Opus 5、ブラウザ乗っ取り耐性が急上昇

Claude Cowork のようなブラウザ自動操作エージェントは、ユーザーの代わりにWebページを読み、クリックし、フォームに入力します。ここに固有の脆弱性があります。エージェントが「読む」対象には、ユーザーの指示だけでなくページ上の任意のテキストも含まれるため、攻撃者が白背景に白文字や隠し要素で「この設定を変更しろ」「別のサイトへ情報を送れ」といった命令を埋め込むと、エージェントがユーザーの指示と誤認して実行してしまう恐れがあります。これが間接プロンプトインジェクションと呼ばれる攻撃です。

Anthropic は Opus 4.8 のシステムカード（2026年5月28日公開）で、安全策を適用しない状態でのブラウザエージェントの「乗っ取り成功率」が 31.5% だったと開示しています。3回に1回近くはページ側の隠し命令に従ってしまう計算で、フロンティア研究所が自社モデルの弱点をここまで具体的な数値で公表した例は多くありませんでした。この数字を基準線として、Anthropic は2026年7月24日に公開した Claude Opus 5 で、どこまで改善できたかを同じ手法で測定しています。

2026年に入り、Claude Cowork のようなブラウザ自動操作エージェントは、経費精算や競合調査、フォーム入力といった定型業務の自動化に実運用で使われ始めています。これまでプロンプトインジェクションは「理論上のリスク」として語られがちでしたが、Anthropic 自身が研究ブログでブラウザ利用時のプロンプトインジェクション対策を専用に取り上げていることからも分かる通り、エージェントがWeb上で実際に金銭・認証情報・社内データに触れる段階に入り、対策の優先度が急速に上がっています。31.5%という具体的な数字を伴う開示は、業界内で「どのラボがどこまで対策できているか」を比較する数少ない共通の物差しにもなりつつあります。

もう一点見落とせないのは、0%はあくまで Auto Mode という製品側の安全策込みの数字である一方、3.70%はモデル単体の耐性という点です。両方が改善しているということは、Anthropic が「賢いモデルに任せきる」のではなく「モデルの地力」と「製品側の多層防御」を同時に底上げする方針を取っていることを示しています。単一の対策に依存しない設計は、未知の攻撃パターンへの耐性という意味でも評価しやすいポイントです。

見出しを「解決」ではなく「改善した可能性」に留めているのには理由があります。第一に、これらの数値はAnthropic 自身のテスト環境での計測であり、実際の攻撃者は金銭的インセンティブを持って未知の手口を試し続けるため、社内ベンチマークでの0%がそのまま実運用での安全性を保証するわけではありません。第二に、0%が成立するのはAuto Mode を有効にした場合に限られ、安全策なしのモデル単体では3.70%の乗っ取りが依然として発生しています。Auto Mode をオフにした構成や、独自に組んだエージェント基盤ではこの防御が効かない可能性があります。第三に、Gray Swan ベンチマークの2.0%や、ブラウザ以外のコンピュータ操作での0.39〜0.54%という数字が示すように、ゼロではなく低減という表現が実態に近い領域が他にも残っています。

過去のセキュリティ分野の教訓として、防御策の公開は攻撃側の研究を刺激する側面もあります。31.5%という数字自体が「ブラウザエージェントは攻撃対象として有望」というシグナルを与えた可能性もあり、今後さらに巧妙な間接プロンプトインジェクションの手口が報告される展開は十分に考えられます。導入企業側は、この改善を「もう心配しなくていい理由」ではなく「以前より安心して次の一歩に進める材料」として扱うのが妥当です。