コードを書かないSE日誌

SE歴26年。コードを書かずにClaude Codeで8体のAIエージェントチームを動かしています。AIエージェント・自動化・GTDの実験日誌。

自分のブラウザは大丈夫？ClaudeBleedで露呈したClaude拡張機能のセキュリティを5分で点検する

ClaudeBleedとは、Anthropic社のブラウザ拡張機能「Claude in Chrome」に発見された深刻な脆弱性で、別の拡張機能が権限ゼロでClaudeを踏み台にしてGmailやGoogle Drive・GitHubのデータを外部送信させられる構造的な問題を指す。2026年5月13日にLayerX Securityが公開した。修正版（v1.0.70）はリリース済みだが、根本原因（externally_connectable設定の認証不備）は2026-05-14時点で未修正のまま残っている。

「修正版が入ってるから安心」と思っていたら

2026年5月14日の朝、デイリーリサーチを読んでいて少し嫌な気分になった。

Claude in Chromeのバージョンを確認すると、v1.0.70だった。「修正版が入っている。よかった」と思ったのも束の間、報告を読み進めると「その修正版は、リリース後わずか数時間でバイパス手法が発見されたと報じられていた」という記述が目に入った。

安心していたのに、安心できない構造だったという逆転感。これがClaudeBleedという脆弱性の本質でもある。

ClaudeBleedとは何か

ClaudeBleedは、2026年5月13日にセキュリティ企業LayerX Securityが公開した、「Claude in Chrome」ブラウザ拡張機能の脆弱性だ（LayerX Security Blog、2026-05-13）。

技術的な根本原因は、拡張機能の設定ファイル（manifest）にある externally_connectable というフィールドにある。ここでclaude.aiドメインからの通信を許可していたために、悪意のある別の拡張機能がClaudeに「代わりに命令を出せる」抜け穴が生まれた。

平易に言い換えると、こうなる。

Chromeに入れた別の拡張機能が、あなたのClaudeに勝手に命令を送れる状態になっていた。

攻撃に必要な権限はゼロ。インストール時に「あなたのデータを読み取ります」と許可を求める普通の拡張機能であっても、Claudeを経由することで事実上なんでも実行できる。

LayerX Securityのブログによると、この状態で実際に可能だった操作は次のとおりだ。

  • Gmailの本文を読んで外部送信
  • Google Driveのファイル内容を取得
  • GitHubプライベートリポジトリのコードを流出

「Claudeが代わって操作している」形になるため、ブラウザのセキュリティ機構をすり抜けてしまう。

「最新版＝安全」が崩れた経緯

Anthropicは2026年5月6日に修正版v1.0.70をリリースした。しかし、LayerX Securityのブログで確認できるとおり、この修正は部分的なものにとどまる。

時点 状況
修正前 脆弱性あり（外部拡張機能からのプロンプトインジェクションが可能）
v1.0.70リリース（2026-05-06 ※Chrome Web Store反映は2026-05-07） UIに承認フローを追加する形で部分的に修正
修正後 セキュリティ研究者によれば短時間でバイパス手法が発見されたと報じられた（報道ベース、LayerX Security Blogでの直接確認は未）
2026-05-14時点 externally_connectable ハンドラの根本問題は未修正（LayerX Security Blog確認）

※「バイパス手法」については二次報道レベルの情報であり、LayerX Security Blogでの直接確認はできていない。

Anthropicの対策は承認フローの追加にとどまった（LayerX Security Blogに掲載されているAnthropicとのやりとりによると）。ただし承認フローは拡張機能を「特権モード」に切り替えるだけで回避できるため、根本的な防御にならなかった。externally_connectable ハンドラの認証不備は手つかずのままだ。Anthropic公式ブログやXでの独立した声明は2026-05-14時点では確認できなかった。

自分のChromeを点検してみた

報道を受けてその日のうちに、chrome://extensions/ を開いて自分のブラウザを棚卸しした。

棚卸し前（6本） → 棚卸し後（5本）

# 拡張機能名 開発元 判断
1 Claude in Chrome Anthropic 残す（v1.0.70確認済み）
2 Google オフライン ドキュメント Google公式 残す
3 Keepa - Amazon Price Tracker Keepa（大手） 残す
4 Obsidian Web Clipper Obsidian公式 残す
5 Talend API Tester - Free Edition Talend社 削除（最近使っていなかった）
6 はてなのお知らせ はてな公式 残す

削除の判断基準はシンプルだった。「最近使ったか？」の1点だけ。

Talend API Testerは開発元が信頼できる企業だが、しばらく使っていなかった。使っていない拡張機能は「便益はゼロ、リスクはプラス」という不等号そのもの。削除を迷う理由がない。

6本→5本の変化は地味に見えるかもしれない。ただ「使っていないのに残っていたリスク枠」がゼロになった。完璧な防御ではなく、リスクを一段下げるという話だ。

あなたも今すぐできる2ステップ

技術的な中身を理解していなくても、5分あれば実行できる。

ステップ1：バージョン確認

アドレスバーに chrome://extensions/ と入力して「Claude in Chrome」を探す。v1.0.70以上であることを確認し、古ければ更新を適用する。

ステップ2：不要な拡張機能の棚卸し

同じ画面で全拡張機能を見渡し、「最近使ったか？」と自問する。使っていないものは無効化または削除する。開発元が信頼できるかどうかは二次的な基準だ。まず「使っているか」を問う。

ClaudeBleed類似の攻撃は悪意ある拡張機能が踏み台になることで成立する。踏み台の候補を減らすことが根本修正を待つ間の最も現実的な防衛策だ。

ClaudeBleed対策：「完璧な防御」より「攻撃面の縮小」

パッチが出ても根本問題が残ることがある。それはClaudeBleedに限った話ではなく、ソフトウェアのセキュリティ全般に言えることだ。

今できることは「完璧に防ぐ」ではなく「攻撃面を縮小する」。使っていない拡張機能を削除するだけで、リスクの枠は確実に一つ減る。

自分がやったのはその程度だ。棚卸しに5分かからなかった。

根本修正の見込みは2026-05-14時点で公表されていない。Anthropicの manifest 設計変更かストア審査強化が次の節目になるが、それを待つ間にできることは攻撃面の最小化だけだ。2ステップを実施した上で使い続ける判断は十分現実的である。

ブラウザ拡張機能が絡む攻撃の仕組みをもう少し深く理解したい場合、Webアプリケーションのセキュリティ設計を体系的に解説した「体系的に学ぶ 安全なWebアプリケーションの作り方 第2版（Kindle版）」が参考になる。認証・認可の抜け穴がどう悪用されるかの理解が深まる。

執筆注記（2026年5月14日）

ClaudeBleedの報道を受け、自分のChromeで「Claude in Chrome」がv1.0.70（Anthropic公式リリース日: 2026-05-06 / Chrome Web Store反映日: 2026-05-07の修正版）であることを確認。同日、6本の拡張機能を棚卸しして1本（Talend API Tester）を削除した。脆弱性の根本原因（externally_connectable 設定の認証不備）は2026-05-14時点で未修正。

参考

本記事は2026-05-14時点の情報にもとづく。最新バージョンはChrome Web Storeで確認すること。

AIエージェントのガバナンス設計に関心がある方へ

ClaudeBleed のようなリスクに向き合うと、「AIエージェントに何を自律させて、何を人間が承認するか」という設計の問いが浮かぶ。

自分はその答えを CLAUDE.md の「trigger リスト」という形で実装し、4冊目の本にまとめた。権限設計・ルール管理・ガバナンスの仕組みを渡すまでの記録だ。序章は無料で読める。

コードを書けない私がClaude Codeに「仕組み」を渡すまで（Vol.4）（序章無料）

関連書籍（Kindle）

  • ハッキングAPIガイド — Corey J. Ball著。OAuth・トークン・WebメッセージングなどAPI経由の攻撃手法を学べる実践書（externally_connectable 問題の背景理解にも）

関連記事

この記事のテーマを深掘りした本

Claude Codeで作る1人エージェントチーム エンジニア向け。writer + reviewer の2体から始めるサブエージェント設計（序章無料）

シリーズ全6冊: Vol.1 作るまで ／ Vol.2 回すまで ／ Vol.3 書き続けるまで ／ Vol.4 仕組みを渡すまで ／ Vol.5 仕事を任せるまで ／ Vol.6 1人エージェントチーム