Anthropicは2026年8月26日（現地時間）、Webブラウザ「Google Chrome」でAIアシスタント「Claude」を利用できる拡張機能「Claude in Chrome」の一般提供を開始したと発表した。Claudeのすべての有料プランで利用できる。従来は操作のたびにユーザーの確認が必要だったが、今回からClaudeがブラウザ操作を自動的に実行できるようになった。
ブラウザ操作を自動化、連携機能のないツールにもアクセス
Claude in Chromeを導入すると、Claudeは表示中のページを読み取り、テキスト入力やリンクのクリック、ページ間の移動、フォームの記入といった操作をユーザーのログイン状態のまま実行する。社内ダッシュボードやレガシーシステム、取引先のポータルサイトなど、Claudeとの連携機能を持たないツールにもAIからアクセスできるようになる。
利用イメージとして、ブラウザの複数のタブで開いた請求書ポータルの情報をClaudeが読み取り、経費管理シートへの転記と支払期日のフラグ付けを実行している様子が示されている（出典：AnthropicのWebサイト）。
プロンプトインジェクション攻撃への対策
一方で、ブラウザを操作するAIエージェントには「プロンプトインジェクション」と呼ばれる攻撃のリスクが指摘されてきた。WebページやメールにAIへの悪意ある指示を隠し、ユーザーが気付かないうちに動作を乗っ取る手口だ。Anthropic自身、2025年の試験公開の際に、防御策を講じない状態では23.6%の攻撃が成功したという検証結果を公表していた。それでも同社が確認なしの自動操作に踏み切った背景には、この約1年で重ねた防御策の拡充がある。
3つの防御策で攻撃成功率を0〜0.3%に抑制
Anthropicは、攻撃事例を学習させたモデル自体の耐性強化と、Claudeが操作を実行する前にWebコンテンツを検査する「プローブ」、操作内容を実行直前に検証する分類機の3つを組み合わせ、最新の評価で現行の各モデルへの攻撃成功率を0〜0.3%に抑えたと説明している。
1つ目の防御策はモデルの訓練だ。Anthropicは、社内の自動攻撃システムや外部のレッドチーム（攻撃者の視点で疑似的な攻撃を仕掛ける専門チーム）、実環境の監視から収集した攻撃事例をライブラリーに蓄積している。現行モデルへの攻撃が成功するたびに事例を追加し、以降のモデルの訓練と防御機構の改善に反映する。
2つ目のプローブは、Claudeが読み込むWebページやメールの内容を検査し、プロンプトインジェクションの兆候を検出する仕組みだ。攻撃の可能性を検出するとClaudeに警告する。警告を受けたClaudeは、必要に応じて操作の前にユーザーへ確認を求める。
3つ目の分類機は、Claudeが実行しようとする操作を検証する。新しいWebサイトへの移動やテキスト入力といった操作を当初の依頼内容と照合し、一致しない操作をブロックする。安全と判断した操作は自動で確認する仕組みで、設定を変更すれば従来通り手動で確認する運用も選べる。
最新評価で成功率は0.3%以下に
Anthropicは、試験公開時に整備した従来の評価を廃止した。最新モデルに対する攻撃が、防御機構なしでもすべて失敗するようになったためだ。現在はプロのレッドチームが考案した、より強力な攻撃で耐性を測定している。
新しい評価では、追加の防御策がない状態でモデルに到達した攻撃の成功率は、前世代の「Claude Opus 4.5」で17.6%、「Claude Opus 5」で3.8%だった。プローブと分類機を併用した場合、「Claude Sonnet 5」とClaude Opus 5、「Claude Mythos 5」への攻撃は成功せず、「Claude Fable 5」への攻撃成功率は0.3%だった。成功した攻撃はすべて深刻度の低いシナリオであることを確認済みで、対策を進めているという。
Anthropicはプロンプトインジェクションの手口が進化し続けるとして、モデルのリリースごとに攻撃の自動発見やレッドチーム演習、分類機の強化に投資を続ける方針だ。
Claude in ChromeはChromeウェブストアからインストールできる。Enterpriseプランでは管理者が組織設定で利用を管理し、利用先を承認済みドメインに制限できる。PC内のファイルや他のアプリケーションを扱う作業には引き続きデスクトップアプリが必要だ。Chrome以外のChromiumベースのブラウザとモバイル環境には現時点で対応していない。
