Anthropic、Claude を Chrome で一般提供し自律行動を可能に

Claude in Chrome が、すべての有料プランで一般利用可能になりました。これにより、ブラウザ内での自律的な操作が可能になり、以前のように各アクションごとに承認を得る必要がなくなりました。実行前に安全クラッシーファイアが各アクションを検証し、安全性とユーザーの要求への適合性を確保します。

毎日使用しているツールの多くは Claude と接続 されていますが、内部ダッシュボードやレガシーシステム、ベンダーポータルなど、接続されていないツールも依然として存在します。Claude in Chrome は、こうしたツールへのアクセスを可能にします。現在のページを表示し、既存のログイン情報を使用してテキストの読み取りや入力、リンクのクリック、ページ間の移動、フォームの入力などの操作を実行できます。

昨年、Claude in Chrome をパイロット版として発表しました。これは、プロンプトインジェクション に対する防御体制を強化しながらテストを行うためでした。プロンプトインジェクションとは、ウェブサイトやメール、ドキュメントに隠された悪意のある指示で、AI エージェントに対してユーザーの意向に反する行動を取らせようとするものです。以下に説明するこれらの防御策により、Claude in Chrome の一般利用が可能となりました。

プロンプトインジェクションからの保護

Claude for Chrome のパイロット版を発表した際にもお伝えした通り、ブラウザ内で動作する AI エージェントはプロンプトインジェクションのリスクにさらされています。そのため、Claude in Chrome をより広くリリースする前に、私たちは防御策を強化しました。

プロンプトインジェクション攻撃では、悪意のある第三者が Web ページやメール、フォームフィールドなどのウェブコンテンツの中に指示を隠し込みます。ユーザーはそれらを目にすることはありませんが、これらの隠された指示によってエージェントが予期せぬ行動をとるよう誘導されてしまう恐れがあります。例えば、Claude にメールの返信文を作成させる際、あるメッセージ内に隠された指示によって、他のメールを攻撃者へ転送してしまうようなことが起こり得ます。

リリース当初は、こうした攻撃に対する Claude の防御機能と、当時導入していた安全策について説明しました。その後、ブラウザ利用時の安全対策 に関するより詳細な内容を公開しています。それ以来、モデルのトレーニング方法や プローブ の運用を改善し、Claude が Chrome 内でより自律的な行動をとれるようにする追加の分類器も導入しました。次のセクションでは、これらの安全策の有効性を示す評価結果について解説します。

Claude は攻撃をより多く検出します。

私たちは、内部の自動アタッカーや外部のレッドチーム、そして実世界の監視から収集した、増え続けるプロンプトインジェクション攻撃のライブラリを用いて Claude を訓練しています。新しい攻撃が現在のモデルに対して成功した場合、それはライブラリに追加され、将来のモデルのトレーニングや展開された防御策を強化する情報源となります。これにより、Claude はその攻撃を検出できるようになります。

2025 年 11 月に ブラウザ利用におけるプロンプトインジェクション対策 について初めて報告して以来、Claude はこれらの攻撃に対して大幅に耐性を持つようになりました。

Claude が行動する前に、スクリーン上の Web コンテンツがプローブによって検査されます。

Web コンテンツはツール結果を通じて Claude に渡されます。ページを読むやメールを開くといったアクションを実行する場合、モデルはツール呼び出しを行います。そのツール結果により、モデルは出力（この場合はページの内容やメール本文）を読み取ることができます。私たちは、これらの結果に対して潜在的なプロンプトインジェクションを検出するためにプローブを訓練しています。

プローブが攻撃の可能性を検知した場合、Claude はそのコンテンツを疑って扱うよう警告され、必要に応じてアクションを実行する前にユーザーに確認を求めるようになります。これらのプローブは Claude Opus 4.5 で初めて導入され、その後、対応する攻撃のタイプが拡大されています。

実行前のアクション検証

Claude in Chrome では、安全と判断されたアクションは自動的に承認されるようになりました。これは「Claude Code」の auto mode と同じ仕組みです。もし手動で承認したい場合は、設定からこの機能をオフにすることも可能です。

Claude が実行しようとするナビゲーションやページへのテキスト入力などのアクションは、分類器によってレビューされ、ユーザーの元の依頼内容と照合されます。依頼内容と一致しないアクションはブロックされます。

プロンプトインジェクションに対する Claude の堅牢性測定

ブラウザベースの作業に安全に使用できるよう、これらのセキュリティ対策をテストしました。ここでは最新の評価結果をご紹介します。

Cowork ハーネス における 初期の評価 では、Claude in Chrome パイロット版公開時に開発されたプロンプトインジェクション攻撃に対する「Claude Cowork」の耐性を検証しました。その際、上記のようなプローブや分類器を使用しなくても、Claude Fable 5、Claude Opus 5、Claude Sonnet 5 のいずれにおいても攻撃は成功しませんでした。

Claude Opus 4.5、Sonnet 5、Opus 5、Fable 5 に対するプロンプトインジェクション攻撃の成功率です。Opus 4.5 は拡張思考モードで実行しました（このモデルは新しいデフォルトである適応型思考に対応していないため）。他のすべてのモデルは、デフォルト設定として中程度の努力レベルで適応型思考を有効にして実行しています。

2025 年 11 月のブログ記事 November 2025 blog post で報告した結果は、拡張思考を無効にした状態で取得したものです。ただし Fable 5 では思考機能をオフにできないため、ここでは思考機能有効時の結果を報告しています。

また、2025 年 11 月に使用していた評価用モデルは利用できなくなったため、より高度な評価パイプラインに移行し、成功した攻撃事例については手動レビューも併せて実施しました。これにより、誤検知（偽陽性）を大幅に減らすことに成功しています。

評価が飽和状態に達したため（成功率が0%であったことがその証拠です）、この評価は廃止することにしました。現在使用している評価では、プロのレッドチームから提供されたより強力な攻撃手法を用いており、追加の安全対策を講じる前段階で、Opus 4.5 に対しては17.6%、Opus 5 に対しては3.8%の確率で攻撃が成功しました。2025年11月時点で利用可能な最も強力な安全対策を適用した場合でも、プローブ付きで動作する Opus 4.5 に対する攻撃の成功率は16.7%でした。

一方、Opus 4.8 以降のすべてのモデルにおいて、プローブと安全性分類器を併用した環境では、Claude Sonnet 5、Claude Opus 5、Claude Mythos 5 のいずれに対しても攻撃が成功することはありませんでした。Fable 5 に対する攻撃成功率は0.3%でした。手動検証の結果、すべての突破事例は低Severity（重大度）のシナリオに限られており、これらのリスクを軽減する取り組みを進めています。

プローブと自動承認型安全分類器を併用した場合、Claude Sonnet 5 や Opus 5 に対する攻撃はすべて阻止されました。Fable 5 に対しては0.3%の攻撃が成功しました。Opus 4.5 のモデル挙動では攻撃が到達する数が少なかったものの、それでも最も高い成功率を記録しています。

プロンプトインジェクションは常に変化する標的です。このアプローチは現在の攻撃に対する防御となりますが、攻撃者の手法が進化し続ける中で、セキュリティ対策もそれを見越して常に先手を打つ必要があります。モデルのリリースごとに、私たちは攻撃の発見やレッドチーム演習を自動化する高度なシステムの開発、そしてより強力な分類器の構築に引き続き投資を行っています。

使い方

Claude in Chrome を使い始めるには、Chrome ウェブストア からインストールしてください。エンタープライズプランでは、管理者が組織設定で管理し、承認されたドメインにのみ利用を制限できます。詳しくは 管理者向けセットアップガイド をご覧ください。

ファイルの操作や他のアプリケーションとの連携には、引き続き Claude デスクトップアプリをご利用ください。Claude in Chrome は、現時点では Chromium ベースの他のブラウザやモバイル端末では動作しません。

*¹ すべての攻撃がモデルに到達するわけではありません。つまり、モデル側で検知されないケースもあります。場合によっては、Claude が実行した行動の結果として、悪意のある指示自体を遭遇しないこともあります。*