Claude in Chrome ist allgemein verfügbar

Claude in Chrome ist jetzt in allen kostenpflichtigen Claude-Plänen verfügbar. Claude kann jetzt auch autonom Aktionen im Browser durchführen, anstatt für jede einzelne eine Genehmigung zu benötigen. Ein Sicherheits-Classifier überprüft jede Aktion, bevor sie ausgeführt wird, damit sie sicher ist und Ihrer Anfrage entspricht.

Viele der Tools, die Sie täglich verwenden, sind mit Claude verbunden. Viele andere sind dies jedoch nicht, z. B. interne Dashboards, Legacy-Systeme und Anbieterportale. Claude in Chrome erlaubt Claude, auf diese zuzugreifen. Es kann die Seite anzeigen, auf der Sie sich befinden, und unter Verwendung Ihrer vorhandenen Anmeldedaten Aktionen durchführen, wie Text lesen und eingeben, auf Links klicken, zwischen Seiten wechseln und Formulare ausfüllen. 

Wir haben Claude in Chrome letztes Jahr erstmals als Pilotprojekt angekündigt, um es zu testen und gleichzeitig die Abwehr gegen Prompt-Injection zu stärken: bösartige Anweisungen, die in Websites, E-Mails oder Dokumenten verborgen sind und versuchen, KI-Agenten dazu zu bringen, gegen die Wünsche des Nutzers zu handeln. Dank der unten beschriebenen Schutzmaßnahmen können wir Claude in Chrome mit Zuversicht allgemein verfügbar machen.

Schutz vor Prompt-Injection

Wie bereits bei der Ankündigung des Pilotprojekts erwähnt, ist ein KI-Agent, der in einem Browser arbeitet, auch anfällig für Prompt-Injektionen. Wir haben deshalb vor der Bereitstellung von Claude in Chrome die Sicherheit entsprechend optimiert.

Bei einem Prompt-Injection-Angriff verstecken böswillige Akteure Anweisungen in Webinhalten, z. B. in einer Webseite, einer E-Mail oder einem Formularfeld. Auch wenn Sie sie vielleicht nie zu Gesicht bekommen, können diese Anweisungen den Agenten dazu bringen, etwas zu tun, das Sie nicht beabsichtigen. Wenn Sie Claude zum Beispiel aufgefordert haben, Antworten auf Ihre E-Mails zu entwerfen, könnte eine versteckte Anweisung in einer Nachricht Claude anweisen, stattdessen Ihre anderen E-Mails an den Angreifer weiterzuleiten.

Wir haben beim Start beschrieben, wie wir die Abwehrmaßnahmen von Claude gegen diese Angriffe getestet haben und welche Sicherheitsmaßnahmen damals aktiv waren. Später haben wir eine detailliertere Beschreibung unserer Schutzmaßnahmen zur Browser-Nutzung veröffentlicht. Seitdem haben wir das Training des Modells und unserer Probes optimiert und zusätzliche Klassifikatoren hinzugefügt, damit Claude autonomere Aktionen in Chrome sicher durchführen kann. Im nächsten Abschnitt besprechen wir die Ergebnisse unserer Bewertungen, die die Wirksamkeit dieser Sicherheitsvorkehrungen zeigen.

Claude erkennt mehr Angriffe. Wir trainieren Claude gegen eine stetig wachsende Bibliothek von Prompt-Injection-Angriffen, die von unseren internen automatisierten Angreifern, externen Red-Teamern und Überwachung aus der Praxis stammen. Wenn ein neuer Angriff auf ein aktuelles Modell erfolgreich ist, wird dieser zur Bibliothek hinzugefügt, wo er in das Training zukünftiger Modelle und unsere implementierten Schutzmaßnahmen einfließt, damit diese lernen, den Angriff zu erkennen. Seit wir im November 2025 zum ersten Mal über unsere Abwehrmaßnahmen gegen Prompt-Injection bei der Browsernutzung geschrieben haben, haben wir Claude wesentlich widerstandsfähiger gegen diese Angriffe gemacht.

Probes überprüfen Webinhalte, bevor Claude darauf reagiert. Webinhalte erreichen Claude über Tool-Ergebnisse. Um eine Aktion auszuführen, z. B. eine Seite zu lesen oder eine E-Mail zu öffnen, führt das Modell einen Tool-Aufruf durch; das Tool-Ergebnis ermöglicht es dem Modell, die Ausgabe zu lesen (in diesem Fall den Inhalt der Seite oder der E-Mail). Wir trainieren Probes, damit sie diese Ergebnisse auf mögliche Prompt-Injektionen scannen. Wenn eine Probe einen vermeintlichen Angriff entdeckt, wird Claude gewarnt, dem Inhalt nicht zu trauen, und gegebenenfalls bei Ihnen nachzufragen, bevor Aktionen durchgeführt werden. Wir haben diese Probes erstmals mit Claude Opus 4.5 bereitgestellt und seitdem die abgedeckten Angriffsarten erweitert.

Aktionen werden überprüft, bevor sie ausgeführt werden. In Claude in Chrome genehmigt Claude jetzt automatisch Aktionen, die als sicher eingestuft werden. Dabei wird derselbe Mechanismus wie der Automodus in Claude Code verwendet. (Sie können dies in Ihren Einstellungen deaktivieren, wenn Sie die Aktionen von Claude weiterhin manuell genehmigen möchten.) Ein Klassifikator überprüft die Aktionen, die Claude auszuführen im Begriff ist, z. B. das Aufrufen einer neuen Website oder die Eingabe von Text auf einer Seite, und vergleicht diese mit Ihrer ursprünglichen Anfrage. Wenn die Aktion nicht Ihrer Anfrage entspricht, wird sie blockiert.

Messung der Robustheit von Claude gegen Prompt-Injection

Wir haben diese Sicherheitsvorkehrungen getestet, um sicherzustellen, dass Claude in Chrome für browserbasiertes Arbeiten sicher ist. Hier berichten wir über die Ergebnisse unserer neuesten Bewertungen. 

Bei unserer ersten Bewertung, bei der wir die Widerstandsfähigkeit von Claude Cowork gegen Prompt-Injection-Angriffe testeten (erstmals entwickelt, als wir das Pilotprojekt zu Claude in Chrome veröffentlichten), war kein Angriff auf Claude Fable 5, Claude Opus 5 oder Claude Sonnet 5 im Cowork-Harness erfolgreich, selbst ohne die oben besprochenen Sonden und Klassifizierer.

Da wir diese Bewertung ausgeschöpft hatten (belegt durch die Erfolgsquote von 0 %), haben wir beschlossen, sie einzustellen. Bei unserer aktuellen Bewertung mit stärkeren Angriffen von professionellen Red-Teams waren die Angriffe, die das Modell erreichten, in 17,6 % der Fälle gegen Opus 4.5 und in 3,8 % der Fälle gegen Opus 5 erfolgreich – vor jeglichen zusätzlichen Sicherheitsmaßnahmen. Mit den stärksten verfügbaren Sicherheitsmaßnahmen im November 2025 waren Angriffe auf Opus 4.5 mit Probes in 16,7 % der Fälle erfolgreich. Bei allen Modellen ab Opus 4.8, bei denen Probes und der Sicherheitsklassifikator verwendet wurden, gab es keine erfolgreichen Angriffe gegen Claude Sonnet 5, Claude Opus 5 oder Claude Mythos 5. Bei Fable 5 erzielten wir eine Angriffserfolgsquote von 0,3 %. Wir haben manuell überprüft, dass alle erfolgreichen Durchbrüche in Szenarien mit niedrigem Schweregrad liegen, und arbeiten daran, diese zu entschärfen.

Prompt-Injection bleibt ein bewegliches Ziel. Dieser Ansatz schützt zwar vor aktuellen Angriffen. Wir müssen dennoch auch sicherstellen, dass unsere Sicherheitsvorkehrungen den sich weiterentwickelnden Methoden der Angreifer einen Schritt voraus bleiben. Mit jeder neuen Modellversion investieren wir weiter in die Entwicklung ausgefeilterer automatisierter Systeme für die Angriffserkennung, das Red-Teaming und den Aufbau robusterer Klassifikatoren.

Erste Schritte

Um Claude in Chrome zu nutzen, installieren Sie es aus dem Chrome Web Store. Bei Enterprise-Plänen können Admins die Erweiterung in den Organisationseinstellungen verwalten und auf genehmigte Domains beschränken. Weitere Informationen finden Sie im Admin-Einrichtungsleitfaden.

Um mit Dateien auf dem eigenen Computer oder in anderen Anwendungen zu arbeiten, muss weiterhin die Claude-Desktop-App verwendet werden. Claude in Chrome läuft noch nicht auf anderen Chromium-Browsern oder auf Mobilgeräten.

‍

¹ Nicht alle Angriffe erreichen das Modell – d. h. werden von diesem gesehen. In einigen Fällen führen die von Claude durchgeführten Aktionen dazu, dass Claude nie auf die bösartigen Anweisungen stößt.