Anthropicが「Claude in Chrome」を一般公開：自律ブラウジングとプロンプト注入防御を実装

AI にブラウザを操作させるとき、最大の懸念は操作ミスではありません。Web ページ上に潜む悪意あるプロンプトに誘導され、AI が勝手にメールを外部へ転送してしまうような「プロンプトインジェクション」のリスクです。

Anthropic は 8 月 26 日、ブラウザ拡張機能「Claude in Chrome」をすべての有料プラン向けに一般公開しました。これまでテスト運用されていたパイロット版から進化し、最大の特徴は各ステップごとの手動承認を不要にした「自律ブラウザアクション」に対応した点です。

自律操作を支える 3 つの防御層

Claude in Chrome は、API 連携が用意されていない社内ダッシュボードやレガシーシステム、ベンダーポータルなどを Claude に操作させるためのツールです。ログイン済みのセッションを使い、ページの閲覧、リンクのクリック、テキスト入力、フォーム送信、タブ間の移動などを実行できます。デスクトップやモバイル、Web アプリとの会話同期にも対応しています。

操作の自律化に伴い、Anthropic はプロンプトインジェクションへの防御策を大幅に強化しました。

第 1 に、内部自動攻撃や外部レッドチームから収集した最新の攻撃パターンをモデル学習へ継続的に投入しています。

第 2 に、Web コンテンツを読み込む手前でチェックを行う「プローブ」の配備です。ツール経由で取得したメールや Web の内容をプローブが事前スキャンし、攻撃の疑いがあれば Claude に警戒を促したり、ユーザーへ確認を求めるよう指示します。

第 3 に、「アクション分類器」による事前検証です。Claude Code の自動モードと同じ仕組みを採用しており、AI が移動しようとしている URL や入力しようとしている内容が、ユーザーの本来の指示と合致しているかを判定します。不審な動きは即座にブロックされます。手動承認のまま使いたい場合は、設定からいつでも切り替え可能です。

0% を記録した評価結果と現在の制限

Anthropic が公開した評価結果によると、防御機構がない状態の強攻撃テストにおいて、攻撃成功率は Opus 4.5 の 17.6% から Opus 5 では 3.8% へ低下しました。

さらにプローブと分類器を有効にした環境下では、Claude Sonnet 5、Claude Opus 5、Claude Mythos 5 における攻撃成功率が 0% を記録したとしています。Fable 5 でのみ 0.3% の成功例が確認されたものの、すべて軽微なシナリオに留まるとしています。

ただし制限事項もあります。現時点で動作するのは Chrome のみで、他の Chromium 系ブラウザやモバイル環境はサポートされていません。ローカルファイルの操作には引き続きデスクトップアプリが必要です。なお、エンタープライズ管理者向けには許可ドメインを絞り込む管理機能が提供されています。

なぜ重要か

今回のアップデートで巧みなのは、AI モデル単体の頑健性だけに頼るのではなく、プローブや意図検証用の分類器を組み合わせた多層防御パイプラインを構築した点にあると考えられます。Web 上のあらゆるテキストが潜在的な攻撃コードになり得る環境では、実行前の独立した検証レイヤーがなければ自律化は現実的ではありません。

ユーザーにとっての価値は明確です。API が存在しない社内ツールや外部ポータル間での転記作業などを、ステップごとの承認ボタン連打から解放された形で自動化できます。反復的なブラウザ作業を抱える有料プランのユーザーであれば、今すぐ試す価値は十分にあると言えます。

とはいえ、プロンプトインジェクションは攻撃手法が常に変化し続ける分野です。ベンチマーク上で 0% を達成したとはいえ、未知の攻撃手法に対する警戒は欠かせません。機密データを扱う業務では、ドメイン制限などの管理機能を適切に併用しながら運用していく姿勢が求められます。