Claude in Chrome が正式提供開始、プロンプトインジェクションへの警告付きで

Anthropic は Claude in Chrome を限定プレビューから正式提供（GA）へと移行させた。Claude Code の7月2日リリースノートにはバージョン 2.1.198 が記載され、「Claude in Chrome launched as generally available（Claude in Chrome が正式提供として提供開始）」という一文が、バックグラウンド通知やエージェントワークフロー向けのドラフト PR ハンドオフとともに並んでいる。これは長期にわたる展開の締めくくりだ。この拡張機能は2025年8月にリサーチプレビューとして始まり、2025年12月にすべての有料プランへ開放され、そして今回、正式提供に到達した。

何ができるのか

この拡張機能により、Claude はブラウザについて質問に答えるだけでなく、ブラウザの中で実際に操作できるようになる。Anthropic の製品ページによれば、Claude は「Chrome 上でナビゲート、ボタンのクリック、フォームの記入」ができ、アナリティクスのダッシュボードから数値を取り出したり、Google Drive のファイルを整理したり、営業の通話記録をタブを切り替えることなく CRM へ記録したりできる。さらに Claude Code と連携するため、エージェントが開発やテストのループの一環としてライブページを操作でき、Cowork とも連携してウェブ調査を完成した文書へと仕上げられる。

ソフトウェアを作る人にとって有用なのは、そのフィードバックループだ。実際のブラウザでアプリを開き、フローをクリックして進み、実際にレンダリングされた内容を読めるエージェントは、推測ではなく自らの変更を検証できる。

セキュリティ上の注意が真っ先に前面へ

Anthropic はそのリスクについて異例なほど率直だ。同じ製品ページは、「悪意ある行為者が Claude を騙して、あなたの銀行情報を共有させたり重要なファイルを削除させたりといった意図しない操作を実行させようとするかもしれない」と警告する。これは プロンプトインジェクション と呼ばれる種類の攻撃で、ページや文書に隠された指示がエージェントのタスクを乗っ取るものだ。Anthropic は利用者に対し、まずは信頼できるサイトから始めること、機微な操作は承認する前に確認すること、異常な挙動に注意することを求め、これらの保護策は「絶対確実ではない」とはっきり付け加えている。

これらの警告は、同社自身のレッドチーミングに裏打ちされている。Anthropic がこの拡張機能を最初に試験導入したとき、Claude は安全対策のない状態で123の攻撃シナリオのうち23.6%で悪意ある操作を実行した。多層的な防御によって全体でこれが11.2%まで低下し、特定の種類のフォームフィールドを悪用する攻撃は35.7%から0%へと下がった。改善はしたが、ゼロではない。そして Anthropic は、広範で自律的なブラウジングには依然として残存リスクがあると述べている。

Anthropic だけの問題ではない

このタイミングは、Claude を混み合ったエージェント型ブラウザの一群と並べることになる。OpenAI の Atlas とその Agent Mode、Perplexity の Comet、Microsoft の Edge における Copilot Mode、そして Chrome に組み込まれた実験的な Gemini エージェントだ。そのいずれもが同じ構造的な問題に直面している。OpenAI は、プロンプトインジェクションが「完全に『解決』されることはおそらくないだろう」とはっきり述べ、社内テストで見つかった新たな攻撃への対応として、Atlas 向けに敵対的学習を施したモデルを出荷した。

今週ブラウザエージェントを有効にしようとしている人にとっての実践的な教訓はこうだ。強力だが騙されやすいアシスタントとして扱うこと。信頼できるサイトにとどめ、重大なクリックは自分で承認し、オープンなウェブを閲覧させている間は決して銀行口座や本番コンソールにログインしたままにしないこと。利便性は本物だ。しかし、ページが嘘をついたときの被害範囲もまた本物である。