Anthropicがプロンプト注入防御を強化、Claude拡張機能がベータへ

AIアシスタントに未読メールの要約を頼んだところ、あるメールの背景に白い不可視テキストで悪意ある指示が埋め込まれており、機密情報が外部に転送されてしまう。AIが自律的にブラウザを操作する時代、プロンプトインジェクションは単なる出力の乱れではなく、現実のセキュリティ侵害を引き起こす脅威になります。

Anthropicは11月24日、ブラウザ操作環境におけるプロンプトインジェクション対策の進捗を発表しました。新モデルのClaude Opus 4.5における堅牢性の向上に伴い、同社はClaude for Chrome拡張機能をリサーチプレビューからベータ版へ移行し、Maxプランの全ユーザーに向けて提供を開始しました。

攻撃成功率を1%まで低減した3つの防壁

ブラウザを操作するAIエージェントは、URL遷移、フォーム入力、ダウンロードなど多岐にわたるアクションを実行できます。しかし、訪問するすべてのWebページ、広告、動的スクリプトが攻撃の侵入経路になり得ます。

Anthropicが複数の攻撃手法を組み合わせた内部の適応型Best-of-N評価を実施したところ、今回の最新構成では攻撃成功率を1%にまで抑え込むことに成功しました。

防御策の第1の柱は、強化学習による耐性訓練です。模擬Web環境で悪意あるプロンプトに直面した際、権威ある指示に見えるトラップであっても拒否できるようモデル自体を学習させました。

第2の柱は分類器の改善です。コンテキストに入力される信頼できないコンテンツを精査し、隠しテキストや改ざん画像、詐欺的なUI要素を検出してAIの挙動を安全に制御します。

第3の柱は専門家によるレッドチーム演習の拡大です。人手による脆弱性探査を継続し、業界全体の耐性を測る外部ベンチマークにも参加しています。

なぜ重要か

ユーザー視点では、ブラウザを自律操作するAIの実用化に向けた大きな一歩と言えます。Maxプランのユーザーであれば日常のWeb調査や定型作業を任せる価値がありますが、機密メールや金融サービスのような重要領域では、依然として人間の監視を外すべきではないと私たちは考えます。

Anthropicの対応で賢明なのは、問題を完全に解決したとは決して主張していない点です。1%の成功率であっても実質的なリスクは残っており、Webという敵対的な環境で完全な免疫を持つエージェントは存在しないと率直に明言しています。

業界全体にとっても、エージェント開発の競争軸が単なるタスク実行能力から敵対的防御の強靭さへと移行しつつあることを示しています。外部コンテンツを直接処理して行動を起こすAIにとって、セキュリティこそが普及の絶対的な前提条件になるはずです。