「ブラウザの凶器化」がセキュリティの常識を壊す――The Deathrayが示す、GPU悪用による新型DoS攻撃の脅威

なぜ「ただのウェブページ」がMacを停止させるのか

2026年9月、セキュリティコミュニティに一つの不穏なプロジェクトが公開されました。開発者オーベロン・ロペス氏が発表した「The Deathray」——それは文字通り、ウェブページを開くだけでMacOSを操作不能にする攻撃デモンストレーションです。

この現象は決して新しい脆弱性ではなく、むしろ「既存機能の悪用」という、より深刻な問題を浮き彫りにしています。GoogleChrome、Firefox、Safariのいずれでも再現できるという事実は、ブラウザのセキュリティ思想そのものに根本的な問いを投げかけています。

従来のサイバー攻撃は、ユーザーの操作を必要とするか、システムの明確な脆弱性を狙うものでした。しかし「ただページを訪問する」という最小限のアクションで端末全体が機能停止する——これはセキュリティ業界が想定していなかった新しいカテゴリの脅威なのです。

GPU機能が「飛び道具」に変わる瞬間

The Deathrayが利用する仕組みは、WebGLやWebGPUといった、ブラウザからGPU（グラフィックス処理ユニット）に直接アクセスする技術です。これらはゲームや3Dアプリケーションを高速化するための正当な機能として設計されました。

ロペス氏のデモは、この機能を意図的に過負荷状態に追い込みます。具体的には：

• GPU上で無限に近いレンダリング処理を実行
• システムメモリとVRAM（ビデオメモリ）を同時に圧迫
• ブラウザだけでなくOS全体のリソース枯渇を誘発

その結果、Macのカーネルが過負荷判定を下し、画面表示が停止したり、マウス・キーボード入力が受け付けなくなったりします。つまり、ブラウザという「アプリケーション」が、OSの根本的な制御力を奪い取ってしまうという、本来あり得ない状況が発生するわけです。

これまでのDoS（Distributed Denial of Service）攻撃は、サーバーを標的とするものが主流でした。しかしThe Deathrayは、個人ユーザーの端末を直接無力化する「エンドユーザーDoS」という新しいベクトルを示唆しています。

「ブラウザのサンドボックス」が機能しない理由

ブラウザセキュリティの基本思想は「サンドボックス」——つまり、ウェブページの悪意あるコードを隔離された環境に閉じ込めることです。しかし、GPU機能へのアクセスは、このサンドボックスの「脱獄」を可能にしています。

なぜか。それは、ハードウェアアクセラレーション機能がユーザー体験の向上を優先に設計されたからです。WebGLやWebGPUは、ページの読み込み速度や3D表現をリッチにするために、セキュリティ制限を最小化するという選択をされました。

ロペス氏のデモは、この「利便性とセキュリティのトレードオフ」が、如何に脆い均衡の上に成り立っているかを証明しています。開発者たちは「ユーザーが悪意あるページを訪問しない」という楽観的な前提に頼っていたのです。

業界が直面する「新しい防御戦略」の必要性

ブラウザベンダーはすぐに対応を迫られます。考えられる対策は：

• リソース制限の強化：GPU使用量を監視し、閾値を超えたプロセスを自動終了
• ユーザー警告システム：GPU負荷が異常な場合にアラート表示
• WebGPUの許可制化：重要なサイトのみにGPUアクセスを許可
• OSレベルの対応：ブラウザのリソース枯渇をOSが監視・制御

しかし、これらの施策は必ずしも簡単ではありません。GPU機能は現代的なウェブアプリケーション——オンラインゲーム、3D設計ツール、VR体験——の根幹を支えているからです。制限が強すぎれば、正当なユースケースが損なわれます。

さらに懸念されるのは、このテクニックが「一度公開されれば容易に応用される」という点です。The Deathrayは研究的なデモですが、悪意ある行為者がこれを改造し、より巧妙な形で配布する可能性は否定できません。例えば、正規サイトに埋め込まれた広告ネットワークを通じて、数百万台のMacを一時的に機能停止させることも理論的には可能です。

「セキュリティと機能性」の永遠のジレンマ

The Deathrayが浮き彫りにするのは、テクノロジー業界が長年向き合ってきた根本的な問題です。ブラウザは、セキュリティを完璧に保ちながら、同時に最新のハードウェア機能にアクセスさせる必要があります。ゲーミングやAI機能といった高度な処理を提供しつつ、ユーザーの端末を保護する——この矛盾した要求に応える方法は、実は存在しないのです。

業界は今、静かながらも激しい議論を始めています。WebGPUの標準化団体では、ロペス氏のデモを受けて、より厳格なリソース管理要件を組み込むべきか、それとも各ブラウザベンダーの裁量に委ねるべきか——その答えは、今後のウェブセキュリティの方向性を左右する判断となるでしょう。