この記事は、間接プロンプトインジェクション がエージェント一般よりもブラウザエージェントにとってより深刻な問題である理由と、Anthropic がそれを軽減するために行ってきたことを示している。記事によるリスクの捉え方は、エージェントが役に立つためにはユーザーに代わって行動しなければならず（ウェブを閲覧し、タスクを完了し、ユーザー自身のデータを扱う）、そのことが、エージェントが訪れるすべてのウェブページを潜在的な攻撃経路にしてしまう、というものである。
ブラウザにおいて特にリスクを増幅するものとして、2 つの性質が挙げられている。1 つは攻撃対象領域が膨大であることで、あらゆるウェブページ、埋め込み文書、広告、動的に読み込まれるスクリプトが、悪意ある指示の運び手になりうる。もう 1 つは行動空間が広いことで、ブラウザエージェントは URL への移動、フォームへの入力、ボタンのクリック、ファイルのダウンロードを行うことができ、攻撃者がその振る舞いに影響を及ぼせるようになれば、そのすべてを自らの目的に転用できる。
記事は測定された進歩を報告しつつも、それを問題の解決として提示することは拒んでいる。この数値についての記事自身のまとめは、1% という攻撃成功率は大きな改善ではあるものの、依然として無視できないリスクを表しているというものであり、この結果は問題が解決したと主張するためではなく、進歩を示すために共有されている。
要点
- 挙げられている具体例は、最近のメールを読んで会議の依頼への返信を下書きするよう頼まれたエージェントである。そのうち 1 通のメールには白い文字で隠された指示（ユーザーには見えないがエージェントには処理される）が含まれており、返信を下書きする前に「confidential」という単語を含むメールをすべて外部のアドレスに転送するようエージェントに指示している。
- 堅牢性は、効果があると知られている多数のプロンプトインジェクション手法を試して組み合わせる、社内の適応型「Best-of-N」攻撃者に対して測定される。攻撃者には環境ごとに 100 回の試行が与えられ、攻撃成功率は各モデルが遭遇した攻撃に対する割合として算出される。
- 報告されている比較は、記事と同時にリリースされたブラウザ拡張機能の構成と、当初のリサーチプレビュー公開時の構成との間のものである。Claude Opus 4.5 は、ブラウザ操作において従来のモデルよりも強いプロンプトインジェクション耐性を示すとされ、プレビュー以降に追加された新たな安全策はすべての Claude モデルの安全性を向上させているという。
- 最初に説明される防御は訓練である。強化学習を用いてモデル自体に堅牢性を組み込み、訓練中にシミュレートされたウェブコンテンツに埋め込まれたプロンプトインジェクションにモデルをさらし、悪意ある指示を見抜いて拒否したことに報酬を与える。そこには、権威があるように、あるいは緊急であるように見せかけた指示も含まれる。
- 2 つ目は分類器である。モデルのコンテキストウィンドウに入るすべての信頼できないコンテンツがスキャンされ、分類器は隠しテキスト、操作された画像、欺瞞的な UI 要素といった複数の運び手にわたって潜在的なインジェクションを検出し、攻撃が特定された場合にはモデルの振る舞いを調整する。記事は、分類器と、検出後の振る舞いを導く介入の両方を改善したと報告している。
- 3 つ目は人間によるレッドチーミングで、その根拠として、創造的な攻撃経路の発見においては人間のセキュリティ研究者が自動化システムを一貫して上回ることが挙げられている。社内のレッドチームがブラウザエージェントを継続的に調査しており、Anthropic は業界全体の堅牢性をベンチマークする外部のアリーナ形式のチャレンジにも参加している。
- これらの結果は、Claude for Chrome 拡張機能をリサーチプレビューからベータ版へと拡大し、Max プランのユーザーが利用できるようにする根拠として示されている。
- 記事は、プロンプトインジェクションに対して免疫を持つブラウザエージェントは存在しないと述べ、ウェブを継続的な警戒を要する敵対的な環境と表現し、攻撃手法の進化に合わせて投資を続けることを約束している。
背景
この評価は Anthropic 自身によるもので、自社の社内攻撃者を相手にしたものである。記事は攻撃成功率を報告しているが、ベンチマーク、環境、攻撃コーパスは公開していない。そのため、この数値は比較可能な尺度というより、1 つのベンダーの方法論の中での進んでいる方向を示すものにとどまる。外部のアリーナ形式のチャレンジへの参加はこれを補完するものとして言及されているが、外部での結果はここでは報告されていない。
この記事を多層防御のチェックリストと区別しているのは、残存リスクをどこに位置づけているかである。記事の 3 つの層（モデルの訓練、サービス提供経路上の分類器、レッドチーミング）はいずれもプロバイダー側のものであり、記事の結びの立場は、それらで十分だというものではなく、十分ではないというものである。この捉え方は、同社が後にエージェントの信頼について書いた文章とも一致しており、そこでは責任の範囲が、顧客がエージェントに与えるツール、権限、環境にまで広げられている。