Claude in Chromeのセキュリティで最も大切なのは、「ログイン済みのブラウザをAIが操作する」という仕組み上、リスクがゼロにはならないと理解したうえで、権限・承認・利用範囲を決めておくことです。Anthropicは、プロンプトインジェクションへの多層防御を用意していますが、公式のヘルプでも「リスクはゼロではない」と明記しています。この記事では、リスクの中身、公式の防御と評価結果の読み方、第三者から指摘された脆弱性、利用者と管理者が行うべき設定を整理します。
この記事で分かること
- Claude in Chromeで想定されるセキュリティリスクの種類
- プロンプトインジェクションと、Anthropicの3つの防御
- 公表されている攻撃成功率の数値と、読むときの注意点
- 第三者の研究者が指摘した脆弱性の例
- 利用者・管理者が行うべき設定と、導入前のチェックポイント
Claude in Chromeのセキュリティ上のリスクとは？
Claude in Chromeは、Chromeの拡張機能として、すでにログインしているページを読み取り、クリックや入力、フォームの記入を代行します。便利な反面、ブラウザ上の権限をAIに預けることになるため、リスクは大きく3つに分けて考えるのが基本です。
ログイン状態のまま操作される
Claudeは、利用者がログイン済みのサービスの画面で動きます。そのため、悪意のある指示に従わされると、利用者の権限のまま不本意な操作が行われる可能性があります。公式サイトでも、内蔵の防御は万全ではなく、Claudeが誤った動作をする可能性があると説明されています。
画面に映る情報が取り込まれる
公式のヘルプによると、Claudeは作業中のタブのスクリーンショットを撮ります。「Claudeは、見ている内容から機密情報を除外できない」と説明されており、画面に映った他人の個人情報も取り込まれる可能性があります。規制対象のデータを含むページでの利用は、一般に推奨されていません。
操作の結果は利用者の責任になる
公式のヘルプには、Claudeが利用者に代わって行ったブラウザ操作について、利用者が責任を負うと書かれています。公開した内容、購入、データへのアクセス、第三者サービスの利用規約への対応も含まれます。組織で使う場合は、この前提を社内ルールに反映しておきましょう。
最大のリスク「プロンプトインジェクション」とは
プロンプトインジェクションとは、Webページやメールの中に隠された悪意のある指示で、AIを意図しない動作に誘導する攻撃です。公式のヘルプでは、見えない文字で書かれた指示が、銀行の明細を共有させようとする例が挙げられています。Anthropicは、プロンプトインジェクションによって、AIがファイルを削除したり、データを盗んだり、金融取引を行ったりする可能性があるとも警告しています（パイロット版発表時の説明）。
Anthropicは、プロンプトインジェクションを「動き続ける標的」と表現し、攻撃手法の進化に防御を合わせ続ける必要があるとしています。新しい攻撃が評価をすり抜ける可能性も、公式のヘルプで認められています。
Anthropicが講じている3つの防御
一般提供の発表では、プロンプトインジェクション対策として、次の3つの防御が説明されています。
| 防御 | 内容 |
|---|---|
| モデルの訓練 | 社内の自動攻撃システム、外部のレッドチーム、実環境の監視から集めた攻撃事例でClaudeを訓練する。新しく成功した攻撃は、今後のモデルや防御策に反映される |
| プローブ | ツールの実行結果として届くWebコンテンツを調べ、攻撃の可能性があれば検出する。検出するとClaudeに警戒させ、実行前に利用者へ確認することもある。Claude Opus 4.5から導入された |
| 実行前の分類器 | 新しいサイトへの移動や文字入力などの操作を実行する前に、安全性と利用者の元の依頼との整合性を確認し、合わない操作はブロックする |
このほか、ヘルプには、ファイルのダウンロードや機密情報の入力といった高リスクの操作で確認が入ること、細かな権限設定とサイトのブロックリスト、人間の研究者による継続的なレッドチーム検証が挙げられています。成人向けサイトや海賊版サイトにはアクセスできず、金融サイトでは事前に許可を求められます。株式の売買や投資取引、キャプチャの回避、顔画像の収集なども禁止されています。なお、機密情報の入力は、ヘルプの中で「確認が入る操作」と「禁止事項」の両方に挙げられています。実際の挙動は、導入前に自社の環境で検証してから、運用ルールに反映してください。
公表されている評価結果の読み方
Anthropicは、攻撃成功率の評価結果を複数の場で公表しています。数字だけを見ると食い違って見えますが、評価の条件が異なります。
一般提供の発表で示された数値
2026年8月26日の一般提供の発表では、プロのレッドチームによる攻撃で評価しています。追加の防御がない場合の攻撃成功率は、Opus 4.5で17.6%、Opus 5で3.8%でした。プローブと実行前の分類器を併用すると、Sonnet 5・Opus 5・Mythos 5では攻撃の成功がゼロ、Fable 5では0.3%と報告されています。なお、Anthropicは、成功した攻撃を手作業で確認し、いずれも重大度は低いと判断しています。
サポートページで示された数値
サポートページには、Claude Opus 4.8を前提に、現在の構成で攻撃成功率を0.08%未満に抑えたという社内テストの結果が記載されています。同じページには、攻撃の可能性はゼロではないという注意も書かれています。
数値を読むときの注意点
ページごとに、評価に使うモデルや攻撃の条件が異なるため、数値同士を単純に比べることはできません。また、いずれもAnthropic自身のテスト結果であり、実際の業務環境での安全を保証するものではありません。「ゼロ」や「0.08%未満」という数字は、導入判断の材料の一つとして扱い、社内ルールや運用による対策を重ねるのが現実的です。
第三者が指摘した脆弱性の例
セキュリティ企業の研究者からも、Claude in Chromeに関する指摘が出ています。以下は報道ベースの情報で、Anthropicの公式発表ではありません。
- ShadowPrompt：Koi Securityの研究者が報告。拡張機能がclaude.aiとそのサブドメインを信頼していたことと、サブドメインのXSS脆弱性を組み合わせると、悪意のあるサイトから、利用者の操作なしに隠れた指示を送れたとされます。報道によれば、Anthropicは修正済みで、バージョン1.0.41以降で厳格な送信元の確認が行われます（修正時期は確認できませんでした）
- Zenity Labsの指摘：Webページに埋め込まれた悪意のある指示によって、ファイル削除、メッセージ送信、トークンの抽出が行われる可能性があるという報告です（2026年1月の報道。修正状況は確認できませんでした）
最新の状況は変わる可能性があります。拡張機能は常に最新版に更新し、セキュリティ担当者は公式の発表と研究者の報告をあわせて確認すると安心です。
権限の設定と承認モードを理解する
Claude in Chromeは、機能のためにいくつかの権限を拡張機能として求めます。内容を理解したうえで、許可するかどうかを判断しましょう。
拡張機能が求める主な権限
| 権限の分類 | 主な内容（公式サポートページの記載） |
|---|---|
| ブラウザの制御 | ページ本文の読み取り、クリック・入力・スクリーンショットのためのデバッガーアクセス、タブの管理 |
| 自動化と通知 | スケジュール実行のためのアラーム、通知 |
| コンテキストと連携 | 画面サイズ、高リスクサイトの移動の監視、ダウンロードなど |
| インターフェースと保存 | サイドパネル、設定の保存、タブグループ、ローカルの保存領域 |
自動承認と手動承認の違い
Claudeは、安全と判断した操作を自動で承認する設定が既定です。このときも、すべての操作は分類器を通ります。すべての操作を自分で確認したい場合は、設定から「手動承認」に切り替えられます。Zenity Labsは、確認機能が主に運用ルールに依存し、承認に慣れると内容を確認しなくなる恐れがあると指摘しています。重要な業務では手動承認を残す運用も検討してください。
利用者が守りたい安全対策のポイント
公式のヘルプでは、次のような使い方が推奨されています。
- 銀行・医療・行政など、重要なアカウントにアクセスできない別のブラウザプロファイルで使う
- 信頼できるサイトから始め、不明なサイトや出所不明の投稿コンテンツは避ける
- 調査やフォーム入力といった単純な作業から始め、依頼は具体的に書く
- 承認を求められた操作は、特に新しいサイトで内容を確認してから許可する
- Claudeが突然関係のない話を始めるなど、不審な動作に気づいたら、すぐに作業を止めて報告する
- 機密性の高い情報を表示しているときは、サイドパネルを開かない（履歴が保存され、他の端末で開ける場合があるため）
- 金融口座の管理、法務・医療情報の扱い、機密性の高い業務アカウントへのアクセスは避ける
組織の管理者が設定できること
TeamとEnterpriseでは、管理者が利用範囲をコントロールできます。機密情報を扱う組織には、範囲を絞った許可リストが推奨されています。
- 拡張機能の組織全体でのオン・オフ
- アクセスできるサイトの許可リスト・ブロックリスト（Enterpriseでは、承認したドメインに限定可能）
- Enterpriseでは、Cowork版のサイドパネルを使うために、オーナーによる有効化が必要
- HIPAAを有効にした組織では既定でオフ。オーナーが有効化できるが、事業提携契約（BAA）の対象外のため、規制対象のデータでの利用は推奨されない
Claude in Chromeを安全に導入する3STEP
導入は、環境の分離、ルールの整備、段階的な拡大の順に進めると、リスクを抑えられます。
STEP1：専用プロファイルと手動承認で試す
重要なアカウントにログインしていない別のプロファイルを用意し、手動承認で始めます。対象は、社外秘を含まない調査や、影響の小さい社内の入力作業に絞りましょう。
STEP2：許可するサイトと禁止事項を決める
管理者は許可リストでアクセス先を絞り、個人情報・顧客情報・金融・人事関連の画面では使わない、といったルールを文書にします。操作の責任は利用者にあることも、あわせて周知してください。
STEP3：不審な動作の報告ルートを決めて広げる
不審な動作を見つけたら、その場で止めて報告する流れを決めます。作業時間の変化と、意図しない動作の有無を記録し、問題がなければ対象業務を少しずつ広げましょう。公式の情報が更新されたときの見直し担当も決めておくと安心です。
よくある質問（FAQ）
Claude in Chromeは安全ですか？
Anthropicは3つの防御と複数の安全機能を用意していますが、公式のヘルプでも「リスクはゼロではない」とされています。別のブラウザプロファイルでの利用、手動承認、機密性の高い画面では使わない、といった運用を組み合わせることが推奨されます。
会社の機密情報や個人情報を扱う画面で使っても大丈夫ですか？
推奨されていません。公式のヘルプは、規制対象のデータを含むページでの利用を避けるよう案内しています。Claudeは画面に映る情報から機密情報を除外できないためです。
プロンプトインジェクションは防げますか？
完全には防げません。Anthropicは、攻撃成功率を大きく下げたと説明していますが、新しい攻撃が評価をすり抜ける可能性も認めています。数値は同社のテスト結果として読み、運用での対策を重ねてください。
管理者は利用を制限できますか？
TeamとEnterpriseでは、組織全体のオン・オフと、サイトの許可リスト・ブロックリストの設定ができます。HIPAAを有効にした組織では、既定でオフです。
過去に報告された脆弱性は修正されていますか？
ShadowPromptについては、報道で、バージョン1.0.41以降で修正されたとされています。Zenity Labsの指摘の修正状況は確認できませんでした。拡張機能は最新版に保ち、公式の情報を定期的に確認してください。
Claude in Chromeのセキュリティ対策の要点
ここまで、Claude in Chromeのリスク、公式の防御、導入時の設定を見てきました。要点は次のとおりです。
- Claude in Chromeはログイン済みのブラウザを操作するため、プロンプトインジェクションなどのリスクがゼロにはならない
- Anthropicはモデルの訓練、プローブ、実行前の分類器の3つで防御しているが、数値はいずれも同社のテスト結果
- 利用者は、別のブラウザプロファイル、手動承認、機密性の高い画面での不使用を基本にする
- 管理者は、オン・オフ、許可リスト、HIPAA組織での扱いを確認する
- 公式の情報と第三者の報告は更新されるため、導入後も定期的に見直す
便利な機能ほど、使い方のルールが安全性を左右します。まずは、影響の小さい業務を1つ選び、専用のブラウザプロファイルと手動承認で試してみましょう。そのうえで、許可するサイトと禁止事項を決めてから、対象を少しずつ広げていくのがおすすめです。機能や条件は更新されるため、導入の直前には公式情報で最新の内容を確認してください。
