3行でいうと

  • 3社とも、AIの操作の前に「確認」を挟む設計です。ただし、確認の出る場面と、AIが実行できないこと（禁止事項）は、各社でかなり違います。たとえばAnthropicは、購入や金融取引、アカウント作成を、権限にかかわらず禁止と書いています。
  • OpenAIとAnthropicの公式文書は、プロンプトインジェクション（ページに仕込まれた指示でAIが誘導されること）の危険が残ると書いています。Googleのauto browseのページにも、プロンプトインジェクションの説明があり、仕込まれた指示でAIが誘導されうることと、誤操作が起こりうることが書かれています（防御策は完全な保護を保証するものではない、という趣旨の注意書きはあります）。ログイン情報の扱いと、止め方は、使う前に画面で確かめておくべき点です。
  • 任せる前の判断基準は、「どこで動くか」「誰のログイン状態を使うか」「承認の強さ」「止め方」「失敗したときの取り返し」の5つだと僕らは考えます。これは見立てです。

この記事は、実際に使って確かめた記録ではありません。この記事は、各社の公式ヘルプとブログを2026年10月16日に読み、10月22日に読み直してまとめたものです。僕らの考えは「見立てです」と書いた部分に分けました。

先に結論

まず前提：「ブラウザを操作するAI」は2つの置き場所がある

この違いは、あとの判断に効きます。自分のChromeで動くなら、自分のログイン状態が渡る可能性があり、クラウド上の別ブラウザなら、必要なログインだけをそのたびに渡す形になります。

公式を4点で並べる

2026年10月16日に読み、10月22日に読み直した内容です。プランや対象は変わることがあります。

観点 ChatGPT cloud browser（OpenAI） Claude in Chrome（Anthropic） Gemini in Chrome の auto browse（Google）
動く場所 クラウド上の別のブラウザ 自分のChrome（拡張機能） 自分のChrome（デスクトップ）
対象 有料プランのChatGPT Work。FreeとGoは対象外 有料プラン（Pro、Max、Team、Enterprise） 米国の18歳以上、Google AI ProまたはUltra、英語設定
確認の出る場面 戻しにくい操作（予約の確定、支払いなど）の前。サイトごとのアクセスの承認もある 承認モードで変わる。ダウンロード、機微な情報の入力などは常に確認 開始前に計画を表示。送信、データ変更、フォーム送信、予定の登録などの前
ログイン 専用の安全なフォームで本人が入力。モデルには見えず、ChatGPTは保存しない 拡張機能（自分のChromeで動くので、ログイン状態に触れうると僕らは読んでいます）。1Passwordとの連携（macOSでベータ） Googleのパスワードマネージャーなどで、許可したときだけ。Googleは、パスワードをGeminiには共有しないと説明
止め方 詰まったら引き継ぎを求められる。個別の停止ボタンの説明は読んだページにはなかった 専用の停止ボタンの説明は読んだページにはなかった。おかしければ止めるよう案内 Stopアイコン、またはタスクのタブを閉じる

OpenAI：cloud browserと、使えなくなったagent

ヘルプの説明では、cloud browserはChatGPT Workの一部です。

Anthropic：権限のモードと、禁止の線

Claude in Chromeの権限のガイドでは、モードは3つです。

「このサイトでは常に許可」にしても、ダウンロード、機微な情報の入力、権限の付与は、確認が出ます。一方で、権限にかかわらず禁止とされているものには、購入や金融取引、取引の実行、アカウント作成、クレジットカードや身分証のデータの扱い、永久削除（メールやファイルの削除など）、そしてメールやWebページの中にある指示の実行です。安全のガイドには、成人向けサイトと海賊版のサイトはブロック、金融サイトは許可を求める、とあります。

Google：計画を見てからStart、使える回数は決まっている

Googleのヘルプでは、auto browseは、実行前にGeminiが計画を出し、利用者が確かめて「Start Task」を押します。

プロンプトインジェクションは、どこまで公式が認めているか

OpenAIとAnthropicは、ページやメールに仕込まれた指示にAIが従ってしまう危険を、認めています。Googleのauto browseのページにも、プロンプトインジェクションの説明があり、AIが誘導されて意図しない動きをしうると書かれています。

数字の読み方（Anthropicの2つの数字）

Anthropicの研究記事は、Opus 4.5で1%と書いています。一方、Claude in Chromeの安全のガイドには、現在の設定で、既知の攻撃を組み合わせた社内の試験で攻撃の成功率が0.08%を下回る、とあります（同じガイドは、Claude Opus 4.8が以前のモデルより耐性が高いとも書いています）。どちらも会社の社内評価で、条件も違います。第三者が確かめた数字は、僕らは見つけていません。数字が小さいことは、「安全だ」という意味ではなく、公式自身が、リスクは残ると書いています。

任せる前の判断基準（見立てです）

ここからは、公式の説明を並べたうえでの、僕らの見立てです。各社の推奨ではありません。

  1. どこで動くかを確かめる。 自分のChromeで動くものは、自分のログイン状態に触れる可能性があります。作業用のプロファイルを分けると、渡る範囲を絞れます。Anthropicの安全のガイドにも、同じ趣旨の案内があります。
  2. 誰のログイン状態を使うかを決める。 調べものなら、ログインなしで足ります。OpenAIの記事にも、研究目的ならログアウトのモードを使うという助言があります。
  3. 承認は、一番強い設定から始める。 AnthropicのSkip all approvalsのように、確認をなくす設定は、初回には選ばないほうがよいと思います。
  4. 止め方を、先に見つけておく。 Googleには、Stopアイコンとタスクのタブを閉じる方法が書かれています。OpenAIとAnthropicの、読んだページには、停止ボタンなど具体的な停止の操作の説明が見当たりませんでした（おかしいときは止めるよう、書かれてはいます）。使うアカウントの画面で、確かめておく必要があります。
  5. 取り返せない操作は、人が最後に押す。 支払いに当たる操作は、3社とも、確認や禁止の対象にしています。送信、削除、アカウント作成の扱いは、社によって違います。その線を信頼しきらず、最後は自分で確かめます。
  6. 仕事の資料や他人の情報を扱う前に、所属先の決まりを見る。 Anthropicの安全のガイドは、他人の個人情報があるサイト、法律や医療の文書、社内の機微なデータを、避ける対象に挙げています。助言ではありません。

気をつけること

出典

更新履歴