る情報（PII）等が含まれる
• ブラウザ閲覧の完全なURL：全ての開いているタブのURLが収集されており、これにより企業の内部ポータルのアドレスや、アクセスに使用された一時的な認証トークンが露呈するリスクが在る
• 検索クエリとパラメータ：ユーザーが検索エンジンに入力したキーワードや、特定のURLに含まれるユーザーID、セッション識別子等が収集されていた

Google Chrome Web Storeの信頼性に対する再評価

今回の事案は、公式のブラウザ拡張機能ストア、特にGoogleが推奨する「おすすめ（Featured）」バッジの信頼性に大きな疑問を投げ掛けるものとなった。

「おすすめ」バッジの取得と維持

本来、このバッジは「Googleの技術的ベストプラクティスに従い、高いユーザー体験とデザイン基準を満たす」拡張機能に与えられるもので在る。審査プロセスには自動化されたセキュリティスキャンだけでなく、人間によるレビューも含まれるとされるが、攻撃者は以下の手法でこれを潜り抜けたと分析されている。

• スリーパーエージェント（休眠工作員）戦略：最初はクリーンで有用な機能を備えた拡張機能として公開し、十分なユーザー数と好意的なレビュー、そして「おすすめ」バッジを獲得した後に、アップデートを通じて悪意あるコードを配信する手法
• コードの難読化：悪意ある動作を司るコードを複雑に難読化し、自動検知システムによる解析を回避する
• 遅延実行：インストール直後には悪意ある動作を行わず、一定期間が経過してから、或いは特定のAIサイト（ChatGPT等）を訪問した時のみC2サーバーとの通信を開始する

実際、OX SecurityがGoogleに通報した時点（2025年12月29日）でも、これらの拡張機能はストアで公開され続けており、「おすすめ」バッジも付与されたままで在った。Googleが最終的に削除を完了するまでの間、更に多くのユーザーがこのリスクに晒されたことになる。

組織及び個人の為の具体的な対策と防御戦略

侵害が判明した今、ユーザー及びシステム管理者は迅速かつ多層的な対応を講じる必要が在る。

1. 拡張機能の即時削除とクリーンアップ

1. Chromeの拡張機能管理画面（chrome://extensions）を開き、該当するID（fnmihdojmnkclgjpcoonokmkhjpjechg 及び inhcgfpbfdjbjogdfjbclgolkmhnooop）を探して削除を実行する
2. ブラウザの同期機能によって他のデバイスに再インストールされるのを防ぐ為、ブラウザの設定をリセットするか、同期された拡張機能リストを確認する
3. マルウェアによって保存された追跡識別子やセッショントークンを無効化する為に、閲覧履歴、クッキー、キャッシュを完全に消去する必要が在る

2. AIプラットフォーム側の認証保護

流出したデータにセッショントークンが含まれていた場合、パスワードを変更するだけでは不十分な場合が在る。ChatGPTやDeepSeekのアカウントを保護する為に、以下の手順を推奨する。

• 2要素認証（2FA）の有効化：ChatGPT（OpenAI）において2要素認証を有効にすると、既存の全ての認証セッションが強制的にログアウトされ、新しいトークンが必要となる。これは、盗まれたトークンを無効化する最も確実な方法の一つで在る
• APIキーの再生成：DeepSeekやOpenAIのAPIを利用している開発者は、使用中の全てのAPIキーを直ちに無効化し、新しいキーを発行すべきで在る
• 「全てのデバイスからサインアウト」の実行：サービス側に「全てのセッションからログアウト」というオプションが在る場合は、これを選択して不正なアクセス経路を遮断する

3. 企業におけるエンドポイント管理の強化

組織レベルでは、ブラウザ拡張機能を「管理されていないソフトウェア」として放置せず、厳格なガバナンスを適用する必要が在る。

• 許可リスト（Allowlist）の導入：従業員が自由な拡張機能をインストールすることを制限し、セキュリティチームが承認した拡張機能のみを許可するポリシーを適用する
• ブラウザ拡張機能の可視化：EDR（Endpoint Detection and Response）やブラウザ管理ツールを使用して、組織内の端末にインストールされている全ての拡張機能とそのパーミッション（権限）を定常的に監視する
• Manifest V3への移行：Googleが進めている新しい拡張機能プラットフォーム「Manifest V3」は、外部から注入されるリモートコードの実行を厳格に制限しており、今回のような動的なスクリプト注入攻撃に対する耐性を高める効果が在る

Geminiの日本語画像生成における文字化け問題の調査報告

AIの安全な利用に関連して、もう一つの重要な課題がユーザーから指摘されている。Googleが提供する「Gemini」において、日本語のプロンプトを用いて画像を生成したり、画像内のテキストを指定したりする際に、文字化け（Mojibake）や不適切な文字表示が発生するという問題で在る。

現状と発生状況の技術的背景

2025年から2026年に掛けての調査によると、Geminiにおける文字化け問題は、主にCLI（コマンドラインインターフェース）での出力、或いはウェブ版でのマルチモーダル（画像＋テキスト）処理の過程で顕在化している。

この問題の根本原因は、単一のバグではなく、複数の技術的要素が複雑に絡み合っていることが判明した。

ユーザー側での具体的な回避策と解決法

Google側での根本的な修正が進むまでの間、ユーザーは以下の手法を用いることで、文字化けを最小限に抑え、意図した画像生成結果を得ることが可能で在る。

プロンプトの最適化とワークフローの改善

システム環境の調整

ブラウザ側の表示に起因する文字化けを解決する為に、以下の確認が有効で在る。

• ブラウザの優先言語設定：Chromeの設定メニューから「言語」を選択し、日本語を最優先に設定した上で、ページをUTF-8で再読み込みさせる
• エンコーディングの再検証：特にAPIを利用して自社ツールに組み込んでいる場合、レスポンスヘッダーに明示的に charset=utf-8 を指定し、Shift-JIS等の古い文字コードとの干渉を防ぐ必要が在る
• キャッシュのクリアと更新：サーバー側のアップデート内容が古いキャッシュと干渉することが在る為、ブラウザのハードリフレッシュ（Ctrl+F5）やキャッシュの削除を定期的に実行する

AI時代におけるエンドユーザーのセキュリティ意識と倫理

今回報告されたマルウェア拡張機能とGeminiの文字化け問題は、いずれも「AIというブラックボックス」を扱う際に生じる信頼性の脆弱性を突いたもので在る。マルウェア拡張機能は、ユーザーがAIに対して抱く「便利で先進的なツールで在る」という信頼を悪用し、文字化け問題はAIの多言語処理という未成熟な部分を露呈させている。

プロンプト密猟から身を守る為の「AIリテラシー」

ユーザーは今後、ブラウザ拡張機能を導入する際、以下の3つの問いを自らに課すべきで在る。

1. 「この機能はブラウザの全データへのアクセス権限を必要とするか？」
   単にChatGPTのサイドバーを表示するだけの機能が、全てのウェブサイトのデータを読み取る権限を求めている場合、それは潜在的なリスクで在る
2. 「開発元の実績と評判は本物か？」
   今回のように正規の「AITOPIA」を名乗る偽物が存在する。レビューの数だけでなく、開発元の公式ウェブサイトや、公式SNSでのアナウンスを確認することが重要で在る
3. 「AIへの入力データは適切に管理されているか？」
   企業の機密情報をAIに入力する際は、そのデータがどこへ送信され、どのように学習に利用されるかを理解していなければならない。拡張機能を経由させることは、その管理経路を複雑にし、漏洩リスクを高める行為で在る