これまで「AIに画面を操作させる」機能は、一手ごとに「このリンクを押していい？」「送信していい？」と確認を挟むのが普通でした。安全ではあるけれど、承認ボタンを連打する作業が残るなら、正直そこまで“ラク”ではありません。

その前提が、静かにひっくり返りました。Anthropic のブラウザ操作AI「Claude in Chrome」が、すべての有料プラン（Pro / Max / Team / Enterprise）で一般提供になり、1操作ごとの承認を外して“自律操作”をデフォルトONにしたのです。AIが、あなたのログイン状態のまま、自分でページを読み、入力し、クリックし、送信するところまで進めます。

何が変わったのか──「承認なし」が既定になった

Claude in Chrome は、Chrome の拡張機能として入れて使います（Chrome ウェブストアから導入。現時点では他の Chromium 系ブラウザやスマホには非対応）。できることは、表示中のページを読み取り、テキスト入力・リンククリック・ページ遷移・フォーム送信を行うこと。ログイン済みの状態を保ったまま操作できるのがポイントで、Claude と直接つながっていない社内ダッシュボードやレガシーな管理画面、仕入先ポータルにも“画面越し”に触れます。

これまでとの最大の違いは、一手ごとの承認が不要になったこと。以前は操作のたびに人が「OK」を押す設計でしたが、一般提供にあわせて自律的な操作が既定になりました。つまり「ここからここまでやっておいて」と頼めば、AIが途中の細かな操作を自分で判断して進めます。

※ 一般提供は2026年8月下旬と報じられ、日本でも直近で解説記事が出ています。日本語UI・国内での提供状況の細部は、各自の環境で確認してください。

なぜ「承認」を外せたのか──三層の防御

「承認を外す」と聞くと不安になります。悪意あるWebページがAIに勝手な指示を出したら？ ここがまさにプロンプトインジェクション（Webページやメールに“AIへの命令文”を仕込み、乗っ取る攻撃）の問題です。Anthropic は自律化の裏付けとして、三層の防御を挙げています。

  1. モデルそのものの訓練：強化学習で「悪意ある指示を見分けて拒否する」堅牢性を Claude 本体に組み込む。
  2. 分類器によるスキャン：信頼できないコンテンツ（隠しテキストや細工された画像など）を検査し、疑わしいものをフラグ付け。攻撃を検知したら挙動を是正する仕組みも加えた。
  3. 人によるレッドチーム：社内チームに加え、外部の“アリーナ型チャレンジ”で継続的に穴を探す。

この結果、攻撃の成功率を大きく引き下げたとされています。最新のレッドチーム評価では0〜0.3%程度、社内テストでは0.08%未満という報道があり、初期ベータ期の水準として約1%という記述もあります。評価の時期や条件が違うので単純比較はできませんが、「1%未満〜ほぼ0%」まで抑え込んだ、という水準感です。

あわせて、ユーザー側の防御も残っています。サイト単位で権限を設定でき、高リスクな操作の前には確認を挟む設計です。全部を無条件で丸投げする作りではありません。

それでも残る弱点──「未解決」とはっきり書いてある

ここが大事なところで、Anthropic 自身が「プロンプトインジェクションはまだ解決されていない」と明記しています。攻撃成功率は下がっても、ゼロではありません。実際、研究者からは拡張機能を狙うゼロクリック型の攻撃連鎖（“ShadowPrompt”と呼ばれる報告）も指摘されています。細部の真偽や修正状況までは公開情報で裏取りしきれていませんが、「ブラウザを操作するAIは、Webページ側から狙われる新しい攻撃面を持つ」という事実は変わりません。

要するに、便利さと引き換えに、AIに“ログイン済みの自分”を預けるという重さがある。ここを理解して使うかどうかで、価値もリスクも大きく変わります。

中小企業はどう使う？──現実味と、守りの三原則

「承認連打」が消えたことで、これまで割に合わなかった作業が自動化の射程に入ります。たとえば──

  • 受発注ポータルや仕入先サイトへの定型入力
  • 管理画面から別画面への転記・登録
  • 複数サイトをまたいだ情報の収集と一覧化

APIが用意されていない“画面しかない”業務ほど、効果が出やすい領域です。一方で、任せるなら守りの三原則を先に決めておくのが安全です。

  1. 権限は最小に：AIに渡すのは、その仕事に必要なサイト・操作だけ。全開放しない。
  2. 機微なサイトは許可制：銀行・決済・人事・顧客情報など“取り返しのつかない”系は、自律操作の対象から外すか、都度確認にする。
  3. 高リスク操作は確認を残す：送信・購入・削除・送金など、後戻りできない操作の前は人が見る。

この3つを最初に設計しておけば、「承認なし」の速さと、事故を防ぐ歯止めを両立できます。便利さはデフォルトで、慎重さは設計で足す──これが今回のニュースの実務的な結論です。

まとめ

  • Claude in Chrome が全有料プランで一般提供。1操作ごとの承認を外し、自律操作が既定に。
  • 裏付けは三層のプロンプトインジェクション防御。攻撃成功率は1%未満〜ほぼ0%の水準まで低下（数値は評価条件で差）。
  • ただしプロンプトインジェクションは未解決。ブラウザ操作AIは新しい攻撃面を持つ。
  • 中小企業は「画面越しの定型業務」自動化のチャンス。使うなら権限最小・機微は許可制・高リスクは確認の三原則を先に決める。

AIが「押していい？」と聞かなくなった分、何を任せ、何は任せないかを決めるのは、これまで以上に私たち側の仕事になりました。

あわせて読みたい

参考

本記事は複数の公開情報をもとに作成しています。数値・提供状況は出典元および各自の環境でご確認ください。