Anthropic は、Claude Opus 5 に搭載した Auto Mode がブラウザベースのプロンプトインジェクション攻撃に対して、129個のテストシナリオすべてで成功率0%を達成したと発表した。これまで AI エージェント運用の最大の懸念であったセキュリティ脅威が、実質的に解決された形だ。

プロンプトインジェクションの脅威と OpenAI の課題認識

プロンプトインジェクション攻撃とは、AI のシステムプロンプトを外部入力で上書きし、本来の目的を逸脱させるセキュリティ脆弱性である。エージェント型 AI がブラウザを操作する際、攻撃者が意図的に悪質なコンテンツを含むウェブページを訪問させると、AI の判断を乗っ取られるリスクがあった。

OpenAI は昨年12月、プロンプトインジェクションの完全な解決が困難であることを公式に認めていた。業界ではこの問題がエージェント AI の展開を阻む最大のボトルネックと認識されており、安全性フレームワークの整備が急務とされていた。

Opus 5 の Auto Mode による二層防御

Anthropic が今回発表した検証結果によれば、Opus 5 の Auto Mode は以下の二層防御構造で攻撃を阻止する。

第1層：入力スキャン — 受信したデータに隠れた悪質な指示がないかを自動検査 第2層：アクション検証 — 危険な操作を実行する前に追加検証を実施

この組み合わせにより、ブラウザエージェントの試験環境で129のテストシナリオすべてにおいてプロンプトインジェクション成功率は0%に達した。

ベンチマーク結果と限定的な課題

より広範なプロンプトインジェクション試験（Gray Swan ベンチマーク）では、Opus 5 単体での成功率は2.0%にとどまり、Opus 4.8 の5.5%から大幅に改善された。Auto Mode 未使用時は3.7%だが、Sonnet 5 は0.93%という結果も報告されている。

つまり Auto Mode の二層防御は、ブラウザエージェントの実運用環境では事実上の完全防止を実現する一方、その他の環境下では一定の確率で突破される可能性が残る。ただし運用実務上は、エージェント型 AI の最大リスク（ブラウザ操作時の乗っ取り）が解決されたことが最も重要である。

AI エージェント実用化への道が開く

この発表は、AI エージェント技術の実運用展開を加速させるターニングポイントになる可能性が高い。これまで金融機関や医療機関などの規制が厳しい業界では、セキュリティ懸念を理由にエージェント導入を見送るケースが多かった。Opus 5 の Auto Mode による実績が示されれば、導入判断の障壁が大きく低くなるだろう。

Anthropic が Auto Mode の検証結果を業界に示したことで、エージェント型 AI に対する信頼度の向上と、企業導入の加速が見込まれる。OpenAI や Google など他社のモデルにおいても、同等のセキュリティ対策が追い求められることになるだろう。