Claude in Chromeの正式版と、それ以前のパイロット版との最大の違いは何か?
最大の違いは「誰が確認ボタンを押すか」だ。パイロット段階のClaude in Chromeは、動作の大小にかかわらず、毎回のステップで手動承認が必要だった——安全ではあるが、常時見張っている必要があったということだ。正式版では安全分類器が加わり、動作が実行される前に、それがあなたの元々の依頼と一致しているかを自動的に審査する。妥当だと判断されれば自動的に承認され、毎回のステップで確認する必要がなくなる——つまり複数ステップにわたるタスクを任せて、数秒おきに戻って承認をクリックする必要がなくなるということだ。
もし従来通り、毎回のステップを自分で承認するスタイルを維持したい場合は、この自動承認機能を設定でオフにできる。これは強制的な挙動変更ではない。
なぜAnthropicはこのタイミングで、パイロット版の「毎回のステップで確認」というやり方を続けるのではなく、正式版で「自動承認」を開放することを選んだのか?
最も直接的な理由は、防御メカニズム自体が既に十分に信頼できる水準まで検証されていたことにある。発表内の数字を見ると、以前の評価は既に飽和状態(満点)に達していた——Fable 5、Opus 5、Sonnet 5への攻撃成功率は0%だった。そのためAnthropicは、プロのレッドチームによって設計されたより厳しい新しい評価に切り替えてテストを続けた。そしてこのより厳しい評価においても、Opus 4.8以降、プローブと安全分類器の両方を併用すれば、Sonnet 5、Opus 5、Mythos 5への攻撃成功率は依然として0%であり、Fable 5に対してもわずか0.3%だった。
言い換えれば、自動承認は速度を追求するために安全性を犠牲にしたトレードオフではなく、防御メカニズムが既にこの水準まで検証され、確信が得られたからこそ、「毎回のステップで人による確認が必要」という制約を緩めることにしたのだ。これは、発表がテスト方法や数字にこれほど多くの紙幅を割いている理由も説明している——これらの数字自体が、「なぜ今、緩和できるのか」に対する直接的な論拠なのだ。
3つの防御層(攻撃ライブラリ、プローブ、動作審査)は、実際にどう連携して機能しているのか?
この3つの層は、時系列上でちょうど「訓練前」「読み取りの瞬間」「実行前」という異なる3段階に対応している。攻撃ライブラリは最も基盤となる、最も早い段階の層だ——これはあなたが使用している最中に働くものではなく、既知の攻撃手法を継続的に蓄積し、それらを将来のモデルの訓練に活用することで、モデルが最初からある程度こうした手法への耐性を持つようにするものだ。
プローブは、Claudeがウェブコンテンツを読み取る瞬間に働く。Claudeがツール呼び出しを通じてウェブページやメールの内容を読み取る際、プローブがまずその内容をスキャンする。インジェクション攻撃の疑いのある兆候が検出されれば、Claudeはその内容に疑いを持つよう警告され、必要であれば、中に隠された指示にそのまま従うのではなく、積極的にユーザーに確認を求める。
動作審査は最後の防衛線であり、Claudeが既に特定の動作を取ると決定したが、まだ実際には実行していない段階で機能する——分類器が、これから実行されようとしている動作が、あなたが最初に提示した依頼と一致しているかを照合し、一致しなければそのまま阻止する。この3つの層はそれぞれ、「モデル自体に識別能力があるか」「入ってくるコンテンツが一度スクリーニングされているか」「動作が実際に起きる直前にもう一度確認されているか」という異なる問いを押さえており、いずれかの層が回避されても、次の層が引き続き受け止める。
「攻撃成功率0.3%」や「17.6%」といった数字を見たとき、一般ユーザーは実際にどう解釈すべきか、日常的な利用にどんな意味を持つのか?
まず、これらの数字が何を測定しているのかを理解する必要がある。これは「レッドチームが意図的に攻撃を設計し、その攻撃が実際にモデルに到達した」という前提のもとで算出された成功率であり、「普通にウェブを閲覧しているだけで17.6%の確率で攻撃される」というものではない。日常的な利用の中で、プロのレッドチームによって入念に設計された攻撃にたまたま出くわすことはまずない。これらの数字が示しているのは「最悪のケースにおいて、システムの底がどこにあるか」であって、あなたが実際に遭遇する確率ではない。
日常利用にとってより実践的な意味は次の通りだ。0%から0.3%という範囲は、現在の最新モデル(Sonnet 5、Opus 5、Mythos 5、Fable 5)が完全な防御策を併用している状態であれば、プロレベルの攻撃に遭遇しても、大多数のケースで阻止できることを意味する。しかし「大多数」は「保証」ではない。Anthropic自身も、防御策がリスクを完全には排除できないことを認めている。実務上より有用なやり方は、公式が推奨する通り、まず信頼できる、慣れ親しんだサイトから使い始め、特に送金、契約書への署名、個人情報の共有といった動作については一定の警戒を保つことであり、1%未満の数字を見て完全に安心しきってしまわないことだ。
Claude in Chromeは2026年8月26日、パイロット版からすべての有料プランで利用できる正式版(GA)へと正式に移行した。これは単に「使える人が増えた」という話ではない。今回のアップデートで最も大きな変化は、Claudeが毎回のステップであなたの承認を待つのではなく、自律的にアクションを取れるようになったことであり、Anthropicの発表には珍しく具体的な安全性テストの数字が含まれている。もしこれまで読んできたガイドがまだパイロット段階の挙動を説明しているものであれば、この記事では現在のバージョンが実際にどう動作するかを整理する。
これまでのClaude in Chromeは、どんな動作であっても毎回あなたの確認を必要としていた。今回のGAリリースにおける最大の変化は、Claudeが動作を実行する前に——新しいサイトへの移動、ページへのテキスト入力など——その動作があなたの元々の依頼と一致しているかを審査する、新しい安全分類器(safety classifier)が加わったことだ。分類器がその動作を妥当だと判断すれば、Claudeは毎回の手動確認を必要とせずに自動的に承認して実行する。動作があなたの依頼と一致しない場合は、そのまま阻止される。この仕組みは、Claude Codeのオートモード(auto mode)と同じ動作原理だ。もしClaudeにこの判断を自律的に任せることに不安がある場合は、設定でこの機能をオフにでき、毎回のステップで手動承認が必要なモードに戻すことができる。
Claude in Chromeが直面する核心的なリスクはプロンプトインジェクションだ——ウェブページ、メール、フォームの入力欄などに悪意ある内容が隠されており、Claudeに依頼していない動作を取らせようとする攻撃だ。例えば、Claudeにメールの返信作成を依頼したところ、あるメッセージに隠された指示が仕込まれており、Claudeに他のメールを攻撃者へ転送させようとするケースなどだ。Anthropicは、3つの防御層がどう連携して機能しているかを説明している。第一の層は継続的に拡充される攻撃ライブラリだ。新しい攻撃手法が現行モデルを騙すことに成功するたびに、それがライブラリに追加され、以降のモデルの訓練にその手法を認識させるための情報として活用される。第二の層は「プローブ」(probes)だ。Claudeがウェブコンテンツに基づいて実際に行動を取る前に、その内容にインジェクション攻撃の疑いがある兆候がないかをスキャンする。検出された場合、Claudeはその内容に疑いを持つよう警告され、必要であれば行動を取る前にユーザーに確認を求める。第三の層が前述の動作審査メカニズムで、動作が実行される直前に、分類器がその動作をあなたの元々の依頼と照合する。
発表には珍しく具体的な評価結果が含まれている。以前の評価(Claude in Chromeのパイロット段階から使われてきたもの)では、Claude Fable 5、Claude Opus 5、Claude Sonnet 5に対する攻撃成功率は0%だった——この評価は飽和状態(満点)に達していたため、Anthropicはこれを引退させ、プロの レッドチームによって設計されたより強力な攻撃を使った新しい評価に切り替えた。この新しい、より厳しい評価では、追加の防御策なしの状態で、Opus 4.8に対する攻撃成功率は17.6%、Opus 5に対しては3.8%だった。2025年11月時点で利用可能な最強の防御策を適用した場合、プローブを併用したOpus 4.8への攻撃成功率は16.7%だった。しかし、Opus 4.8以降のすべてのモデルにおいて、プローブと安全分類器の両方を併用した場合、Claude Sonnet 5、Claude Opus 5、Claude Mythos 5に対する攻撃成功率は0%、Fable 5に対しては0.3%だった。Anthropicはまた、防御を突破することに成功したすべての事例を手動で検証し、いずれも低リスクのシナリオに分類されることを確認しており、引き続きこれらの緩和に取り組んでいると述べている。
Claude in Chromeは現在すべての有料プランで利用可能であり、Chromeウェブストアからインストールできる。Enterpriseプランの管理者は、組織設定内で展開範囲を管理し、承認済みのドメインのみでの使用に制限できる。1つ注意すべき点として、Claude in Chromeは現在Chromeブラウザ自体のみをサポートしており、他のChromiumベースのブラウザには対応していない。またモバイル版もまだない。パソコン内のファイルを扱ったり、他のアプリケーションをまたいで操作したりする必要がある場合は、引き続きClaudeデスクトップアプリを利用する必要がある。Claude in Chromeはブラウザ内でのウェブ操作に特化している。