Claudeがブラウザを自律操作する「Claude in Chrome」一般提供 プロンプトインジェクションをどう防ぐ？：Claude Codeの自動モードと[「同じ仕組み」

Anthropicは、Webブラウザの拡張機能「Claude in Chrome」を全ての有料プランで一般提供した。操作ごとの承認を求めず、AIエージェントが自律的にWebブラウザを操作する。実行の前に安全性分類器が各操作を検証する。

[＠IT]

　Anthropicは2026年8月26日（米国時間）、Webブラウザ「Google Chrome」の拡張機能「Claude in Chrome」を一般提供したと発表した。「Claude」の全ての有料プランで利用できる。

　従来は一つ一つの操作にユーザーの承認が必要だったが、自動承認によってClaudeが自律的に操作を実行するようになった。実行前に安全性分類器が各操作を検証し、安全かどうかと、ユーザーの依頼内容に合致しているかどうかを確認するという。

Claudeがブラウザを自律操作、プロンプトインジェクションをどう防ぐ？

　ユーザーが日常的に使うツールの多くはClaudeと接続できる一方、社内のダッシュボードやレガシーシステム、ベンダーが提供するポータルサイトのように接続できないものも多い。

　Claude in Chromeは、こうしたシステムにWebブラウザ経由でアクセスする。ユーザーが開いているページを読み取り、既存のログイン情報を使って、テキストの読み取りと入力、リンクのクリック、ページ間の移動、フォームへの記入といった操作を実行する。タブをまたいだ作業にも対応し、会話はデスクトップアプリ、モバイルアプリ、Webアプリで継続できる。

　Anthropicは2025年に、Claude in Chromeをパイロット版として公開していた。Webブラウザで動作するAIエージェントはプロンプトインジェクションに対して脆弱（ぜいじゃく）なので、防御を固めながら検証を進めたという。

Webページに隠されたプロンプトインジェクションへの3つの防御

　プロンプトインジェクションは、Webページやメール、フォームの入力欄といったWebコンテンツに攻撃者が指示を埋め込む攻撃だ。ユーザーの目には触れないが、埋め込まれた指示はAIエージェントをユーザーが依頼していない動作に誘導する。例えばClaudeにメールの返信文を作らせている場合、1通のメールに隠された指示によって、他のメールを攻撃者に転送させられる可能性がある。

　1つ目の防御は、モデル自体の耐性を高めることだ。Anthropicは、社内の自動攻撃システム、外部のレッドチーム（攻撃者の視点で弱点を探す専門家集団）、実環境の監視から集めたプロンプトインジェクション攻撃のライブラリを用意し、これを使ってClaudeを訓練している。現行のモデルに対して新たな攻撃が成功すると、その攻撃はライブラリに追加され、以降のモデルの訓練と、稼働中の防御機構に反映される。同社は、Webブラウザ操作向けのプロンプトインジェクション対策を最初に公表した2025年11月以降、Claudeの耐性は大きく向上したとしている。

　2つ目は「プローブ」による事前検査だ。Webコンテンツは、ツールの実行結果としてモデルに渡る。ページを読む、メールを開くといった操作では、モデルがツールを呼び出し、その結果としてページやメールの内容を読み取る。プローブはこの実行結果を走査し、プロンプトインジェクションの疑いがある内容を検出する。検出した場合、Claudeにはその内容を疑って扱うよう警告が渡り、必要に応じて操作前にユーザーに確認する。プローブは「Claude Opus 4.5」で初めて導入し、その後に対象とする攻撃の種類を広げている。

　3つ目が、今回加わった操作の事前検証だ。Claude in Chromeでは、Claudeが安全と判断した操作を自動で承認する。「Claude Code」の「auto」（自動）モードと同じ仕組みを使う。安全性分類器が、新しいWebサイトへの移動やページへのテキスト入力といった実行直前の操作を確認し、ユーザーが最初に依頼した内容と照合する。依頼に合致しない操作はブロックする。この自動承認は設定で無効にでき、従来通り手動で承認することもできる。

プローブと安全性分類器の併用で攻撃成功率は0.3％以下に

　Anthropicは2種類の評価で対策の効果を測定した。

　1つは、パイロット版の公開時に作成した初期評価だ。「Claude Cowork」の実行環境で測定したところ、プローブと分類器を使わない状態でも、「Claude Fable 5」「Claude Opus 5」「Claude Sonnet 5」に対して成功した攻撃はなかった。Claude Opus 4.5でも、プローブを適用した構成で0.00％だった。同社はこの評価が限界に達したと判断し、運用を終えた。

初期評価におけるプロンプトインジェクション攻撃の成功率（提供：Anthropic）

　もう一つは、専門のレッドチームがより強力な攻撃を用意した現行の評価だ。129のシナリオについて構成ごとに10回試行し、攻撃は「Claude Opus 4.7」を対象にレッドチームが作成した。追加の防御機構を使わない状態では、モデルに到達した攻撃の成功率はClaude Opus 4.5で17.6％、Claude Opus 5で3.8％だった。2025年11月時点で利用できた最も強力な防御策としてプローブを併用したClaude Opus 4.5でも、16.7％が成功している。

　プローブと安全性分類器を併用した場合、「Claude Opus 4.8」以降のモデルでは攻撃はほぼ成功しなかった。Claude Sonnet 5、Claude Opus 5、「Claude Mythos 5」に対して成功した攻撃はなく、Claude Fable 5に対しては0.3％だった。同社は成功した攻撃を手作業で確認し、いずれも深刻度の低いシナリオだったとして、対策を進めている。

現行評価におけるプロンプトインジェクション攻撃の成功率（提供：Anthropic）

　なお、全ての攻撃がモデルに到達するわけではない。Claudeの操作によっては、悪意ある指示に遭遇しないまま終わる場合がある。

　Anthropicは、プロンプトインジェクションの攻撃手法は絶えず変化していると指摘する。現在の攻撃を防げても、変化する攻撃手法に防御策を先行させる必要があるとして、モデルのリリースごとに攻撃の自動発見、レッドチーミング、安全性分類器の強化に投資を続けるとしている。

Enterpriseプランは管理者が対象ドメインを制限できる

　Claude in Chromeは「Chrome ウェブストア」から導入する。Enterpriseプランでは、管理者が組織設定で利用を管理し、承認済みのドメインに限定できる。

　制限もある。PC上のファイルや他のアプリケーションを扱う作業には、引き続きデスクトップアプリが必要だ。Claude in Chromeは、Chrome以外のChromium系Webブラウザとモバイル環境では現時点で動作しない。