Anthropicが2026年7月24日に公開したClaude Opus 5のSystem Cardで、ブラウザを使うAIエージェントの弱点に大きな改善が見られた。学習に使っていない129の環境で各10回、計1,290回の間接プロンプトインジェクションを試したところ、Auto Modeを有効にしたOpus 5では攻撃が一度も成功しなかった。ただし、追加防御を外した同じモデルの攻撃成功率は3.70%である。0%という数字は、強くなったモデルと、読み込むデータと実行する操作を別々に検査する製品側の防御を組み合わせた結果だ。
0%を生んだモデルと二重の検査
ブラウザ評価はClaude Coworkの製品ハーネス上で行われた。129の環境には、スクリーンショットやページ読み取りを通じて必ず攻撃文を見せるよう調整したWebページが用意され、成否は環境内のプログラムで判定する。攻撃者は各環境で10回試せるため、モデルと設定の組み合わせごとに1,290回の攻撃機会があった。
| モデル（思考あり） | 追加防御なしの攻撃成功率 | 破られた環境 | Auto Mode込み | 破られた環境 |
|---|---|---|---|---|
| Claude Opus 5 | 3.70% | 11/129 | 0% | 0/129 |
| Claude Opus 4.8 | 31.5% | 81/129 | 0.08% | 1/129 |
| Claude Sonnet 5 | 0.93% | 9/129 | 0% | 0/129 |
| Claude Mythos 5 | 29.7% | 71/129 | 0% | 0/129 |
Opus 5の基礎耐性はOpus 4.8から大幅に上がった。一方、追加防御なしではSonnet 5の0.93%がOpus 5の3.70%を下回る。Auto Modeを重ねるとOpus 5、Sonnet 5、Mythos 5がそろって0%になった。したがって、ブラウザ評価の0%をOpus 5だけの能力へ帰すことはできない。
Auto Modeは二つの場所で攻撃を止める。入力側のprompt-injection probeは、Webページやファイル、外部ツールの返り値がモデルのコンテキストへ入る前に走査し、疑わしい指示があれば警告を添える。出力側では別のclassifierがツール呼び出しを実行前に検査する。このclassifierは利用者のメッセージとツール呼び出しだけを読み、モデルの発話やツールの返り値を見ない。入力側をすり抜けた攻撃が操作を起こすには、攻撃文を直接見ていない出力側の判定も破らなければならない。
ここでいう「追加防御なし」は、製品の通常運用を表す数字ではない。System Cardによると、CoworkはAuto Modeを使わない場合でもprompt-injection probeを有効にしており、評価ではモデル単体との比較のために外している。3.70%は生のモデル耐性を測る実験値であって、Cowork利用時の実測被害率ではない。
Gray Swan評価では15回以内に2.0%
Anthropicは社内のブラウザ評価とは別に、Gray Swan、英国AI Security Institute、米Center for AI Standards and Innovationなどと作ったIndirect Prompt Injection（IPI）ベンチマークも報告した。こちらは28のシナリオと、重複を除いた1,130件の転用性が高い攻撃を使う。Claude各モデルには追加防御を付けず、全モデルで拡張思考を有効にした。
| モデル | 1回で成功する確率 | 10回以内 | 15回以内 |
|---|---|---|---|
| Claude Opus 5 | 0.2% | 1.6% | 2.0% |
| Claude Opus 4.8 | 0.5% | 4.1% | 5.5% |
| Claude Sonnet 5 | 0.6% | 4.7% | 5.9% |
| Claude Mythos 5 | 0.3% | 2.1% | 2.6% |
Opus 5は15回以内の成功確率をOpus 4.8の5.5%から2.0%へ下げた。ただし、この28シナリオはコーディング、GUIによるコンピュータ操作、ツール利用を含み、社内ブラウザ評価の129環境とは別の評価である。攻撃は過去の公開レッドチーム競技から選ばれ、Opus 5を相手にその場で改良し続けたものでもない。他社モデルは公開エンドポイントで評価されており、背後の追加防御も揃っていない。順位には意味があるが、異なる製品の侵害確率をそのまま予測する表ではない。
攻撃の供給源となった公開競技には464人が参加し、13の先端モデルへ27万2,000回の攻撃を仕掛けた。41シナリオで8,648件が成功し、評価対象の全モデルに突破例があった。さらに、あるモデル向けに見つかった攻撃手法が41種類の行動のうち21種類へ転用できたという。既知の攻撃セットで高得点を取っても、次の攻撃者が別の書き方を探せば成績は動く。
コードとGUIでも防御層が差を作る
System Cardは、攻撃者がモデルの反応を見ながら入力を改良する適応型評価を、コーディングとGUI操作でも実施している。コーディングは40シナリオ、GUI操作は14シナリオで、攻撃者には1シナリオ当たり200回の試行が与えられた。
| 環境（思考あり） | Opus 5単体 | probe込み | Opus 4.8単体 | probe込み |
|---|---|---|---|---|
| コーディング | 0.56% | 0.18% | 7.03% | 2.09% |
| GUI操作 | 0.54% | 0.25% | 7.14% | 5.11% |
モデル更新と入力検査はどちらも成功率を下げたが、ここでは0%になっていない。コーディングではOpus 5にprobeを加えても40シナリオ中4件、GUI操作では14件中1件で少なくとも一度は攻撃が通った。ブラウザ評価だけを根拠に、コードリポジトリ、MCPサーバー、ローカルファイルから届く指示まで安全になったとは言えない。
評価面の違いも興味深い。ブラウザの生モデルではSonnet 5がOpus 5より低い攻撃成功率だったが、GUI操作ではOpus 5が0.54%、Sonnet 5が2.25%だった。安全性はモデル名に付随する一つの固定値ではなく、エージェントが何を読み、どの道具を使い、どこまで操作できるかによって変わる。
「安全」は権限と実行環境まで含めて決まる
Anthropicの現行ヘルプは、0%の評価を公開した後も「リスクはゼロではない」と明記している。Claude in Chromeは受信内容と実行前の操作をclassifierで検査するほか、サイトのブロックリスト、権限の細分化、高リスク操作の確認を組み合わせる。それでも機密性が高い処理では信頼できるサイトに限定し、別のブラウザプロファイルや組織の許可リストを使うよう勧めている。
CoworkのAuto Modeは読み取り専用ツールを自動で許可し、書き込みや削除はClaudeが都度判断する。送金、本人名義のメッセージ送信、重要ファイルの操作では、Anthropic自身がManual Modeへの切り替えや利用者の監督を推奨している。安全検査を行わず承認を省くSkip Modeとは、同じ自動実行でも防御条件が違う。
モデルとclassifierが見抜けない攻撃も残る。Anthropicは2026年2月の社内レッドチームで、攻撃者が用意した指示を利用者自身に貼り付けさせ、AWS認証情報を外部へ送らせる攻撃を試した。25回中24回で情報流出に成功したという。外部コンテンツに潜む指示ではなく、利用者から届いた正規の依頼に見えるため、ユーザー意図を基準にする検査では判別できない。この場合は、認証情報へ届かないファイル境界と、外部送信を止めるネットワーク制御が効く。
OpenAIもブラウザエージェントのプロンプトインジェクションを、今後何年も取り組む未解決課題と説明している。同社は強化学習で攻撃側のエージェントを鍛え、標的の推論と操作履歴をシミュレーターから受け取って攻撃を反復改良する。防御モデルが強くなるほど、攻撃の探索にも強いモデルと多くの計算を投入できる。0%は大きな前進だが、攻守の更新を止める終点ではない。
企業が確認すべき数字は三つある。自社のWebサイトとメール、共有文書を混ぜたレッドチームで何件通るか。接続ツールから返る情報も試験へ加える必要がある。安全判定が正規の処理を何件止めるか。突破されたとき、権限と隔離で損害をどこまで狭められるか。Opus 5とAuto Modeは最初の数字を大きく改善した。残る二つまで測って初めて、広い操作権限を預けられる。