AIがPC・スマホを自動操作する「OSエージェント」時代到来、浙江大学調査が安全性に警鐘

浙江大学とOPPO AI Centerの研究者らが、コンピューターやスマートフォンを自律制御するAIシステム「OSエージェント」に関する包括的調査を発表した。

調査では、コンピューター制御専用に開発された60以上の基盤モデルと50のエージェントフレームワークが確認され、2023年以降に発表率が劇的に加速していることが明らかになった。OpenAIの「Operator」、Anthropicの「Computer Use」、Appleの「Apple Intelligence」、Googleの「Project Mariner」など、主要テクノロジー企業が複雑なデジタルタスクを実行するAIエージェントの展開競争を繰り広げている。

しかし研究では、Web間接プロンプトインジェクションや環境注入攻撃などの新たなセキュリティリスクが指摘されている。現在のシステムの成功率は特定のベンチマークで50%を超えるものもあるが、複雑なタスクでは制限があることも判明した。

From: Study warns of security risks as ‘OS agents’ gain control of computers and phones

【編集部解説】

みなさんは、OSエージェントという言葉をお聞きになったことがあるでしょうか。今回ご紹介するVentureBeatの記事は、AI業界の最前線で起きている技術革命と、それに伴う深刻なセキュリティ課題について警鐘を鳴らしています。

OSエージェントとは、簡単に言えば「人間のようにコンピューターやスマートフォンを操作するAI」のことです。現在私たちがスマートフォンの画面をタップしたり、パソコンのマウスでクリックしたりするのと同じように、これらのAIシステムは自律的にデバイスを制御できます。スクリーンショットを撮影し、ボタンの位置を認識し、フォームに文字を入力し、異なるアプリケーション間を移動する—まさに「デジタルアシスタント」の完成形に近づいていると言えるでしょう。

この技術の進歩速度は驚異的です。記事によれば、60以上の基盤モデルと50のエージェントフレームワークが2023年以降に開発され、OpenAI、Anthropic、Apple、Googleといった業界のトップ企業が一斉に商用化に向けて動いています。しかし、Palo Alto Networksのような大手セキュリティ企業も警鐘を鳴らす、「プロンプトインジェクション攻撃」や「環境注入攻撃」といった新しい脅威が生まれており、従来のサイバーセキュリティ対策では太刀打ちできない状況が生まれています。

特に懸念すべきなのは「Web間接プロンプトインジェクション」の存在です。これは悪意のある攻撃者がウェブページに隠された命令を埋め込み、OSエージェントの動作を乗っ取る攻撃手法です。たとえば、企業の財務システムや顧客データベースにアクセス権を持つOSエージェントが、巧妙に作成されたウェブページによって機密情報を流出するよう操作される可能性があります。人間であれば明らかに怪しいフィッシング攻撃を見分けることができますが、AIシステムは情報を全く異なる方法で処理するため、このような従来のセキュリティモデルは機能しません。

現在のOSエージェントの成功率は、特定のベンチマークでは50%を超えるものもありますが、複雑なタスクでは依然として制限があります。しかし、この技術の真の変革的潜在力は「パーソナライゼーション」にあります。将来のOSエージェントは、あなたの行動パターンを学習し、個人の好みに適応し、時間とともに進化していくでしょう。あなたのメール文体を覚え、好みのレストランを把握し、カレンダーの使い方を理解するAIアシスタントは、生産性を飛躍的に向上させる可能性があります。

一方で、このパーソナライゼーション機能はプライバシーの観点から重大な懸念を抱えています。IBM X-Force の2025年脅威インテリジェンス指標によれば、情報窃取型マルウェアの攻撃量は2025年の初期データで2023年比180%の増加を示しており、OSエージェントが持つ豊富な個人情報は格好の標的となり得ます。

企業にとって最も深刻なのは、いわゆる「シャドウAIエージェント」と呼ばれる現象です。IT部門の管理下にない無許可のAIエージェントが組織内で勝手に動作し、適切な監視なしに機密データにアクセスする可能性があります。特に開発者の場合、OSエージェントの支援により「一人R&D部門」として機能できるようになる一方で、その権限が悪用された場合の影響は計り知れません。

規制の観点から見ると、この技術は既存の法的枠組みを大きく揺るがす可能性があります。AIエージェントが自律的に契約を締結したり、金融取引を行ったりした場合、その法的責任は誰が負うのでしょうか。現在の法制度では、このような新しい技術的現実に対応できていません。

長期的な視点で考えると、OSエージェントは人間とコンピューターのインタラクション方式を根本的に変革する可能性があります。マウスやキーボード、タッチスクリーンに代わって、自然言語での指示がメインインターフェースになる日も遠くないかもしれません。しかし、現在のセキュリティとプライバシーのフレームワークが整備される前にこの技術が広まれば、深刻な社会的影響をもたらす恐れがあります。

私たち読者一人ひとりが、この技術の可能性と危険性を正しく理解し、適切な対応策を講じることが求められています。OSエージェントは確実に私たちの未来を変えるでしょう—問題は、私たちがその変化に準備できているかということなのです。

【用語解説】

OSエージェント（Operating System Agent）
人工知能システムがコンピューターやスマートフォン、ウェブブラウザーのインターフェースと直接やり取りし、人間のように自律的に操作できる技術である。スクリーンショットを撮影してコンピュータービジョンで画面内容を理解し、クリックやタイピングなどの具体的なアクションを実行する。

Web間接プロンプトインジェクション（Web Indirect Prompt Injection）
悪意のある攻撃者がウェブページに隠された指示を埋め込み、AIエージェントの動作を乗っ取る攻撃手法である。AIシステムが人間と異なる方法で情報を処理することを悪用した新しいサイバー攻撃の形態だ。

環境注入攻撃（Environmental Injection Attack）
一見無害なウェブコンテンツや環境データを通じて、AIエージェントを騙してユーザーデータを盗んだり、無許可のアクションを実行させたりする攻撃手法である。

マルチモーダル大規模言語モデル（Multimodal Large Language Models）
テキストだけでなく、画像、音声、動画などの複数の形式のデータを理解し処理できる人工知能モデルである。OSエージェントの技術基盤となっている。

GUIグラウンディング（GUI Grounding）
AIシステムがグラフィカルユーザーインターフェース（GUI）の要素（ボタン、フォーム、メニューなど）を正確に認識し理解する能力である。OSエージェントの基本機能の一つだ。

計算言語学会（Association for Computational Linguistics）
自然言語処理と計算言語学の分野における世界最大の学術組織であり、AIと言語技術の研究発表を行う権威ある国際学会である。