メモリスによる要約- 0%はCowork経由のAuto Mode評価、実証はChrome拡張の確認モードで別条件
- 攻撃時点で公表済みだった拡張機能の数字は1%だった
- 漏れた後に何が漏れないかを先に設計する発想が要る
Anthropicは2026年7月24日、Claude Opus 5のシステムカードで、129のブラウザ環境における間接プロンプトインジェクション評価を公表した。1環境あたり10回、合計1,290回の試行で、Auto Mode有効時の攻撃成功率は0%。追加防御を外した条件でも3.70%にとどまり、前世代Opus 4.8の31.5%からは大きな前進とされている（Claude Opus 5 System Card）。
その12日後、8月5日のBlack Hat USA 2026で、Zenity LabsはAIブラウザ5製品に及ぶ脆弱性クラス「PleaseFix」を公表した。細工したメールをGmailで要約させただけで間接プロンプトインジェクションが成立し、javascript_toolが認証済みセッションで任意コードを実行、Slack・X・Claude.aiの乗っ取りに至る連鎖を示している。しかも「ask before acting」と呼ばれていた当時の確認モードでも止まらなかったという。
0%と、動く攻撃。並べれば矛盾に見える。だが、同じ条件を測ったものではない。0%はClaude Coworkを通したブラウザ環境で、Auto Mode——現在「Skip all approvals」「Manually approve」の間に位置する第三のモード——を有効にしたときの数字だ。一方Zenityが実証したのは、Chrome拡張機能のサイドパネルから始まる連鎖で、確認モードと「act without asking」の双方で成立している。Zenityの記事にAuto Modeでの結果は出てこない。加えて、Zenityの攻撃連鎖が129環境の評価セットに含まれていたかどうかは公開情報からは確認できず、名称が同じだからといって評価環境と拡張機能の防御構成が同一とは判断できない。0%は、この手口が成立しないことを直接示す数字ではない。
業務でAIエージェントを使う側からすれば、「ベンダーが0%と言うなら大丈夫」で判断を終えたくなる誘惑はわかる。だが、この受け止め方は測定条件を無視している。実は、Zenityが検証していた時期にAnthropicが公表していた拡張機能の攻撃成功率は、0%ではなく1%だった。Anthropic自身が2025年11月の研究記事で「1%は大きな改善だが、依然として無視できないリスクである。どのブラウザエージェントもプロンプトインジェクションに免疫を持たない」と書いていたその1%を起点に読むほうが、時期的にも筋が通る。0%という一つの数字だけを取り出して安全宣言のように扱うのは、評価環境の話を実運用の保証にすり替える読み違いだ。
もう一段踏み込むと、確かめるべきなのは「攻撃成功率が何%か」ではなく、「突破されたとき何が漏れないか」のほうだろう。Zenityの連鎖でClaude.aiの乗っ取りが最も重いとされるのは、過去のチャット履歴やファイルに加え、そのアカウントが認可済みのGoogle Drive・Gmail・Slack・GitHubといったコネクタまで攻撃者の手に渡るからだ。承認画面が出ないのは、過去の自分がすでに承認しているからにほかならない。権限の最小化、プロファイルの分離、機微な業務での不使用、管理者による許可リスト——防げるかではなく漏れたとき何が漏れないかを先に決めておく発想が、コネクタを持つAIアシスタントには必要になる。録音データを扱うアプリの側でも、AI処理完了後に音声データを即時自動削除する設計は、そもそも長期に残る認可済みアクセス経路を作らないという発想に近い。権限や接続を残さないことは、それ自体が防御になる。
あわせて読みたい：