Claude in Chrome が正式版に。1操作ごとの承認がいらなくなった

ブラウザの中で AI に操作させる仕組みが、この1年で出そろった。アンソロピックの Claude in Chrome は、いま開いているページを読み、リンクをクリックし、フォームを埋めてくれる。しかし操作のたびに人の承認を待つ設計だった。8月26日、正式版への移行にあわせて、その承認が外れた。どこまで任せてよいのだろうか。

Claude in Chrome で何が変わったのか

今回の変更で1操作ごとの承認がいらなくなった。Claude が安全と判断した操作はそのまま実行され、人が呼ばれるのは、判断がつかなかったときだけだ。

拡張機能そのものは新しくない。2025年8月25日に Max プランの1,000人を対象とした順番待ちで始まり、11月24日に Max プラン全員へ、12月18日に Pro と Team、Enterprise へ広がった。有料の全プランで使えるようになったのは8か月前で、今回プランは動いていない。

自動承認の仕組みは Claude Code の auto mode と同じで、設定で従来どおりの手動承認に戻せる。新しいサイトへの移動や、ページへの文字入力といった操作は、実行の前に分類器が元の依頼と突き合わせ、ずれていれば止める。

任せられる相手は、Claude と連携していないサービスだ。社内のダッシュボード、古い基幹システム、取引先のポータルに、いま自分がログインしている状態のまま入り、ページを読み、文字を打ち、リンクをたどり、フォームを埋める。

去年の防御は16.7%が通っていた

プロの red-teamer が仕掛けた攻撃は、追加の対策がない状態で Opus 4.5 に17.6%、Opus 5 に3.8%通った。2025年11月時点で最強だった防御を付けても、Opus 4.5 は16.7%が通っていた。

ここで防いでいるのはプロンプトインジェクションと呼ばれる攻撃で、ページやメールに人目につかない指示を仕込み、AI を依頼と違う行動へ向かわせる。アンソロピックが挙げる例は、メールの返信を頼んだ利用者に対して、1通のメールに隠れた指示が「ほかのメールを攻撃者へ転送しろ」と命じる形だ。

いまは二段構えになっている。probes と呼ぶ検査役がページやメールの中身を Claude が読む前に走査し、怪しければ Claude に警告する。そのうえで安全分類器が操作を実行前に照合する。Opus 4.8 以降のモデルで両方を有効にすると、Sonnet 5 と Opus 5、Mythos 5 への攻撃は1件も通らず、Fable 5 だけ0.3%が通った。アンソロピックは、通った分はすべて影響の小さい場面であることを人手で確かめたうえで、対処中だと書いている。

この割合は「モデルまで届いた攻撃」を母数にしている。Claude の動き方によっては、悪意ある指示にそもそも出会わないまま作業が終わることもある。

Chrome 拡張と内蔵ブラウザの使い分け

同じ8月26日、Claude Cowork のデスクトップアプリにも専用のブラウザが載った。開いたままのページを扱うなら Chrome 拡張、丸ごと任せる作業なら内蔵ブラウザ、という使い分けになる。

内蔵ブラウザはサイドパネルに開き、拡張機能も初期設定もいらない。自分のブラウザとは切り離されていて、タブもブックマークもパスワードも Claude からは見えない。銀行とメール、シングルサインオンのサイトは、利用者が自分で加えないかぎり対象から外れる。

日本の職場では、性能より対応環境が壁になりそうだ。Claude in Chrome は Chrome でしか動かず、ほかの Chromium ブラウザにもモバイルにも対応していない。Edge を標準にしている会社は、そのままでは使えない。内蔵ブラウザへログインを移せる元も、macOS が Chrome と Edge、Firefox なのに対し、Windows と Linux は Firefox だけに限られる。

アンソロピックは、信頼できるサイトから始めるよう勧めている。押しつづけてきた承認ボタンが消えたぶん、どこから任せるかを決める責任がこちらにまわってきたことになる。

---

出典

• Anthropic「Claude in Chrome is generally available」（2026年8月26日）
• Anthropic「Claude gets its own browser in Cowork」（2026年8月26日）
• Anthropic「Piloting Claude in Chrome」（2025年8月25日、2025年11月24日・12月18日に追記）