7月25日、Matthias Bastianが「Opus 5 may have solved browser-based prompt injection, the biggest security flaw haunting AI agents」と題した記事を公開した。AnthropicのClaude Opus 5がブラウザエージェントにおけるプロンプトインジェクション攻撃の成功率をゼロに抑えた可能性について詳しく紹介されている。

ブラウザエージェントへの攻撃成功率がゼロに

プロンプトインジェクションとは、Webページの隠しテキストなど操作された入力を通じて、AIモデルに本来の指示を無視させる攻撃手法だ。AIエージェントがブラウザを操作してタスクを自動実行するケースが増えるにつれ、この脅威はエージェントセキュリティ上の最大の課題として認識されてきた。2024年12月にはOpenAIが「プロンプトインジェクションは完全には解決できないかもしれない」と公式に認めており、業界全体が頭を抱えていた問題でもある。

Anthropicが公開したOpus 5のシステムカードによると、ブラウザエージェントを対象とした129のテストシナリオ全てで攻撃成功率がゼロだったという。

また、セキュリティ企業Gray Swanによる汎用プロンプトインジェクションベンチマーク（IPI）では、15回の攻撃試行後の成功率が前世代のOpus 4.8の5.5%から2.0%へと低下した。同ベンチマークではMythos 5が2.6%、Fable 5が2.8%と続いており、Opus 5がトップの結果を示している。なお、Mythos 5・Fable 5はいずれもAnthropicとは異なる競合他社のモデルであり、Gray Swan IPIベンチマーク上での比較対象として掲載されているものだ。

「ゼロ」を実現した仕組み：モデル単体では達成できない

重要なのは、この「成功率ゼロ」がモデル単体の能力によるものではない点だ。この数値はClaude CoworkなどのプロダクトでAuto Modeを有効にした場合のみ成立する。

Auto Modeは2層の防御を組み合わせている。

• 1層目：モデルが処理する前に、受信データの中に隠し命令が含まれていないかをスキャン
• 2層目：危険なアクションが実行される前にブロック

攻撃者はこの2層を独立してそれぞれ突破する必要があり、組み合わせによって実質的な防御が成立する。

Auto Modeを外した状態のOpus 5単体では成功率は**3.7%。興味深いことに、同条件ではSonnet 5が0.93%**とOpus 5より良いスコアを示している。「モデル＋ソフトウェア防御の組み合わせ」だからこそゼロが実現できており、モデルの能力だけでは達成できないことが明確だ。

エンジニアが押さえるべきポイント

この結果が示す構造上の教訓は明快だ。プロンプトインジェクション対策は、より賢いモデルを使うだけでは解決しない。入力フィルタリングと実行前ブロックという多層防御をシステムレベルで組み込む設計が必要だということだ。

Auto Modeが採用する2層構造は、セキュリティ設計の観点で言えば「入力サニタイズ」と「実行時ガード」を分離した古典的な多層防御（Defense in Depth）の応用だ。どちらか一方が突破されても、もう一方が機能するという設計思想であり、エージェントシステムを自社で構築する際にも参考になるアプローチだといえる。ツールの実行権限を最小化する最小権限原則（Principle of Least Privilege）や、外部コンテンツをシステムプロンプトと明確に分離するプロンプト設計と組み合わせることで、さらに堅牢な構成が実現できる。

ただし、Claude Coworkのリリース直後にもプロンプトインジェクションによるファイル窃取の問題が報告された経緯があり、Anthropicがこの問題に継続的に対処してきた背景がある。今回の数値はAnthropicの自社製品上でのテスト結果であり、実環境での汎化性能については引き続き検証が必要だ。

詳細はOpus 5 may have solved browser-based prompt injection, the biggest security flaw haunting AI agentsを参照していただきたい。