Claude in Chrome が一般提供開始

Claude in Chrome が、Claude のすべての有料プランで一般提供開始となりました。Claude ではブラウザで自律的にアクションを実行できるようになり、アクションごとに承認する必要がなくなりました。安全性分類機能が、各アクションを実行前に検証し、そのアクションが安全であり、リクエストに合っていることを確認します。

毎日使用するツールの多くが Claude に接続されています。しかし、社内のダッシュボード、古いシステム、ベンダーポータルなど、接続されていないツールも数多くあります。Claude in Chrome を使用することで、Claude がそうしたツールにアクセスできるようになります。閲覧中のページを表示し、既存のログイン情報を使用して、テキストの読み取りと入力、リンクのクリック、ページ間のナビゲーション、フォームへの入力などのアクションを実行できます。

昨年、Claude in Chrome をパイロット版としてはじめて発表しました。これにより、プロンプトインジェクションに対する防御を強化しながらテストできるようになりました。プロンプトインジェクションとは、ウェブサイト、メール、ドキュメントに隠された悪意のある指示で、AI エージェントを騙してユーザーの希望に反する行動を取らせようとするものです。以下に説明するこれらの防御策により、自信をもって、Claude in Chrome の一般提供を開始します。

プロンプトインジェクションに
対する保護措置

パイロット版の発表時に概要を説明したように、ユーザーのブラウザで動作する AI エージェントもプロンプトインジェクションに対しては脆弱です。そこで、Claude in Chrome をより幅広くリリースする前に、保護措置の強化に取り組んできました。

プロンプトインジェクションの攻撃では、悪意のある攻撃者がウェブページ、メール、フォームのフィールドなどのウェブコンテンツに指示を隠しています。見えないかもしれませんが、これらの指示がエージェントを誘導して、依頼していない操作を実行させる可能性があります。たとえば、Claude にメールへの返信の下書きを依頼した場合、1 つのメッセージに隠された指示によって、Claude が別のメールを攻撃者に転送してしまう可能性があります。

リリース時には、これらの攻撃に対する Claude の防御策をテストした方法および当時実施していた保護措置について説明し、その後、ブラウザ使用時の保護措置についてのより詳細な説明を公開しました。それ以来、モデルとプローブの両方をトレーニングする方法を改良し、Claude が Chrome でより自律的なアクションを安全に実行できるようにする追加の分類機能を加えました。次のセクションでは、これらの保護措置の有効性を示す評価結果について説明します。

Claude はより多くの攻撃を認識します。内部の自動化された攻撃者、外部のレッドチームメンバー、実際の環境での監視から収集したプロンプトインジェクション攻撃のライブラリを使って Claude をトレーニングしています。現在のモデルに対して新たな攻撃が成功すると、その攻撃をライブラリに追加し、将来のモデルのトレーニングと当社が展開する保護措置に反映することで、攻撃を認識できるようになります。2025 年 11 月にブラウザを使用したプロンプトインジェクションに対する防御について最初に説明して以来、こうした攻撃に対する Claude の耐性を大幅に強化してきました。

Claude がウェブコンテンツを操作する前に、プローブがそのコンテンツをスクリーニングします。ウェブコンテンツは、ツールの結果を介して Claude に届きます。ページの読み取りやメールの開封といったアクションを実行するには、モデルがツール呼び出しを行い、このツールの結果次第で、モデルが出力（この場合はページまたはメールのコンテンツ）を読み取ることができます。プローブをトレーニングすることで、それらの結果をスキャンして、プロンプトインジェクションの可能性を探ります。プローブが攻撃の可能性を検出すると、Claude にコンテンツを警戒して扱うよう警告し、必要に応じて、アクションを実行する前にユーザーに確認するよう促します。これらのプローブは Claude Opus 4.5 ではじめて導入され、それ以来、プローブがカバーする攻撃の種類を拡大させてきました。

アクションは実行前に検証されます。Claude in Chrome では、Claude Code の自動モードと同じメカニズムを使用して、安全と判断したアクションを Claude が自動的に承認するようになります。（Claude のアクションをマニュアルで承認し続けることを希望する場合は、設定でこのオプションをオフにできます。）分類機能が、新しいウェブサイトへの移動やページへのテキスト入力など、Claude が実行しようとするアクションを確認し、リクエストされた元の内容と照合します。アクションがリクエストと一致しない場合はブロックされます。

プロンプトインジェクションに対する Claude の堅牢性を測定

Claude in Chrome をブラウザベースの作業で安全に使用できることを確認するために、これらの保護措置をテストしてきました。ここでは、最新の評価結果を報告します。 

Claude Cowork の（Claude in Chrome パイロットをリリースしたときに最初に開発した）プロンプトインジェクション攻撃に対する耐性をテストする初期評価では、上記のプローブと分類機能がなくても、Cowork ハーネス内での Claude Fable 5、Claude Opus 5、Claude Sonnet 5 に対する攻撃は一切成功しませんでした。   

（成功率 0% が示すように）この評価が飽和状態に達したため、廃止することにしました。プロのレッドチームメンバーが提供したより強力な攻撃を使用した現在の評価では、追加の保護措置を講じる前の状態で、モデルに到達した攻撃の成功率は Opus 4.5 では 17.6% 、Opus 5 では 3.8% でした。2025 年 11 月に利用可能になった最も強力な保護措置を使用すると、プローブを使用して動作する Opus 4.5 に対する攻撃の成功率は、16.7% でした。Opus 4.8 以降のすべてのモデルで、プローブと安全分類機能を使用して動作させた場合、Claude Sonnet 5、Claude Opus 5、Claude Mythos 5 に対して成功した攻撃はありませんでした。Fable 5 に対する攻撃の成功率は 0.3% でした。成功したすべての攻撃が重要度の低いシナリオにあることをマニュアルで検証し、その軽減に向けた取り組みを行っています。

プロンプトインジェクションは、依然として進化し続ける標的です。このアプローチでは現在の攻撃に対しては防御できますが、攻撃者によるより巧妙となる手法に先んじた保護措置を確実に取れるようにする必要もあります。モデルのリリースごとに、攻撃を発見するためのより洗練された自動システムの開発、レッドチーム化、より強力な分類機能の構築に引き続き投資します。

ご利用にあたって

Claude in Chrome の利用を開始するには、Chrome ウェブストアからインストールしてください。Enterprise plan では、管理者が「Organization Settings（組織設定）」で管理し、承認されたドメインに制限することができます。管理者設定ガイドをご覧ください。

コンピュータ上のファイルや他のアプリケーションを使用して作業する場合は、引き続き Claude デスクトップアプリを使用する必要があります。Claude in Chrome は、他の Chromium ブラウザやモバイルでは現在のところ動作しません。

‍

¹ すべての攻撃がモデルに到達する、つまりモデルに認識されるわけではありません。場合によっては、Claude が実行したアクションによって、悪意のある指示に遭遇すること自体を回避できます。