Anthropic、Claude in Chrome一般提供。操作を自動承認

Anthropicは2026年8月26日（米国時間）、Google Chromeの拡張機能「Claude in Chrome」を一般提供すると発表した。Claudeの全ての有料プランで使える。2025年にパイロット版として公開していたもので、正式版では操作ごとにユーザーの承認を求める方式をやめ、Claudeが自律的に操作を進められるようにした。

Claude in Chromeは、ユーザーが開いているページを読み取り、すでにログインしている状態を使って、テキストの読み取りと入力、リンクのクリック、ページの移動、フォームへの記入をこなす。複数のタブをまたぐ作業にも対応する。APIでつなげない社内システムや取引先のポータルを扱えるのが特徴だ。

ブラウザを操作するAIエージェントの最大の弱点は、プロンプトインジェクションだ。Webページやメールに攻撃者が指示を隠しておき、AIを依頼されていない動作に誘導する。Anthropicは3層の防御を敷く。1つ目はモデル自体の耐性で、社内の自動攻撃システムや外部のレッドチーム、実環境の監視で集めた攻撃例でClaudeを訓練し、新たに成功した攻撃は以降の訓練に反映する。2つ目は「プローブ」で、ツールの実行結果として渡るページやメールの内容を走査し、疑わしい指示を見つけるとClaudeに警告し、必要ならユーザーに確認する。3つ目が今回加わった安全性分類器で、新しいサイトへの移動やテキスト入力といった実行直前の操作を、ユーザーが最初に頼んだ内容と照合し、合わないものは止める。これはClaude Codeの「auto」モードと同じ仕組みで、設定で無効にして手動承認に戻すこともできる。

効果の測定では、専門のレッドチームが129のシナリオを用意し、構成ごとに10回試した。追加の防御がない状態の攻撃成功率は、Claude Opus 4.5で17.6%、Claude Opus 5で3.8%だった。プローブと分類器を併用すると、Claude Opus 4.8以降の世代ではほぼ成功せず、Sonnet 5、Opus 5、Mythos 5では0件、Fable 5では0.3%だった。成功した攻撃は深刻度の低いシナリオだったという。

Enterpriseプランでは、管理者が利用を管理し、承認したドメインに限定できる。一方、PC上のファイルや他のアプリを扱うにはデスクトップアプリが必要で、Chrome以外のChromium系ブラウザやモバイルでは今のところ動かない。

人の確認を前提にしていたブラウザ操作を、分類器による自動承認へ切り替えたことで、エージェントを業務に組み込むときの手間は大きく減る。ただしAnthropic自身も、攻撃手法は変わり続けると認めている。自動化の範囲とドメインの制限をどう設計するかが、導入する側の課題になる。