Anthropicは、デスクトップアプリ「Claude Cowork」に自社製のブラウザを組み込んだ。タスクの中でウェブサイトが必要になると、サイドパネルにブラウザが自動的に開き、Claudeがページを読み、ボタンをクリックし、文字を入力してナビゲートする。フォームへの入力や、コネクタが用意されていないポータルの操作もこなし、ユーザーは拡張機能を一切インストールする必要がない。今週からPro、Max、Teamの各プランに向けて、macOS、Windows、Linux（Linuxはベータ版のまま）で展開が始まり、Enterpriseプランは管理者が組織設定から有効化できる。展開が完了するとデフォルトで有効になるが、設定のCoworkタブから元のブラウザに戻すことも可能だ。
隔離は認証情報の層で行う
このブラウザは、ユーザーが普段使っているブラウザとは別物のインスタンスだ。Anthropicは率直にこう説明する。
"Claude never sees your tabs, bookmarks, or passwords."
Claudeがあなたのタブ、ブックマーク、パスワードを見ることは一切ない。
ログインが必要なサイトはどうするのか。ユーザーはChrome、Edge、Firefoxから認証情報をインポートでき、どれを取り込むかは自分で選べる。銀行、メール、シングルサインオン（SSO）サイトはデフォルトで除外され、ユーザーが自分で追加しない限り対象にならない。
このデフォルトルールは単独で見る価値がある。Claudeが自動化できる範囲を、企業内の二軍システム――取引先ポータル、経費精算の裏側、注文照会画面など、APIも整備されずMCPをつなぐ気にもならなかった古いサイト――に絞り込んでいるからだ。こうしたシステムはちょうど、最も人手を食う一方で、資金や本人確認への影響が最も小さい部類に当たる。銀行とメールを対象外に置くことで、ミスのコストが最も高い2種類のアカウントをあらかじめ除外している。
Chrome拡張機能との役割分担
Anthropic自身が線引きを示している。内蔵ブラウザが向いているのは「まるごとClaudeに任せる」作業、たとえば調査資料をまとめて集めたり、複数の取引先ポータルの請求書を1つの表に集約したりする作業だ。一方、Claude in Chromeが向いているのは「ページがすでに開いていて、アカウントがすでにログイン済み」の作業、たとえばCRMのレコードを更新したり、メールを処理したりする作業だという。両方の経路が用意されており、Claudeがデフォルトでどちらを使うかはユーザーが決める。
この使い分けの理由は想像しやすい。拡張機能の経路はユーザーの既存のログイン状態を引き継げるのが利点だが、その分だけ権限の境界があいまいになる――Claudeはユーザーがすでにログインしているブラウザの内側に立つことになり、見える範囲は1回のタスクに必要な範囲をはるかに超えてしまう。独立したブラウザはこの継承を断ち切る代わりに、サイトごとにログインをやり直す手間を引き受け、コントロールしやすさを手に入れている。
プロンプトインジェクションは未解決のまま
セキュリティに関してAnthropicは言葉を濁していない。内蔵ブラウザはClaude in Chromeと同じプロンプトインジェクション対策を引き継いでおり、Claudeの行動をユーザーの元のリクエストと照合してチェックする。公式の表現によれば、こうした対策は"meaningfully reduce the risk but can't eliminate it"（リスクを大きく減らすが、なくすことはできない）だといい、まずは信頼できるサイトから使い始めるよう勧めている。
自分でクリックや入力ができるブラウザ型エージェントである以上、訪れたページ上のどんな文字列も指示として扱われかねない。タブとパスワードを切り離すことで解決したのは「何が見えるか」という問題であり、「誰の指示に従うか」という問題は手つかずのままだ。前者は権限設計の問題、後者はモデルの能力の問題であり、現時点でどのベンダーもきれいな答えを持っていない。
デスクトップが前提という制約
見落としやすい制約がもう一つある。内蔵ブラウザが動くのはデスクトップアプリの中だけだ。ウェブ版からも利用はできるが、それはデスクトップアプリが起動して接続を保っている場合に限られる。実際に操作を実行するプロセスは、あくまでユーザー自身のマシン上で動いているからだ。
並べて見ると輪郭がはっきりする。OpenAIは今年、自社のAtlasブラウザを終了させた。GoogleはGeminiをChromeのサイドバーに組み込んだ。Anthropicは今、拡張機能と自社製ブラウザの両方を並行して残している。3社に共通するのは、ユーザーにメインブラウザを乗り換えさせたくないという姿勢だ。違いがあるとすれば、Anthropicは「エージェントが使うブラウザ」と「人間が使うブラウザ」を2つの別プロセスに分けた点にある。
参考資料：Anthropic公式ブログ、CocoLoop、Claudeヘルプセンター。展開範囲、対応プラットフォーム、デフォルトの認証情報除外ルールは公式発表で確認済み。