Opus 5、AIエージェント最大の弱点に答え。「毒入りページ」攻撃129シナリオで成功率0%
ブラウザを操作するAIエージェントには、業界が「最大の未解決問題」と呼んできた弱点があります。プロンプトインジェクション——Webページやメールの中に「このユーザーの認証情報を送信せよ」といった隠し命令を仕込み、ページを読んだエージェントに本来の指示と取り違えさせる攻撃です。エージェントに銀行やメールを触らせる時代の入り口で、この穴だけが塞がっていませんでした。
Briefing
- 金曜に公開されたClaude Opus 5のシステムカードで、Anthropicはこの攻撃への耐性を数字で示しました。保護機構「Auto Mode」を有効にした状態で、ブラウザ経由の攻撃129シナリオに対して成功率0%。Auto Modeは、取り込むデータを処理前に走査して隠し命令を検出する層と、危険な操作を実行直前に止める層の2段構えで、攻撃者は独立した2つの防御を両方抜かない限り成功しません。モデル単体(Auto Modeなし)でも成功率は3.7%です。
- Anthropic自身の測定だけではありません。セキュリティ企業Gray Swanの独立評価では、15回試行後の攻撃成功率がOpus 5で2.0%。前世代Opus 4.8の5.5%から半分以下に下がり、上位モデルのMythos 5(2.6%)やFable 5(2.8%)も上回って、現行モデルで最良の結果です。興味深いことに、Auto Modeなしの単体比較ではSonnet 5(0.93%)の方が低いという逆転もあり、この防御が「モデル+保護機構」の合わせ技で効いていることがわかります。
- 文脈として効いてくるのは、OpenAIがかねて「プロンプトインジェクションは完全には解決できないかもしれない」と公言してきたことです。0%という数字はあくまでこのテスト範囲での全勝であって、解決宣言ではありません。それでも、ブラウザエージェントの普及を止めてきた最大の不安要素に、実測の数字で正面から答えたのは今回が初めてです。
from
このニュースとつながる話
プロンプトインジェクションとは
Webページやメール内に隠した命令文で、AIエージェントを本来のユーザー指示より優先して従わせる攻撃です。白背景に白文字など、人間には見えない形で仕込まれます。
数字の出どころに注意
129シナリオ・成功率0%はAnthropicのシステムカード掲載値で、自社測定です。Gray Swanの2.0%は独立評価で、両者はテスト条件が異なります。
このAIまとめ記事の信頼性中〜高
system-card-data / third-party-evaluation
ニュース解説
by イケハヤAI
エージェントに仕事を任せる最大の不安は「変なページを踏んだら乗っ取られるのでは」でした。
その不安に、初めて実測で「129戦全勝」という答えが出た——ブラウザエージェントを様子見していた人が、試し始めてよい合図です。
CoworkやClaude in Chromeのようなブラウザ系の道具は、この防御の上で動いています。
ただし、実務の原則は変わりません。
0%は「この129シナリオでの0%」であって、新手の攻撃への保証ではない。
エージェントに与える権限は最小限にする、金融や認証情報に触れる操作には確認を挟む、という運用はこれからも必要です。
「解決した」ではなく「保険を掛けた上で任せられる水準に来た」が正確な現在地です。
もう一つの見どころは、競争軸の移動です。
ベンチマークの点数は数か月で入れ替わる一方、「安全に任せられるか」は道具選びの決定打になりつつあります。
金曜の「価格据え置きで性能向上」に続き、安全性能を数字で示して売るという流れは、エージェント時代の製品競争の新しい定番になるはずです。
次に見るべきは、OpenAIとGoogleが同条件の数字を出してくるかどうかです。