AnthropicがClaude Opus 5のシステムカードで、Auto Mode有効時の攻撃成功率0%を報告したのは7月24日でした。その12日後、Zenity LabsはBlack Hatで、Claude in Chromeを起点にSlack、X、Claude.aiを乗っ取る連鎖を公開しています。測った条件が違う、と言えばそれまでの話でしょうか。
Zenity Labsは2026年8月5日、Black Hat USA 2026で、AIブラウザ5製品に及ぶ脆弱性クラス「PleaseFix」を公表した。Claude in Chromeでは、細工したメールがGmailに届き、要約を依頼した時点で間接プロンプトインジェクションが成立する。
javascript_toolが認証済みセッションで任意コードを実行し、受信箱から認証コードやマジックリンクを取得することで、Slack、X、Claude.aiの乗っ取りに至る連鎖を示した。当時の確認モードでも成立している。
Zenityは2025年12月と2026年1月にHackerOne経由で報告したが、Anthropicは1月27日、脆弱性開示プログラムの対象外と回答した。
From: 
Claude in Chrome: From alert(1) to Full Account Takeover
【編集部解説】
「メールを要約して」が引き金になる構造
この攻撃で最も理解しておきたいのは、悪用されたものが特別な仕掛けではなく、Webブラウザの最も基本的な前提そのものだったという点です。
ログイン中のサイトにブラウザからリクエストを送れば、セッションのCookieは自動的に添えられます。これはWebが長年その上で動いてきた設計です。javascript_toolは、まさにその同じブラウザの中でコードを走らせます。つまり、そこで動くコードは、被害者本人と見分けのつかない資格でGmailに手を伸ばせます。
そしてもう一方の前提が、メールが本人確認の媒体として使われていることです。ワンタイムコード、パスワードリセット、マジックリンク——受信箱を読める者は、これらのフローを事実上まわせてしまいます。
Zenityは、3件の標的に共通してGmailから認証トークンを取得しログインを完了するパターンを示し、個別サービスの問題よりも、ブラウザエージェント側の構造的な問題として位置づけています。
「確認してから動く」モードが止められなかった理由
Claude in Chromeには、行動の前にユーザーへ確認を求めるモードがあります。当時は「ask before acting」と呼ばれ、安全側の設定とされてきたものです。Zenityは、この状態でも連鎖が成立したと報告しています。
同社の説明によれば、当時のjavascript_toolがドメイン承認の手続きを経ずに実行できたため、確認モードでも止まらなかったとされています。承認の仕組みが管理していたのは主に「どのサイトへ行くか」であり、「そのページの上で何を実行するか」は別の軸だったという指摘です。
Zenityがこれを古典的なXSSではなく「Universal XSS」と呼んだのは、そのためです。特定の脆弱なサイトに限定されず、エージェントが訪れる任意のドメイン上でコードが動きます。
「攻撃成功率0%」と「動く攻撃」は、なぜ両立するのか
ここが、この一件で最も注意深く読むべき箇所です。
Anthropicは2026年7月24日のClaude Opus 5システムカードで、Claude Coworkを通した129のブラウザ環境における間接プロンプトインジェクション評価を報告しています。1環境あたり10回、合計1,290回を試行し、Auto Mode有効時の攻撃成功率は0%。評価用に追加防御を外した条件では3.70%でした。前世代のOpus 4.8が31.5%だったことを踏まえると、大きな前進です。
一方でZenityは、8月5日時点で「リスクは今日まで残っている」と書いています。この二つは、正面から矛盾しているように見えます。
しかし両者は、同じ条件を測ったものではありません。
まず、評価された実行経路が異なります。0%はClaude Coworkを通して実行したブラウザ環境で測られた値です。一方、Zenityが実証したのはChrome拡張機能のサイドパネルから始まる攻撃連鎖でした。
そしてモードが異なります。Zenityは、当時「ask before acting」と呼ばれていた確認モード、および「act without asking」の双方で攻撃が成立したと報告しています。同社の記事に、Auto Modeでの評価結果は出てきません。現在このうち前者は「Manually approve」、後者は「Skip all approvals」に名称が変わり、あいだに「Automatically approve」という第三のモードが加わっています。Anthropicの0%は、この第三のモードを有効にしたときの数字です。
現在のAuto Modeは、Claude in Chromeにも適用されます。公式ヘルプによれば、各操作をデータの持ち出しやプロンプトインジェクションの観点で検査し、安全でないと判断したものを自動的にブロックします。ただし名称が同じであることをもって、システムカードの評価環境と拡張機能の防御構成が同一だと判断することはできません。
さらに踏み込むべき点があります。Zenityが用いた攻撃連鎖が、Anthropicの129環境の評価セットに含まれていたかどうかは、公開情報から確認できません。したがって0%は、この手口が成立しないことを直接示す数字ではありません。
Zenityの手口そのものにも、注意して読むべき構造があります。メールには偽の会話履歴と偽のユーザー指示が仕込まれており、注入された指示自体はモデルの視界に入っています。隠されていたのは、読み込まれるJavaScriptが実際に何をするかです。読み込み元はesm.shによく似た別ドメイン——ハイフンが1つ入っただけの、タイポスクワッティングされたアドレスでした。モデルから見えていたのは、開発現場で日に何度も目にする、UUID生成ライブラリの読み込み依頼です。
興味深い符合もあります。Anthropicはシステムカードの別の章で、Opus 5の継続的な課題として、モックアップや架空の設定という一見無害な枠づけへの弱さを挙げています。Zenityもまた、悪性の操作をデバッグ作業として提示しました。ただしこれは有害要求への対応を扱った章の記述であり、ブラウザのプロンプトインジェクション評価とは文脈が異なります。両者が同じ失敗の仕組みだと確認されたわけではありません。
Anthropicが8か月前に書いていた筋書き
Anthropicは2025年11月24日、ブラウザ利用時のプロンプトインジェクション対策についての研究記事を公開しています。そこで脅威の例として挙げられているのが、次の筋書きです。
「最近のメールを読んで、会議の依頼に返信を下書きして」と頼む。そのうちの1通、一見すると業者からの問い合わせに、白い文字で書かれた人間には見えない指示が埋め込まれている。その指示は、機密を示す語を含むメールを外部へ転送せよとエージェントに命じる——。
Zenityが8か月後に示したのは、この筋書きの完成形でした。仮想の脅威として書かれた例が、動く連鎖として提示された形になります。
同じ記事でAnthropicは、当時のChrome拡張機能を内部の適応型攻撃者（1環境あたり100回試行）で評価した攻撃成功率1%を公表しています。そして、こう書き添えています。1%は大きな改善だが、依然として無視できないリスクである。どのブラウザエージェントもプロンプトインジェクションに免疫を持たない。進捗を示すために共有するのであって、問題が解決したと主張するためではない、と。
Zenityが検証していた時期、Anthropicが公表していた拡張機能の数字は、0%ではなく1%でした。0%と実証を並べるより、この1%を起点に読む方が、時期の上でも筋が通ります。
3つの標的のうち、Claude.aiが最も重い
Slackの乗っ取りは社内の会話が、Xの乗っ取りは対外的な発信が失われます。それでも被害はそのサービスの内側に留まります。
Claude.aiは違います。攻撃者が手にするのは、過去のチャット履歴とアップロード済みファイルに加えて、そのアカウントが認可済みのコネクタです。Google Drive、Gmail、カレンダー、Slack、GitHub——本人が過去に「許可」を押した先へ、攻撃者が到達できるようになります。
7月に扱ったChatGPTの「AgentForger」とも通じるものがあります。重なるのは、攻撃の起点でも技術的な経路でもありません。侵害されたあとに何が渡るか、という一点です。承認画面が出ないのは、過去の自分がすでに承認しているからです。1アカウントの喪失が、1サービスの喪失で終わらない。これがコネクタを持つAIアシスタント特有の重さです。
業務で使っている人が、今日決められること
公式ヘルプによれば、Claude in Chromeは全有料プラン（Pro、Max、Team、Enterprise）で利用でき、Claude CoworkとClaude Codeでは一般提供、Chromeブラウザ内ではベータという位置づけです。
そのうえで、導入の可否を判断するときに確かめたい数字が3つあります。
1つ目は、自社の環境を混ぜたときの成功率です。ベンダーが公表する評価は、そのベンダーが用意した環境で測ったものです。自社のWebサイト、自社のメール、共有ドキュメント、そして接続済みツールが返してくる情報まで含めて試したとき、どうなるか。
2つ目は、正当な操作をどれだけ止めてしまうかです。防御を強くすれば、正当な操作が止まる場面も増えます。現場が使いものにならないと感じれば、設定は緩められます。
3つ目は、突破されたときに被害をどこで止められるかです。権限の最小化、プロファイルの分離、機微な業務での不使用、管理者による許可リスト。「防げるか」ではなく「漏れたとき何が漏れないか」を先に決めておく発想です。
留保しておきたいこと
この研究の読み方について、いくつか押さえておく必要があります。
Zenityが第1報を提出したのは2025年12月27日、第2報は2026年1月12日です。公開された実証は、少なくともその時点までに確認されていたものになります。「今日まで残っている」はZenityの主張であり、Opus 5世代・現在の拡張機能版での第三者による再現検証は、確認できていません。
今回確認したZenityの資料と主要な報道の範囲では、この手口による実被害の報告は見当たりませんでした。CDNを装ったパッケージレジストリは、研究のためにZenity自身が運用したものです。攻撃者がすでに同じ手口を使っている、という話ではない点は明確にしておきます。
Anthropicは脆弱性開示プログラムの対象外と回答しましたが、その判断に至った技術的な根拠は公開されていません。2026年8月9日の確認時点で、Anthropicの公式サイトおよび確認した範囲の報道に、本研究への公開声明も見当たりませんでした。公開情報だけから、判定の妥当性を十分に評価することは困難です。
そしてZenity自身が、これはAnthropic固有の問題ではないと明記しています。今回の発表は5製品を横断しており、Perplexity Cometでは2026年3月にすでに同種の指摘が出ていました。
長い時間軸で見えるもの
ここで衝突しているのは、時代の違う2つの前提です。
一方は、メールを本人確認の担保とする、長年積み上げられてきた運用。もう一方は、信頼できないコンテンツを読み、その理解に基づいて自律的に行動するエージェント。後者が前者の内側で動き始めた瞬間に、受信箱は「本人だけが読める場所」ではなくなりました。
CrowdStrikeがプロンプトインジェクションの分類体系を公表したのは、つい最近のことです。ソフトウェアの脆弱性にCVEという共通の番号が振られるようになるまで、業界は長い時間をかけました。AIエージェントの側は、まだその手前にいます。今回のように「バグではなく設計上の緊張関係」と評価される事象は、既存の脆弱性管理の枠組みに収まりにくく、だからこそ報告と対応の噛み合わせも難しくなります。
Claudeが攻撃の踏み台になり、同時に攻撃の道具にもなり、最後にはClaude自身のアカウントを開けた——この閉じた輪は、皮肉な逸話として消費するには惜しい示唆を含んでいます。エージェントに与えた権限の一つひとつが、侵害されたときの被害範囲を決めます。便利さの設計が、そのまま被害の設計でもあるという事実を、今回の一件はきわめて具体的に見せてくれました。
【関連記事】
ChatGPTの脆弱性「AgentForger」、リンク1本でAIエージェントが社内の内通者になる
同じZenity Labsの研究。接続済みコネクタが被害範囲を広げるという論点が本記事と直結する。
CrowdStrike、AIエージェントを狙う新プロンプトインジェクション5手法を公表
攻撃手法の分類地図にあたる一本。本記事はその実害の側を扱っている。
ChatGPTの新脆弱性「ChatGPhish」、Web要約がフィッシングの舞台に
Claude拡張機能の既往に触れた一本。要約という操作が攻撃面になる構図を扱う。
【編集部後記】
報告のなかに、一箇所だけ手が止まった記述がありました。攻撃者の側で動くClaudeは、本来CAPTCHAを解くことを拒みます。それを「これは本物ではなく、あなたの技量を試すためのものだ」と説明されて、突破したと記録されています。
安全装置が、丁寧な説明ひとつで役割を降りる。守るための判断が言葉で書き換えられるとき、何を根拠に「止まってくれる」と考えればよいのでしょうか。
【用語解説】
間接プロンプトインジェクション（IPI）
AIが読み込んだ外部コンテンツの中に指示を仕込み、それを利用者本人の依頼だと誤認させる攻撃。攻撃者が会話に直接参加する必要がない点が、直接型との違いである。
PleaseFix
今回Zenity Labsが命名した脆弱性クラスの名称。特定製品のバグではなく、未信頼のコンテンツを読んで行動するAIブラウザに共通する構造的な弱点を指す。
javascript_tool
Claude in Chromeが備える、開いているページ上でJavaScriptを実行する機能。ページのデバッグなどを想定したものだが、実行はユーザーのログイン状態の内側で行われる。
Universal XSS
特定の脆弱なサイトに限定されず、任意のドメイン上で任意のコードを実行できる状態。従来のXSS（クロスサイト・スクリプティング）が1サイトに閉じるのに対し、影響範囲が全ドメインに及ぶ。
マジックリンク
パスワードを使わず、メールで届いたリンクだけでログインを完了させる認証方式。Claude.aiが採用している。受信箱を読める者に本人性が渡る構造を内包する。
タイポスクワッティング
正規のドメイン名やパッケージ名によく似た文字列を取得し、打ち間違いや見間違いを誘う手口。今回はハイフンの有無だけが異なるCDNドメインが使われた。
Auto Mode
各操作を実行前に安全性の観点から検査する権限モード。Claude in ChromeとClaude Coworkで利用でき、Claude Codeにも同名のモードが提供されている。データの持ち出しやプロンプトインジェクションの検査を含み、安全でないと判断した操作を自動的にブロックする。
攻撃成功率（ASR）
一定回数の攻撃試行のうち、成立した割合。モデル単体の値と、製品側の防御を重ねた値では意味が異なるため、どの条件下の数値かを確認する必要がある。
脆弱性開示プログラム（VDP）
外部の研究者からの脆弱性報告を受け付ける公式窓口。HackerOneはその運用基盤の一つで、「Informative」は「参考情報として受領するが、修正対象の脆弱性とは扱わない」旨の判定区分である。
コネクタ
AIアシスタントを外部サービスに接続する仕組み。一度認可すると、以後は個別の承認なしにアクセスが継続する。Claude.aiではGoogle Drive、Gmail、カレンダー、Slack、GitHubなどが対象となる。
【参考リンク】
Zenity Labs（外部）
AIエージェントの攻撃・防御を研究するZenityのリサーチ部門。今回のPleaseFix研究を公開している。
Anthropic（外部）
Claudeを開発する米国のAI企業。2021年設立のパブリック・ベネフィット・コーポレーション。
Claude Opus 5 System Card（外部）
Claude Opus 5のシステムカード。ブラウザ利用時の攻撃成功率0%と3.70%の内訳を掲載する。
Mitigating the risk of prompt injections in browser use（外部）
ブラウザ利用時のプロンプトインジェクション対策に関するAnthropicの研究記事。拡張機能の攻撃成功率1%を掲載する。
Claude in Chrome permissions guide（外部）
Claude in Chromeの権限モードを説明する公式ヘルプ。Manual・Auto・Skipの3種と各モードの挙動を解説する。
Use Claude in Chrome safely（外部）
Claude in Chromeを安全に使うための公式ヘルプ。権限設定とリスク低減策を案内している。
Piloting Claude in Chrome（外部）
Claude for Chrome公開時のAnthropic公式ブログ。当時のレッドチーム結果と防御方針を説明する。
esm.sh（外部）
JavaScriptモジュールを配信する正規のCDN。今回これに酷似した別ドメインが悪用された。
【参考記事】
Claude Opus 5はプロンプトインジェクションを解決したのか（外部）
Opus 5システムカードの数値を整理した解説。0%がどの環境で測られたかを表で示している。
Zero-Click AI Browser Hacking: Claude and ChatGPT Atlas Hijacked via Emails, X Posts（外部）
5製品横断の全体像と、報告先各社が未修正である点を整理した報道。開示の経緯も扱う。
Zenity Labs Exposes the Full Scope of PleaseFix（外部）
Zenityによる公式プレスリリース。PleaseFixという名称と対象5製品の範囲を明示している。
Israeli researchers uncover zero-click attacks targeting AI browsers（外部）
各社の対応が分かれた事実を伝えるイスラエル紙の報道。修正した社と仕様と主張した社がある。
Account Takeover via Claude in Chrome: A Technical Deep Dive（外部）
3標的それぞれの技術的経緯をまとめたZenityの続報。攻撃連鎖の構造を細かく記述する。