WebGPUでブラウザ指紋採取？最新研究と情シスの備え

ブラウザがGPUを直接使える仕組み「WebGPU」が、利用者を識別・追跡する“指紋（フィンガープリント）”の新たな経路になりうる――。2026年6月に公開された測定研究が、その実態を体系的に調べました。本記事は査読前のプレプリントを実務者向けに噛み砕き、「何が漏れるのか」「情シスはいま何をすべきか」を結論ファーストで整理します。

結論を3行で：

WebGPUは、過去のコンパイル状態などから利用者を見分けうる“信号”を出している。
とくにパイプラインのキャッシュ状態がサイト（オリジン）をまたいで残り、以前の活動を推測されうる点が要注意。
ただし現状の実害は限定的。過剰反応より、ブラウザの管理ポリシーと啓発で“備えておく”のが現実解。

この記事でわかること

WebGPUとは何か、なぜプライバシー上の論点になるのか
研究が明らかにした主な“漏れ”の種類
情シスとして現実的にできる対応と、公的指針への接続

そもそもWebGPUとは何か
この研究は何をしたのか（1文で）
何が新しく、何が分かったのか
情シスにとって何が問題なのか
情シスはどう備えるべきか
限界・留意点（読むときの注意）
まとめ
出典

そもそもWebGPUとは何か

WebGPUとは、Webページからパソコンやスマホのグラフィックス処理装置（GPU）の性能を引き出すための新しいブラウザAPIです。従来の「WebGL」より高速・高機能で、3D描画や機械学習の推論などをブラウザ上で動かせます。2025年後半までにChrome・Edge・Firefox・Safariの主要4ブラウザすべてで標準搭載され、多くの環境で既定（デフォルト）で有効になっています。

便利な一方、GPUはブラウザ・ドライバ・OS・ハードウェアが状態を共有します。研究はこの「共有された状態」が、利用者を見分ける手がかりとして漏れ出しうる点に着目しました。

この研究は何をしたのか（1文で）

WebGPUからどんなプライバシー信号が観測できるかを、実験室・実ブラウザ・参加者調査・大規模クロールという複数の条件で測定した研究です。著者はIgor Santos-Grueiro氏、2026年6月24日にarXivで公開された査読前（プレプリント）の論文です。測定の枠組みを「WGPULens」と名付けています。

何が新しく、何が分かったのか

研究が指摘した主な“漏れ”は次のとおりです。

観測される信号	内容（かみ砕き）	強さの目安
パイプラインのコンパイル状態	GPU向けプログラム（シェーダ）を以前コンパイルしたかどうかが分かる。最も顕著な経路。	強い
コールド／ウォーム判定	そのコードが「初めて」か「実行済みか」を、処理の速さの差から推測できる。	強い
クロスオリジンでのキャッシュ残存	サイトの境界を越えてキャッシュ状態が残り、別サイトでの過去の活動を推測されうる。	要注意
リソースプローブ	GPUの資源状態から得られる手がかり。漏れはあるが比較的弱い。	弱い

WebGPUの挙動は個体差（distinctiveness）が大きく、同一セッション内では安定して同じ利用者と判定しやすい一方、訪問をまたぐと一貫性は下がる、というのが測定の傾向です。つまり「短時間の追跡には効きやすいが、長期の永続IDとしてはまだ不安定」という整理ができます。

もう一つ重要なのは現状の実装実態です。研究によれば、実際のWeb上でのWebGPU利用は、まだ「アダプタの能力を調べる（adapter probing）」程度の静的なコードが中心で、本格的なシェーダ実行は多くありません。つまり“危険な経路は理論的に存在するが、悪用が広く実装されている段階ではない”のが2026年時点の姿だと読めます。

情シスにとって何が問題なのか

フィンガープリンティングは、Cookieを消しても利用者を追跡できてしまう点が厄介です。Cookie規制が強まるほど、こうした「ブラウザやハードの特徴から指紋を作る」手法に注目が集まります。WebGPUはその新しい材料になりえます。

とくにクロスオリジンでキャッシュ状態が残るという指摘は、「あるサイトでの活動が、別サイトから推測されうる」ことを意味します。社内利用ブラウザのプライバシー方針や、業務でアクセスするWebサービスの選定を考えるうえで、頭の片隅に置いておきたい論点です。

とはいえ現場感覚としては、いま全社で大騒ぎするテーマではありません。実害が広く確認されているわけではなく、まずは「そういう経路が生まれつつある」と把握しておくのが妥当です。新しいWeb機能が増えるたびに攻撃面・追跡面も広がる、という当たり前の構図の一例として捉えるのが健全でしょう。

情シスはどう備えるべきか

過剰反応は不要ですが、できる備えはあります。

ブラウザの管理ポリシーを把握しておく：WebGPUはハードウェアアクセラレーションに依存します。Chrome/Edgeの「ハードウェアアクセラレーションを使用する」をオフにすると無効化されるなど、管理者ポリシーで挙動を制御できる場合があります。業務上3D描画やブラウザ内AI推論が不要な端末では、無効化を選択肢として検討できます（互換性影響は事前検証を）。
むやみに無効化しない：WebGPUを切ると正規のWebアプリ（地図・可視化・一部の生成AIツール等）が動かなくなることがあります。一律オフではなく、用途と影響を見極めてください。
ブラウザを最新に保つ：研究が示すような問題は、ブラウザ側のキャッシュ分離（パーティショニング）強化で緩和される方向です。アップデート適用の徹底が、結局いちばん効きます。
ユーザー啓発を続ける：追跡・プライバシーの話は、技術対策だけでなく利用者の理解が要です。地道な教育・啓発が土台になります。IPAの対策のしおりなど、エンドユーザー向け教材を活用しましょう。

社内のセキュリティ運用全般の底上げには、IPAの中小企業の情報セキュリティ対策ガイドラインもあわせて参照すると、優先順位を整理しやすくなります。