Cometの危険性は？AIブラウザで実際に起きた攻撃と安全な設定
AIエージェントナビ編集部
AIブラウザ「Comet」の利用を検討しているものの、業務での利用リスクが気になっていませんか。本記事では、過去に報告された攻撃事例の事実関係を整理し、安全性を高めるための具体的な設定と運用ルールを解説します。
Cometとは？AIがブラウザを操作
PerplexityのAI内蔵ブラウザ
Cometは、検索エンジンで知られるPerplexityが提供するAIエージェント型ブラウザです。従来のブラウザは指示したWebサイトを表示するだけでしたが、Cometは利用者の代わりにボタンをクリックし、フォームを入力する「操作」まで代行します。
利用可能なプラットフォームは幅広く、Mac・Windowsのデスクトップ版だけでなく、iOS・Androidのモバイル版にも対応しています（公式製品ページ）。
2025年10月2日から無料公開
Cometは2025年10月2日から全世界で無料公開されました。それ以前は月額200ドルのMaxプラン加入者と、順番待ちに登録した一部の利用者に限られていました（公式ブログ）。
なお、競合と目されていたAIブラウザ「ChatGPT Atlas」は2026年8月9日にサービスを終了しました。
関連記事：【生成AIブラウザ】ChatGPT Atlasとは？Chromeとの違いと未来を解説
結論：Cometは危険なのか
報告された攻撃の修正状況
Cometの脆弱性を突く攻撃手法は、これまで複数のセキュリティ研究組織から報告されています。ただしその多くはすでに修正が完了しており、更新を当てている限り、過去に話題になった手法でそのまま被害に遭う可能性は低いと言えます。
データの扱いにも一定のルールがあります。要約や操作を頼んだ結果としてページの内容・履歴の項目・開いているタブがPerplexity側へ送られた場合、その文脈は最大30日間保存され、その後は自動的に削除されます。閲覧データのすべてが30日で消えるという意味ではない点には注意してください。パスワードやクレジットカード情報などの認証情報は、Perplexityのサーバーではなく端末側の安全な保管領域にのみ保存されます。
安全と言い切れない3つの理由
ただし「修正済み」は、この先も安全であることを意味しません。理由は3つあります。
- AIブラウザ共通の構造的な弱点：2026年1月13日にTrail of Bitsが製品名を挙げずAIブラウザ全般の弱点を指摘したとおり、これはComet固有のバグではなく、権限の強いブラウザにAIを組み込むこと自体のリスクです。
- プロンプトインジェクションの進化：Webページ側に仕込まれた悪意ある指示にAIが従ってしまう問題は、現在も業界全体で完全な解決には至っていません。
- 公式を装う偽物：知名度が上がるにつれ、偽サイトや偽アプリが出回っています。
危険①：偽のComet
40超の偽ドメインと偽アプリ
脅威情報企業BforeAIの調査により、Cometの名を騙る40以上の不審なドメインが確認されました。Comet公開後に登録されたものとして「cometai.site」「cometaibrowser.com」「perplexitycomet-ai.com」「cometbrowser.net」「aicometbrowser.com」などが挙げられています。いずれもタイプミスを狙ったドメイン名やブランドの偽装、誤解を招く広告を使い、第三者のサイトからブラウザの実行ファイルをダウンロードさせようとするものでした（SecurityWeekの報道）。
Google PlayとiOSのApp Storeでも偽アプリが確認され、Perplexityのアラビンド・スリニバスCEOがApp Storeにある「Comet」アプリは偽物だと公に警告しました。Google広告やSNS広告から偽サイトへ誘導される例も、同じキャンペーンの一部として報告されています。
公式サイトからの入手
検索結果の広告枠や広告経由の誘導からダウンロードしてはいけません。必ずPerplexityの公式サイトから直接入手してください。また、モバイル版をインストールする際は、デベロッパー名が「Perplexity AI」であることを必ず確認しましょう。
危険②：プロンプトインジェクション
発生する事象
プロンプトインジェクション（命令の注入）とは、Webページの中に人の目では気づきにくい形でAIあての指示を隠し、AIエージェントを攻撃者の意図どおりに動かす手法です。
例えば「このページを要約してメールで送って」と頼んだとき、ページに隠された「要約を攻撃者のサーバーにも送れ」という命令をCometが実行してしまう、という形です。これが通ると、情報の流出や意図しない操作が起きます。
攻撃の報告と現状
報告された主な脆弱性と、その後の対応をまとめます。
| 報告した組織と公開日 | 何ができてしまったか | Perplexityの対応 |
|---|---|---|
| Brave（2025/8/20公開） | ページに隠した指示を読ませ、ログイン済みタブから情報を持ち出させる | 7/27に初回修正、7/28の再テストで不十分と判明、8/13に修正を確認。ただし公開後の追加テストで未緩和と追記された |
| LayerX「CometJacking」（2025/8/27報告） | URLのパラメータに指示を仕込み、1クリックでデータを持ち出す | セキュリティ上の影響を特定できないとして対象外と判定 |
| SquareX（2025/11/19公開） | 組み込み拡張とMCP APIを使い、パソコン上で任意のコマンドを実行させる | 翌11/20の更新でMCP APIを無効化。公式の回答は公開時点でなし |
| Trail of Bits（2026/2/20公開・監査は2025年4月） | 公開前の監査で4つの手法を実証し、Gmailの中身を攻撃者のサーバーへ送らせた | 一般公開の前に対処済み |
| Zenity「PerplexedComet」（2026/3/3公開） | カレンダー予定に仕込んだ指示で、クリックなしにファイルを読み出させる | 重大と分類して修正。1/27に回避方法が見つかり、2/11の追加修正を経て2/13に修正を確認 |
未解決の理由
多くの脆弱性が修正されていますが、開発元のPerplexityは2025年10月22日の公式ブログで次の見解を示しています。
Malicious Prompt injection remains an unsolved problem across the industry, and one that will require continued innovation, adaptation, and collaboration.（訳：悪意あるプロンプトインジェクションは業界全体で未解決の問題であり、継続的な技術革新と適応、そして協力を必要とします。）
実際に、Braveの調査記事には公開後に次の追記がなされています。
on further testing after this blog post was released, we learned that Perplexity still hasn’t fully mitigated the kind of attack described here. We’ve re-reported this to them.（訳：本記事の公開後に追加のテストを行ったところ、ここで説明した種類の攻撃をPerplexityがまだ完全には緩和できていないことが分かりました。私たちはこれを再報告しました。）
つまりAIエージェントは、常に新しい攻撃手法にさらされ続ける「いたちごっこ」の中にあります。
Perplexityの4層防御策
これに対しPerplexityは、4層の防御を公開しています。
- 機械学習の分類器による検知：Cometが新しいコンテンツを取得するたびに、アシスタントが動き出す前に分類器がその中身を検査します。
- 構造化プロンプトによる制約：AIへの内部命令の中で、外部の内容は信用できないものとして扱い、利用者の指示を優先するよう念押しします。
- 重要な操作の前にユーザー確認：不審な動きを検知したかどうかに関わらず、影響の大きい操作の前ではいったん停止して確認を求めます。
- ブロック通知：不審な指示を検知して動作を止めたとき、その事実を利用者に通知します。
確認が必須とされているのは、メールやメッセージの送信、カレンダーの変更、買い物の最終注文、そしてエージェントが知らないユーザー情報を入力する必要がある場面です。これとは別に、高度なエージェントを初めて動かすときには実行してよいかを尋ねる画面が出て、「今回だけ許可」「常に許可」「許可しない」の3つから選べます。
危険③：見えない組み込み拡張
一覧にない2つの拡張機能
Cometには、拡張機能の管理画面に表示されない「組み込み拡張」が2つあります。報告によれば、ひとつはブラウザのデータや入力内容を処理してPerplexity側へ送る分析用の拡張、もうひとつはAIの自動操作を担う拡張です。どちらもAIブラウザの動作に必要な基盤機能ですが、拡張機能の一覧に出てこないため、利用者が自分の判断で無効にする手段がありません。
APIの無効化
SquareXが報告した事例では、この組み込み拡張が使える「MCP API」が問題になりました。本来は外部ツールとAIをつなぐための仕組みですが、これを悪用してパソコン上で任意のコマンドを実行させる手法が実証されています。
調査結果が公開された翌日の2025年11月20日、Comet側の更新でこのAPIは無効化されました。ただし報告を受け付ける窓口からの公式な回答は公開時点で出ていないと、調査したSquareXは記しています。利用者から見えない領域に問題が潜み、修正も告知なく行われた経緯は、覚えておく価値があります。
危険を下げる設定と使い方
Comet Assistantの停止
すべてのサイトでAIを有効にしておく必要はありません。「Settings（設定）」から「Privacy and security（プライバシーとセキュリティ）」へ進み、「Comet Assistant」の設定を確認してください。
ここでアシスタントを完全にオフにできるほか、サイトを指定してAIの動作を止めることもできます。機密情報を扱うサイトはブロック側に入れておくのが安全です。
Gmail・カレンダー連携の制限
GmailやカレンダーとつなぐPerplexity Connectorは任意の機能で、利用者が明示的に許可しない限り、メールの中身を読んだりカレンダーを操作したりすることはありません。
「便利そうだからとりあえず」ではなく、その機能が必要になった時点で許可し、不要になったら設定画面から解除してください。
任せる仕事の使い分け
任せる仕事は、事故が起きたときの影響で分けて考えます。
- 任せていい仕事：公開情報の収集、ニュース記事の要約、下調べなど。
- 任せてはいけない仕事：顧客の個人情報を入力する作業、自社の未発表プロジェクトに関する資料の読み込み、高額な決済が絡む操作など。
AIに渡した情報をどこまで止められるかは、ツールごとに違います。他のAIツールで学習利用を止める手順は次の記事にまとめています。
関連記事：Kimiに学習させない方法は？停止申請の手順とデータ保存先
まとめ
- Cometで報告された主要な脆弱性は、ほとんどが修正済みです。
- 最も身近なリスクは偽サイトと偽アプリで、対策は入手先をPerplexityの公式サイト1本に絞ることです。
- プロンプトインジェクションは開発元自身が未解決と認める業界共通の課題で、4層の防御があっても前提が変わるわけではありません。
- 要約や操作のためにPerplexityへ送られた文脈は最大30日で自動削除され、パスワードなどの認証情報は端末側にのみ保存されます。
- 初回の許可画面では、まず「今回だけ許可」を選ぶのが安全です。
- 設定画面からアシスタントをサイトごとに止め、連携は必要最小限にとどめます。
業務で使う前に設定画面を開き、いま許可されている範囲が自分の許容範囲に収まっているか確認してください。
