「社内のブラウザ拡張機能は、それぞれ独立して動いているから安全」——この前提が崩れる話が海外で報じられている。AIエージェントがブラウザの中で動くようになったことで、拡張機能同士が互いに信用しすぎているという、これまであまり意識されてこなかった穴が表面化した。

Claude for Chromeとは何か

Claude for Chromeは、Anthropicが提供するブラウザ拡張機能で、Claudeがブラウザ上でメール確認やカレンダー登録、フォーム入力といったタスクを人に代わって実行できるようにするものだ。実行の都度確認を求める既定モードのほか、決められた作業範囲の中でならAIが確認なしに進められるモードも用意されている。「社内のブラウザ操作をAIに任せられるか」という論点は、ターミナル上のClaude Codeとはまた別の緊張を生む領域であり、この記事はその一例を扱う。

半年前の「ClaudeBleed」と、その再燃

発端は2026年5月にセキュリティ研究者(LayerX)が公表した脆弱性「ClaudeBleed」だ。複数の海外報道によれば、拡張機能同士の出所検証が甘く、悪意ある拡張機能がClaude for Chromeのセッションを乗っ取って不正な操作を実行できる状態だったという。Anthropicはその後のバージョンで対応し、Webページ側からClaudeへ不正な指示を注入する経路は塞がれた。

ところが、セキュリティ企業Manifold Securityが2026年5月にAnthropicへ新たに報告した2件の問題は、7月時点の最新版でも再現することをSecurityWeekやThe Hacker News、TechRadar、CSO Onlineなど複数の海外セキュリティメディアが報じている。研究者自身による報告はManifold Securityのブログが一次情報だが、本記事執筆時点ではアクセスできず、上記の複数メディアの報道が一致する範囲の内容を採用している。ClaudeBleedの修正が「Webページからの注入」という経路には効いたが、「拡張機能同士の呼び出し」という別の経路には効いていなかった、という位置付けだ。

何が起きるのか

報道が一致して伝える内容を整理すると、次の2つの問題がある。

1. クリックの「なりすまし」

claude.aiドメイン上でスクリプトを実行する権限を持つ別の拡張機能があれば、その拡張機能はページにこっそり要素を追加し、人間が押したように見せかけたクリックを発生させられる。Claude for Chrome側がそのクリックが本物のユーザー操作かどうかを検証していないため、これだけでGmail・Googleドキュメント・カレンダーの読み取りなど、あらかじめ用意された複数の定型タスクを勝手に実行させられる。

深刻度は設定次第で大きく変わる。既定の「都度確認する」モードでも成立してしまう問題だが、ユーザーが「確認をすべて省略する」設定を有効にしていた場合、影響はより深刻なものとして評価されている。

2. URLパラメータによるモード切り替え

Claude for Chromeのサイドパネルは、特定のURLパラメータを付けて開くと、確認プロンプトなしに「確認省略」モードで起動してしまう。これは拡張機能レベルの権限がすでにある前提の問題で、外部から直接リモートで悪用できるものではないとされているが、「確認を省略する設定」への入口が複数あること自体が、この一連の問題の構造を表している。

なぜこの話が刺さるのか——「省略」の設定に穴が集まる

この2つの問題に共通するのは、どちらも「人間の確認を省略する」設定・経路が攻撃の対象になっている点だ。AIエージェントの価値は「確認なしにどんどん進められる」ところにあるが、その価値の源泉であるはずの設定が、そのままセキュリティ上の最大の穴にもなっている。

Anthropic自身の公式サポート記事(本記事執筆時点ではWebFetchでアクセスできなかったが、複数の海外メディアが同一の内容を引用しており、記述は一致している)によれば、Claude for Chromeの権限モードは大きく3段階に分かれている。都度確認する既定モード、Claudeが安全性を自己チェックしながら進める自動承認モード、そして一切のチェックを行わずに進める「確認省略」モードだ。3段階目については「関わるすべてのアクション・連携先・ファイル・アプリを完全に信頼できる場合にのみ使うべき」という位置付けが公式に明記されている。

今回の問題が突きつけているのは、その「完全に信頼できる」の範囲を、ユーザー自身がどこまで正確に把握できているかという点だ。ブラウザ拡張機能は日常的に何十個も入っていることが珍しくなく、そのすべてが「claude.aiドメイン上で何をする権限を持っているか」を把握している利用者は多くない。

中小企業が実務で押さえるべき3点

  1. 「確認省略」系の設定は、対象を狭めてから使う：Claude for Chromeに限らず、AIエージェントの「確認を省略して進める」設定は、対象業務を狭く限定したうえで使う。社内のブラウザ操作全般に対して包括的に有効化することは避ける
  2. ブラウザ拡張機能の棚卸しをする：社内で使われている拡張機能が、claude.aiを含む業務上重要なドメインに対してどこまでの権限を持っているかを定期的に確認する。使っていない拡張機能、権限が過大な拡張機能は削除する
  3. ベンダーの既定値・修正状況を鵜呑みにしない:「一度修正された」という発表があっても、修正の範囲がどこまでかを確認する姿勢を持つ。今回のケースも、修正されたのは問題の一部の経路だけだった

ベンダー任せにしない、という一貫した発想

これは以前の記事で扱ったterraform destroyによる本番消失事故やRemote ControlのTrusted Devicesとも根が同じ話だ。AIエージェントが便利になるほど、「どこまで人間の確認を省略してよいか」の線引きは、ベンダーの既定値に委ねきるのではなく、自社の言葉で決めておく必要がある。これはハーネスの考え方の一部であり、機能そのものより「何を、どこまで自動化してよいと決めているか」という運用設計の方が本質的に重要になる。

自社でどこまでAIエージェントに任せてよいかの線引きに迷う場合は、パイロット・構築のフェーズで整理できるテーマだ。まずは30分の無料診断で相談してほしい。