Claude Code、外部サイトを操作する内蔵ブラウザの安全設計を読む

Claude Codeのデスクトップアプリに、外部サイトを開いて操作できるタブ型ブラウザが載った。公式ドキュメントによれば、Claudeは外部ページでもクリックや入力などの操作ができるが、書き込み系の操作には安全分類器と許可リストの二重チェックがかかる。

AIの鬼の視点で面白いのは、この設計の非対称性だ。ページを読むだけなら止められないが、フォーム送信やボタン押下のような副作用のある操作は、パーミッションモードに関係なく常に監視される。さらにBypass permissionsにしても外部サイト上の操作だけは別扱いになる。権限を全開にしても、外の世界に手を出す瞬間だけは人間に確認を求める。エージェントに何でも任せたくなる誘惑に対して、「読むのは自由、外に影響を与えるのは止める」という線引きは、業界的にも筋の通った割り切りだと見ている。もう一つの要点は、ペインがまっさらなプロファイルで動き、自分の保存済みログインを持ち込まないことだ。なりすましは別の道具（Chrome拡張）に分けてある。「誰として動くのか」を分けておく設計は、エージェント運用では地味に効いてくる。

中小企業の実務に置き換えると、AIに社外のWebサービスを触らせるときは「読ませるのは良いが、送信や購入は人が最後に押す」という運用ルールを先に決めておくといい。特に取引先の管理画面や受注システムをエージェントに触らせる場合、書き込みを伴う操作に確認を挟む仕組みがあるかどうかを、導入前に必ず確かめたい。