AI関連の拡張機能・プラグインの悪用に注意。AIとの会話やAPIキーを狙う攻撃
公開日：
※当サイトはアフィリエイトプログラムを利用しています。
「ChatGPTをもっと便利に使いたい」「ブラウザでAIをすぐ呼び出したい」「AIでコードを書くのを効率化したい」。
といった理由で、ブラウザ拡張機能やIDEのプラグインを追加する人が増えています。
ただ、AI関連の拡張機能には、普通の拡張機能とは少し違う危険があります。
AIを使うとき、私たちは検索サイトには入力しないような情報まで入力してしまうからです。
仕事のメール、社内文書、ソースコード、顧客情報といった「業務上の情報」だけではありません。
健康の不安、人間関係の悩み、お金のこと、将来への焦り。
家族にも、友人にも話していないようなことを、AIにだけ打ち明けている人は少なくないはずです。
検索エンジンに入力する言葉より、AIとの会話は踏み込んだ内容になりがちでしょ？
「こんなこと誰かに聞かれたら」と思うような相談を、意外と気軽にAIへ投げかけているのです。
その会話が、拡張機能やプラグインを通じてそのまま外部に読まれていたとしたら。想像するだけで、ぞっとしませんか。
実際に2025年から2026年にかけて、ChatGPTやDeepSeekなどのAIサービスを装った悪質なブラウザ拡張機能や、AI開発をうたうIDEプラグインが次々と確認されています。
「AI用だから便利そう」「公式ストアにあるから大丈夫」と考えてインストールした拡張機能が、AIとの会話やAPIキーを盗む入口になっていた。
そんな事例が実際に起きているのです。
なぜAI関連の拡張機能が狙われるのか
AI関連の拡張機能が攻撃者に狙われるのは、AIそのものが危険だからではありません。
問題は、AIを便利にするために追加した拡張機能が、ブラウザやIDEの中にある情報へアクセスできてしまう場合がある。
与えた権限がどこまでなのかです。
ブラウザの拡張機能には、設定によってWebページの内容や閲覧中の情報にアクセスできるものがあります。
Googleも、拡張機能が「すべてのウェブサイト上のユーザーデータ」などへのアクセスを要求する場合、閲覧したページのデータを読み取ったり変更したりできる可能性があると説明しています。
権限の警告が出たからといって即座に危険というわけではありませんが、何にアクセスする権限なのかは見ておいたほうがいいでしょう。
AIを使っているとき、その「Webページの情報」の中にはAIとの会話も含まれます。
攻撃者から見た場合、AI関連の拡張機能はAIを使っている人の入力内容へ近づくための入口になり得るわけです。
AIチャットの内容を盗む拡張機能が見つかる
ここで紹介するのは、ほんの一例に過ぎません。
こういった事例を見ると、どこまでをAIに入力すべきか改めて考えさせられますね。
AITOPIAを装ったもの
2025年12月、セキュリティ企業のOX Securityは、ChatGPTやDeepSeekの会話内容を盗み出す悪質なChrome拡張機能を確認したと報告しました。
確認された2つの拡張機能は、正規のAIサイドバー拡張機能「AITOPIA」を装ったものでした。
合わせて90万件を超えるダウンロードがあり、うち1つにはGoogle Chromeの「Featured」バッジも付いていたんです。
これらの拡張機能は、ChatGPTやDeepSeekを開いたことを検出すると会話の内容を取得し、閲覧中のタブのURLとともに30分おきに外部サーバーへ送信していました。
盗まれるのは「AIを使った」という履歴だけではありません。
ソースコードを貼り付けていればそのコードが、仕事の相談をしていれば社内情報や事業戦略が、そのまま流出する可能性があります。
AIアシスタントを装ったもの
2026年3月にはMicrosoft Defenderも、同じようにAIアシスタントを装ってLLMのチャット履歴や閲覧データを収集するChromium系ブラウザ拡張機能について調査結果を公表しています。
Microsoftによると、関連する拡張機能は約90万インストールに達し、2万を超える企業テナントで活動が確認されました。
拡張機能はChrome Web Storeを通じて配布され、AIアシスタントらしい名前や説明を使っていたとのことです。
これらの拡張機能は、ChatGPTやDeepSeekなどのプラットフォームから完全なURLとAIチャットコンテンツを収集。
組織を独自のコード、内部ワークフロー、戦略的な議論、その他の機密データの漏洩の可能性にさらしていたそう。
この活動は一見信頼できる生産性向上拡張機能を、永続的なデータ収集メカニズムに変えてしまい、企業環境におけるブラウザ拡張機能がもたらすリスクの高まりを浮き彫りにする危険性があるのです。
公式ストアにあるから安心とは限らない
公式ストアに登録されていることだけを、安全性の根拠にはできません。
Chrome Web Storeなどの公式マーケットには、怪しい拡張機能を見つける仕組みがあります。
それでも、悪質な拡張機能が通過してしまった事例は実際にあります。
AIアシスタント偽装キャンペーン
2026年2月、LayerX Securityは「AiFrame」と名付けたAIアシスタント偽装キャンペーンを報告しました。
ChatGPT、Claude、Gemini、Grokなどを装った30以上のChrome拡張機能が確認され、合計で26万人を超えるユーザーが利用。
一部はChrome Web Storeで「Featured」に選ばれてもいました。
特徴的だったのは、拡張機能の中身の多くをリモートサーバー任せにしていた点です。
LayerXの分析では、これらの拡張機能は外部サーバーからiframeを読み込む仕組みで動いていて、内部だけで完結せず、サーバー側の変更ひとつで実行時の動作を変えられる構造でした。
ストアの審査は「インストール時に見えているコード」を見ますが、この仕組みだとその後の挙動までは審査で見抜けません。
多くの人が知っている名前で安心させる
「ChatGPT」「Gemini」「Claude」「DeepSeek」。すでに多くの人が知っている名前を使うだけで、拡張機能を探している人の目に留まりやすくなります。
しかも、AIサイドバーや文章作成支援など、本当に役立つ機能を一部でも提供していれば、ユーザーは「ちゃんと動いているから大丈夫」と思ってしまいますよね。
実際、Microsoftが調査した事例でも、悪質な拡張機能は正規のAIサイドバー拡張機能のブランドや操作方法を参考にして、見慣れたものに近い形で配布されていました。
ここで利用されているのは、AIそのものへの信頼だけではありません。
「有名なAIの名前だから」「公式ストアにあるから」「普通に動いているから」という安心感そのものが、インストールを後押ししてしまうのです。
あわせて読みたい
「怪しいメール」はもう古い。攻撃者が本当に狙っているのは信頼そのものだった
IDEプラグインも標的に
狙われているのはブラウザだけではありません。
AIによるコード生成やコードレビューを使う開発者向けのIDEプラグインも標的になっています。
AIプロバイダーのAPIキーを盗む
2026年6月、セキュリティ企業のAikido Securityは、JetBrains Marketplaceで配布されていた15個の第三者製プラグインが、AIプロバイダーのAPIキーを盗むように作られていたと報告しました。
JetBrainsもこれを受けて公式に発表し、15個すべてをMarketplaceから削除、関連する7つの公開者アカウントを停止。
インストール済みのプラグインもバックエンドから無効化しています。
累計のインストール数はおよそ7万件にのぼりました。
プラグイン自体は文章生成や単体テストなど、説明されていた機能をきちんと動かしていたんですよ。
ところが、開発者がAIプロバイダーのAPIキーを設定画面に入力して「Apply」を押した瞬間、裏で不正な処理が走る仕組みだったのです。
JVM全体のTLS検証を弱め、取得したAPIキーを暗号化されていないHTTP通信で、攻撃者が管理する海外のサーバーへ送信していた。
つまり、開発者が「AIを使うためにAPIキーを設定した」という、ごく普通の操作そのものが情報流出のきっかけになっていました。
JetBrainsは今後、暗号化されていない通信や不正なTLS設定、APIキーのような機密情報を扱うコードなどを検出できるよう、Marketplaceの審査を強化すると説明しています。
拡張機能やプラグインをインストールするときの対策
AI関連の拡張機能やプラグインは、まず公式サイトから探す。
そしていつも書いていますが、あなた自身で判断できないなら利用しないことです。
拡張機能やプラグインに限らず、新しいサービスを探す時の習慣にしてくださいね。
- 目次
- ・公式サイトから探す
- ・・第三者作成の拡張機能を使う場合の注意点
- ・インストール数やバッジを鵜呑みにしない
- ・AIに入力する情報を選ぶ
- ・使っていない拡張機能は消す
- ・APIキーは最小限の権限で使う
- ・企業では拡張機能を管理する
公式サイトから探す
「ChatGPT 拡張機能」などと検索して上位から適当にインストールするのではなく、まずAIサービスの公式サイトに対応する拡張機能の案内がないか確認しましょう。
公式サービスと関係のない第三者作成の拡張機能を使う場合は、こういったものをしっかりチェックしましょう。
第三者作成の拡張機能を使う場合の注意点
開発者名
組織として実体のある開発者・企業が公開しているもののほうが、何かあったときの問い合わせ先や責任の所在がはっきりします。
同じ開発者が他にどんな拡張機能を公開しているかも、あわせて見ておくと参考になります。
説明文
機能の説明が具体的かどうかを見てください。
「AIをもっと便利に」といった曖昧な文言だけで、実際に何をする拡張機能なのかが書かれていない場合は注意が必要です。
誤字脱字が多い、不自然な日本語が続くといった説明文も、雑に量産された拡張機能である可能性のサインになります。
プライバシーポリシー
ポリシーが用意されているか、そしてリンクが実際に機能しているかをまず確認しましょう。
用意されている場合は、収集する情報の種類と、その情報を「どこに」「何のために」送るのかという部分に目を通してください。
「第三者と共有する場合がある」とだけ書かれていて、共有先や目的が具体的に書かれていない場合は、判断材料が少ないと考えたほうがいいでしょう。
権限
上記で紹介した事例に共通するのは、AI関連の拡張機能・プラグインが、便利な機能と引き換えに広い権限やAPIキーへのアクセスを求めてくる、という点。
インストール時に表示される権限の一覧を確認します。
ページの要約やチャット呼び出しのような機能であれば、Webページの内容を読み取る権限には理由があります。
一方、その機能からは想像しにくい権限（すべてのサイトのデータへのアクセス、クリップボードの読み取りなど）まで求めている場合は、なぜその権限が必要なのかを一度考えてみてください。
インストール数やバッジを鵜呑みにしない
インストール数が多いことや、ストアのバッジが付いていることを、安全性の根拠にはしないでください。
実際にMicrosoftが調査した事例では約90万インストールに達しており、そのうち1つにはChromeの「Featured」バッジまで付いていたことがOX Securityによって報告されています。
誰が提供しているのか、何の権限を要求するのかを見るようにしましょう。
AIに入力する情報を選ぶ
拡張機能が正規のものであっても、AIに入力する情報には注意が必要です。
パスワード、APIキー、顧客情報、社内機密などは、必要性を確認せずに入力しないようにしましょう。
特に、ブラウザの右上や横に常駐するタイプのAIサイドバー拡張機能は要注意です。
今開いているページの内容をそのままAIに読み込ませて要約・翻訳できる、という便利さと引き換えに、閲覧中のページ情報へアクセスできる権限を持っています。
ネットバンキングの画面、社内システム、顧客管理ツールなどを開いたまま、その拡張機能でAIを呼び出す癖がついていないか、一度振り返ってみてください。
また「入力した内容がAIの学習に使われるかどうか」と「拡張機能がその内容を外部に送っているかどうか」は、別の話です。
AI本体の設定で学習利用をオフにしていても、拡張機能側が会話を横取りして別のサーバーへ送っていれば意味がありません。
ブラウザ拡張機能経由でAIにアクセスしている場合は、その拡張機能がどんなデータにアクセスできるのかも合わせて確認してください。
迷ったときの目安は、「この内容を、知らない誰かに見られても困らないか」です。
困る内容なら、拡張機能を経由しない正規のWebサイトやアプリから入力する、という選択肢も検討してください。
使っていない拡張機能は消す
使わなくなった拡張機能を残しておく理由はありません。「そのうち使うかも」と入れたままにしている拡張機能ほど、更新もされず放置されがちです。
開発が止まった拡張機能は、脆弱性が見つかっても直されないままになります。
開発者アカウントが乗っ取られて、後から悪質なコードに書き換えられるケースも実際に報告されています。
特に使用頻度の低い拡張機能ほど、こうした変化に気づきにくいですよね。
月に一度でもいいので、ブラウザの拡張機能一覧を開いて、直近使っていないものがないか確認する習慣を持ちましょう。
名前を見て「これ何のために入れたんだっけ」となるものがあれば、削除の候補。
Chromeには、セキュリティ上のリスクをもたらしうる拡張機能について警告する「安全チェック」の機能もあるので、あわせて使ってみてください。
APIキーは最小限の権限で使う
開発者がAI関連のプラグインを使う場合は、APIキーの扱いにも注意してください。
JetBrainsが2026年6月に公表した事例では、悪質なプラグインの設定画面にAPIキーを入力しただけで、そのキーがそのまま外部に盗まれていました。
プラグイン自体は文章生成や単体テストなど、普段どおりの機能を提供していたため、開発者は何かを疑う余地もなかったはずです。
対策としては、まずAPIキーを発行する側（OpenAIやAnthropicなどの管理画面）で、そのキーにできることを絞り込んでおくことが有効です。
使う予定のない機能へのアクセス権は外し、月ごとの利用金額に上限を設定。
こうすれば、万一キーが流出しても、被害は「上限までの金額」と「許可した機能の範囲」に抑えられます。
また、同じAPIキーをいくつものプラグインやツールで使い回すのも避けたいところ。
ツールごとにキーを分けておけば、どこかで流出が疑われたときに、そのキーだけを止めて調べれば済みます。
企業では拡張機能を管理する
会社で使う場合は、従業員が自由にAI関連の拡張機能を追加できる状態にせず、利用許可の対象をあらかじめ決めておく方法があります。
Microsoftも、組織内のブラウザ拡張機能を棚卸しして監査すること、AI利用に関する組織のルールを作って監視することを推奨しています。
棚卸しといっても難しく考える必要はなく、まずは「今、社内のPCにどんな拡張機能が入っているか」を洗い出すところから始められます。
ブラウザの管理機能を使えば、従業員ごとにインストールされている拡張機能を一覧で確認できます。
Chromeなど主要なブラウザには、管理者が特定の拡張機能だけを許可制にする、あるいは特定のものをブロックする仕組みも用意されていますよ。
AI利用のルールについても、「AIの利用を禁止する」よりも、「どのAIサービスを、どんな情報までなら入力してよいか」を具体的に決めておくほうが現実的。
顧客情報や機密情報を扱う部署ほど、許可する拡張機能やAIサービスを絞り込む必要があります。
ここで見落とされがちなのが、AIサービス側の対策とブラウザ側の対策は別物だという点です。
社内で使っていいAIサービスを決め、そこに入力する情報を管理したとします。
でも、従業員のブラウザに入っている拡張機能がその画面の情報を読み取れる状態であれば、別の経路から同じ情報が漏れてしまう。
AIの利用ルールを作るときは、拡張機能やプラグインの管理もセットで考えてくださいね。
AIとの対話をより快適にしてくれるAI関連の拡張機能やプラグイン。
その利便性の裏には、会話履歴や機密情報、APIキーなどが狙われる深刻な情報漏洩リスクが潜んでいるかもしれません。
「公式ストアにあるから」「有名なAIの名前だから」と安易に信頼せず、必要な権限の確認や不要な機能の削除といった基本的なセキュリティ対策を徹底しながら、AIを安全に活用していくことが大切です。
あわせて読みたい
AIエージェントに権限を全部渡してない？過剰な権限が危険な理由とは
AIエージェントのリスク｜自動化・効率化を始める前に知っておきたいこと