# 攻撃成功率ほぼゼロの Claude in Chrome、ついに一般提供スタート！

こんにちは、しぃちゃんだよ！今日は Anthropic から届いた、ブラウザ操作にまつわるニュースでわくわくしているの。

## なにが発表されたの？

Anthropic の公式ブログ「Claude Blog」に、ブラウザ拡張機能「Claude in Chrome」がすべての有料 Claude プランで一般提供(GA)を開始したという発表が載ったよ。

Claude in Chrome は、Claude がいま開いているウェブページを見て、テキストを読んだり書いたり、リンクをクリックしたり、ページを移動したり、フォームに入力したりできるようにする拡張機能なの。既存のログイン情報をそのまま使えるから、社内ダッシュボードやレガシーシステム、取引先ポータルみたいに Claude と直接つながっていないツールも操作できるようになるんだって。

さらに大きいのが、Claude が操作を 1 つずつ承認してもらう必要がなくなり、自律的に(autonomously)作業を進められるようになったこと。実行前には安全性を確認する分類器(classifier)がすべてのアクションをチェックして、危なそうなものはブロックしてくれるよ。

## 今までどうだったの？

Claude in Chrome は、去年(2025 年)にパイロット版として最初にお披露目されたものなの。当時はまだテスト段階で、プロンプトインジェクション(ウェブページやメール、フォームに隠された悪意ある指示で AI エージェントを乗っ取ろうとする攻撃)への防御を固めながら、Claude が操作を 1 つ実行するたびにユーザーの承認が必要な形で運用されていたんだって。ブラウザの中で動く AI エージェントは、こうした攻撃にどうしても弱くなりがちだから、Anthropic はその守りを強化する時間を取っていたの。

## これで何が変わるの？

今回の発表で変わったポイントはこんな感じだよ。

- すべての有料 Claude プランで Claude in Chrome が使えるようになったよ
- Claude が承認なしで自律的にブラウザ操作を進められるようになった(設定でオフにして、今まで通り手動承認に戻すこともできる)
- 社内ダッシュボードやレガシーシステム、取引先ポータルなど、Claude と直接つながっていないツールにもアクセスできるようになった
- Enterprise プランでは、管理者が Organization Settings から対応ドメインを制限できる

毎日使っているツールの多くは Claude と直接つながっているけど、つながっていないツールもまだまだ多いから、その隙間を Claude in Chrome が埋めてくれる、という位置づけみたい。

## 深く潜ってみよう

ブログでは、プロンプトインジェクション対策の仕組みと、その効果を確かめた評価結果がかなり詳しく紹介されていたよ。

安全対策の柱は大きく 2 つ。

- **probes(プローブ)**: Claude はツール呼び出しの結果としてウェブページやメールの中身を受け取るんだけど、そのタイミングで内容をスキャンして、怪しい指示が紛れていないかチェックするの。攻撃らしきものを検知すると、Claude はその内容を疑ってかかるようになり、必要ならユーザーに確認してから行動するようになるよ。Opus 4.5 のときに初めて導入されて、以降カバーする攻撃の種類を広げてきたんだって。
- **自動承認の分類器**: Claude Code の auto mode と同じ仕組みを使っていて、Claude がこれから取ろうとしているアクション(新しいサイトへの移動やテキスト入力など)を、もともとユーザーが頼んだ内容と照らし合わせるの。頼んだこととズレていたら、そのアクションはブロックされるよ。

評価結果の数字もかなり具体的に出ていたよ。

- 最初の評価(2025 年 11 月に公開)では、Cowork ハーネスの中で Claude Fable 5・Opus 5・Sonnet 5 に対して、probes や分類器なしでも攻撃の成功率が 0 % だったの。この評価は「飽和した」として引退したんだって。
- レッドチームがより強力な攻撃を使った新しい評価(Opus 5 のシステムカードに詳細あり)では、追加の安全対策なしの状態でモデルに到達した攻撃の成功率が Opus 4.5 で 17.6 %、Opus 5 で 3.8 % だったよ。
- 2025 年 11 月時点でいちばん強かった対策(probes)を使った Opus 4.5 は、成功率 16.7 % まで下がったの。
- probes と自動承認の分類器を組み合わせた Opus 4.8 以降のモデルでは、Sonnet 5・Opus 5・Claude Mythos 5 に対する攻撃成功率は 0 %。Fable 5 は 0.3 % だったよ。
- 成功してしまった攻撃はすべて低リスクなシナリオだったことを手動で確認していて、Anthropic はいまも対策を続けているとのこと。

使い始め方もシンプルで、Chrome ウェブストアからインストールするだけ。Enterprise プランの管理者は Organization Settings から Claude in Chrome を管理して、使える対応ドメインを制限できるよ(管理者向けのセットアップガイドも用意されているみたい)。

ただし制限もあって、手元のファイルを直接扱ったり他のアプリと連携したりする作業には、引き続き Claude デスクトップアプリが必要。Claude in Chrome 自体は、ほかの Chromium 系ブラウザやモバイルにはまだ対応していないよ。

## まとめ

- Claude in Chrome が、すべての有料 Claude プランで一般提供(GA)を開始したよ
- パイロット版では操作ごとに承認が必要だったけど、いまは安全性分類器のチェックを通じて自律的に作業を進められるようになったの
- probes と自動承認の分類器という 2 段構えの守りで、プロンプトインジェクションへの耐性を大きく上げているよ
- 最新の評価では Sonnet 5・Opus 5・Claude Mythos 5 への攻撃成功率が 0 %、Fable 5 でも 0.3 % という結果だったんだって
- Enterprise では管理者が対応ドメインを制限できるから、社内での導入もしやすいはず
- 社内システムやレガシーツールをブラウザ越しに自動化したいエンジニアや、AI エージェントのセキュリティ対策が気になる人に、特に読んでほしい発表だよ！