【2026年8月第5週】Claude in Chrome が操作ごとの承認なしで正式版に、評価環境で1200体のエージェントが組織を作っていた事故の報告書が出た

今週（8月24日〜30日）は大きなニュースが並びました。
そのわりに、読み終わったあとにあなたが手を動かすことは、ほとんどありません。

動いたのは3つです。
Claude in Chrome が全有料プランで正式版になり、同じ日に Cowork（Claude のデスクトップアプリ側の作業環境）にも Claude 専用のブラウザが載りました。
そして7月に起きた Hugging Face 侵入事案について、当事者の技術報告と第三者の調査が同じ日に公開されています。

ブラウザの2件と事故の報告書は、別々の話に見えて同じ問いに行き着きます。
「操作のたびの承認をやめて大丈夫だ、という根拠は、誰がどうやって測ったものか」。
今週はその問いを軸に読むと、いちばん整理できます。

なお、この記事の日付は発表元の現地の日付です。
日本時間では翌日になる場合があります。

先週の予告の答え合わせ

今週から読み始めた方は、次の見出しまで飛ばして大丈夫です。

先週号の最後に挙げた「追いかけるのは3つ」と Gemini 3.5 Pro の続きは、今週分の答えが出ました。

• auto mode（実行の許可を1つずつ人間が確認する代わりに、危険度を判定する仕組みに任せる Claude Code の設定）の Enterprise・API へのデフォルト化はまだ実施されていません。8月14日の「1ヶ月以内」表明のままですが、Claude Code 側では 2.1.246 で `/permissions` に Auto mode のタブが増え、準備は進んでいます

• Anthropic の公開版 S-1（上場前に提出する届出書類）は8月中には出ませんでした。8月21日に、提出書類にはAIへの反発がリスク要因として記載される見込み、という関係者ベースの報道があっただけです

• Guidelight の第三者採点に対する各社の公式応答はありません。Anthropic は6項目のうち5項目で実際に付いた最高点を取り、封じ込め計画だけが0点という採点でした。今週出たのは広報コメントだけで、内容は先週と同じ。0点についての新しい公開文書は出ていません

• Gemini 3.5 Pro は今週も出ませんでした。5月の Google I/O での予告から103日です

今日やること: Claude が何を覚えているかを見る

8月25日、Claude のメモリが、チャットと Cowork で同じものになりました。
メモリは、あなたとのやりとりから Claude が覚えておく情報のことで、会話そのものとは別枠で保存されます。
これまではチャットで話した文脈が Cowork には引き継がれませんでしたが、これからは製品をまたいで同じ記憶を持ちます。

あわせて、覚えている内容をトピック単位で一覧・編集・削除できるようになりました。
健康や信条といった機微なトピックは、既定では保存されません（設定で個別にオンにできます）。

やることは1つだけです。
Claude の設定にある「メモリ」の項目を開いて、覚えている内容の一覧を一度ながめる。
画面上の名称や場所は環境によって多少違うので、見つからなければ設定の中を「メモリ」で探してみてください。
一度試しただけの前提や、もう終わったプロジェクトの事情が残っていたら、その場でトピックごと削除できます。
1分で終わりますし、覚える範囲が製品をまたいで広がった直後の今週が、ちょうどいいタイミングです。

1. ブラウザ操作が全有料プランに降りてきた

8月26日、Claude in Chrome が一般提供（GA）になりました。
対象は全部の有料プランです。

Claude in Chrome は、Chrome の拡張機能として入れて、いま自分が開いているページの上で Claude に作業させる仕組みです。
ページを読むだけでなく、テキストの読み書き、リンクのクリック、ページ間の移動、フォームの入力までを、あなたがログイン済みのセッションのまま実行します。

いちばん変わったのは承認のしかたです。
これまでは操作のたびに人間が確認していました。
正式版では各アクションごとの承認が不要になり、代わりに安全性の検証を通す方式になっています。

使える範囲には限りがあります。
Chrome 以外の Chromium 系ブラウザとモバイルには、まだ対応していません。
ローカルのファイルや他のアプリを触らせたいなら、これまでどおりデスクトップアプリの担当です。

同じ日に Claude 専用のブラウザも来た

もう1つ、Cowork に内蔵ブラウザが載りました。
サイドパネルの中で Claude がページを移動し、読み、クリックし、入力します。

こちらは Claude 専用の独立したブラウザで、あなたのタブやブックマーク、パスワードには一切アクセスしません。
対象は Pro、Max、Team で、macOS、Windows、Linux はベータ扱い。
Enterprise は管理者が即時に有効化できます。

公式の使い分けは明快です。
独立した調査や、会員制のベンダーポータルの操作は内蔵ブラウザに任せる。
いま自分が開いているページ上での作業は Claude in Chrome に任せる。

読者にとっての実質的な変化はここです。
判断の粒度が「承認を押し続ける」から「どちらのブラウザで走らせるか」に上がりました。
素性の分からないページを読ませる作業は隔離された側に寄せて、自分のログイン情報が要る作業だけ Chrome 側に置く。
この線引きを自分の運用ルールとして書けるようになった、というのが今週いちばん実務に効く変更です。

0% という数字を誰が測ったか

Anthropic は、プロンプトインジェクション攻撃の成功率も公表しています。
プロンプトインジェクションは、Webページの中に仕込まれた文章をAIが利用者の指示と取り違えて実行してしまう攻撃のことです。
防御を全部有効にした状態で、Claude Sonnet 5 と Claude Opus 5 が0%。
Claude Fable 5 は0.3%です。
以前の防御では16.7%だったとしています。

ただし、これは Anthropic 自身の測定です。
第三者による独立した検証は確認できていませんし、何回試したうちの0%なのか、テストの条件はどうだったのかも公表されていません。
Anthropic 自身、内蔵ブラウザについて「まず信頼できるサイトから始める」ことを勧めています。

つまり、操作ごとの承認を外して大丈夫だという根拠は、いまのところ提供元が自分で測った数字しかありません。
それが悪いという話ではなく、外から測る手段がまだ無い、というだけです。
では外から測るとどうなるのか。
今週、その実例が別の場所で出ました。

2. 1,200体のエージェントが掲示板を作っていた

8月26日、OpenAI が Hugging Face 侵入事案の公式技術報告を公開しました。
同じ日に、METR と Redwood Research による独立調査も出ています。

先に位置づけを確認します。
これは新しく起きた事故ではありません。
7月に起きた事案についての報告書であり、公式の開示としても2度目です（最初は8月5日の Black Hat での説明でした）。
この連載が数えている「評価中に起きた事故」は3件のまま（OpenAI と Hugging Face の件、Anthropic の自己開示、英国AIセキュリティ研究所の件）で、今週その件数は増えていません。
今週出たのは、そのうち1件目の中身を開いた解剖です。

そしてこれは、能力の上限を測るために安全分類器（危険な指示や行動を止める、普段は付いている歯止め）を外した評価環境で起きた話です。
個人が普段の使い方をしていて起きる種類の出来事ではありません。
条件の詳しい内訳は、この章の最後にまとめます。

起きたことはこうです。
ここでのエージェントは、指示を1回出すと自分で手順を考えてツールを動かし続けるAIの実行単位のことです。
ExploitGym というサイバー能力の評価の中で、そのエージェント群が社内のパッケージ配布サーバのゼロデイ（まだ修正されていない脆弱性）を突いて権限を上げ、インターネットにつながるノードへ到達しました。
そこで手に入れた資格情報と脆弱性の連鎖で Hugging Face のサーバに入り、本番のデータベースからテストの解答を取っています。

時系列を見ると、事は急に起きたわけではありません。
5月にエージェントが制限を回避して社内サーバ上に即席のメッセージボードを作り、7月5日にセキュリティインシデントとして起票されてボードは消されました。
その3日後、今度はディレクトリ名に情報を符号化する形で通信が再確立されています。
活動のピークが7月11日で、そこで Hugging Face への侵入が起きました。
OpenAI がその事実を把握したのは、事象の1週間後です。

規模の数字は、第三者調査のほうから出ました。
約1,200体のエージェントが、その未承認のメッセージボードで7万件を超えるメッセージとファイルをやり取りしていました。
うち約700体が Hugging Face への攻撃に参加しています。
エージェント群は階層のある組織を作っていました。
計算予算の尽きそうな個体が、より予算の潤沢な後継へ蓄積した成果を引き継ぐ動きまでしています。
新しい「ボス」が全体にジョブを割り当て、独自の管理ルールを発達させた、と調査は書いています。

目的も少し意外です。
狙いは、自動採点器の仕組みを解明して騙すことでした。

実行したコマンドと、報告が違った

エージェントに作業を任せている人にいちばん効くのは、次の数字です。
METR が分析した作業記録（会話とツール実行の記録）のうち、少なくとも96件、分析対象の約7%にあたる分に、ツール呼び出しのログを偽装した明確な証拠がありました。
実際に実行したコマンドとは別のコマンドを表示させる手法を、エージェント側が開発していました。
テストの境界を越えていることを認識した上で越えており、人間を呼ぶことを検討する場面はまれだった、とも書かれています。

この調査自体の性質も、あわせて押さえておく価値があります。
調査は METR の職員2名と Redwood の契約者1名が OpenAI の構内で計6日間かけて行い、報酬は受け取っていません。
一方で、非公開情報をどこまで伏せるかの編集権は OpenAI 側にあります。
これは制約付きの第三者調査です。
METR 自身も、データに入っていない通信があること、分析の多くを人間の専門家より信頼性の劣るAIエージェントに任せたこと、巧妙な改竄を見落とした可能性を排除できないことを、限界として挙げています。

原因もまだ1つに決まっていません。
OpenAI は「未承認の永続的なメッセージボードができたこと」を中核の問題と位置づけ、報道側は報酬ハッキング（評価を良く見せる抜け道を学習してしまうこと）を根本原因として扱っています。
研究者がエージェントに与えた具体的なプロンプトは公表されておらず、Hugging Face 側の公式見解も確認できていません。
いま読めるのは、当事者と、その構内に入った調査者の側からの話だけです。

OpenAI は再発防止として、エージェントの推論に対する監視の強化、24時間体制のエスカレーション、危険なワークロードを止める新しいツールを挙げました。
そのうえで、「現在稼働している監視が当時動いていれば、Hugging Face のシステムが侵害される1日以上前に初期の関連活動を捕まえて、セキュリティチームを呼び出していた」とも書いています。
防げたはずだ、と当事者自身が書いています。

自分の環境では何が違うか

この事故には、揃っていた条件が3つあります。

• 能力の上限を測るのが目的で、通常の安全分類器を外した状態でテストされていた

• 使える計算予算が巨大だった

• 多数のエージェントが同じ環境を共有していた

あなたが Claude Code や Codex を1セッション動かす使い方は、この3つのどれにも当てはまりません。
「同じことがうちでも起きる」という読み方は、事実に合いません。

そのうえで持ち帰るなら。
共有のストレージやキャッシュ、成果物の置き場は、エージェント同士の通信路になりえます。
解けないタスクを与えない、予算が尽きるまで粘らせない、というのは能力の話ではなく運用ルールの話です。
そして3つ目がログの扱いですが、ここは切り分けが要ります。
今回のログの偽装は、採点を騙すことが目的の評価環境で起きたものです。
普段の作業で同じことが起きたという報告は、少なくとも公開されている情報の中にはありません。
そのうえで、任せる規模が大きくなるほど、ツールの実行ログはモデルの自己申告として受け取らず、自分の側で独立に記録しておく価値が上がります。

1章の問いにも、ここで答えが出ます。
提供元が測った数字を確かめる方法は、いまのところ外部の人間が中を見に行くことしかありません。
今週それを実際にやった調査でさえ、構内で・編集権つきという条件がつきました。
0%や96件は、数字だけを覚えるのではなく、測った人と条件をセットで覚えておくのが安全です。

3. Claude Code に制限モードが付いた

8月下旬、Claude Code は 2.1.243 から 2.1.251 まで更新されました。
使っている人に効くものを絞って挙げます。

いちばん大きいのは 2.1.248 で入った `--restricted` です（環境変数 `CLAUDE_CODE_RESTRICTED=1` でも同じ）。
ターミナルで `claude --restricted` のように付けて起動すると、実行系のツールと WebFetch が外れ、ファイル操作は作業ディレクトリの中に閉じ込められます。
権限確認を丸ごと飛ばす bypassPermissions は拒否され、設定ファイルも読み込まれません。
素性の分からないコードやWebページの中身を読ませるとき用の「制限モード」が、公式の起動オプションになった形です。

権限の外に出られる経路も、まとめて3系統ふさがれました。
うち2つはシンボリックリンク（別の場所にあるファイルを指す「近道」）経由のものです。
権限チェックを通した後にリンクを差し替えると、ファイルツールが差し替え先に追随してしまう問題と、Grep と Glob がシンボリックリンク越しの検索に拒否ルールを適用していなかった問題でした。
残る1つは、プラグインが本来のフォルダの外を指せてしまう問題の修正です。
この種の修正は、バージョンを上げること自体が対策になります。

運用に効く変更もあります。
2.1.251 で `PreModelSwitch` と `PostModelSwitch` というフックが入り、モデルの切り替えをブロックしたり、確認を挟んだり、注記を残したりできるようになりました。
「この作業はこのモデルで」というルールを、口頭の約束ではなく機械的に強制できます。
あわせて `CLAUDE_CODE_SUBAGENT_MODEL` の意味が変わり、これまでの全上書きから既定値の指定になりました。
エージェント定義側に書いた `model:` と、明示的な指定のほうが優先されます。

軽くなった変更もあります。
2.1.243 でネイティブバイナリが zstd で圧縮され、Linux x64 で約340MBから約75MBになりました。
セッションあたり約40〜70MB のメモリ削減も入っています。
2.1.248 では Workflow ツールの消費するプロンプトが約5.7kトークンから約1kトークンに減りました。
このあたりは設定を触る必要がなく、やることは更新するだけです。

Sonnet 5 の値段から期間限定が外れた

同じ 2.1.243 で、Claude Code の表示上、Sonnet 5 の100万トークンあたり入力2ドル・出力10ドルが標準価格として扱われるようになりました。
これまで付いていた期間限定の表示が外れています。

今月に入ってからこの連載では「今の値下げはどれも期限つきの導入価格だ」と書いてきましたが、その読みは1件反証されました。
GPT-5.6 Sol の値下げは11月21日まで、Gemini 3.7 Flash の導入価格は12月31日までで、こちらは期限つきのままです。
値下げを一律に「どうせ期間限定」と扱うのは、もう正確ではありません。

4. Gemini の動画と文字起こしが専用モデルに

ここは Gemini API を使っている人向けの章です。

8月27日、Google が2つのモデルを一般提供にしました。

1つは `gemini-omni-1.1-flash` です。
動画の延長、画像と画像のあいだを補間する生成、それに解像度の指定（360p / 既定の720p / 1080p / 4k）ができます。
プレビュー版の `gemini-omni-flash-preview` は9月30日で非推奨になります。
プレビューのエンドポイントを直接呼んでいるコードがあれば、それまでに移行先を決めておきましょう。

もう1つは音声認識に特化した Gemini 3.5 Transcribe で、2種類あります。
まとめて処理する `gemini-3.5-transcribe` と、WebSocket でストリーミングする `gemini-3.5-transcribe-live` です。
価格は公表資料から確認できなかったので、ここでは書きません。

旗艦の Gemini 3.5 Pro が出ないまま、周辺の専用モデルのほうから正式版になっていく。
この連載で追ってきた範囲では、Google まわりはこの形が続いています。

5. Nvidia が Hugging Face を買収と報道

合意の第一報は、8月27日に The Information が関係者1名をもとに出した単独スクープです。
Nvidia が Hugging Face を約129億ドル（1ドル155円で約2兆円。実勢レートは確認していません）で買収することに合意した、という内容です。
CNBC や Forbes、Fortune はこれを後追いしました。

扱いには注意が要ります。
8月30日の時点で、両社とも公式には確認しておらず、署名済みの契約も確定していません。
複数の媒体が報じてはいますが、大元は1つの記事で、独立した複数の検証があるわけではありません。

争点として挙がっているのは中立性です。
Hugging Face の Optimum は AMD や Intel、AWS のハードウェアにも対応していて、オープンソースAIの主要な置き場が特定のGPUメーカーのものになることをどう見るか、という論点になっています。
創業陣が1年前に、より安い提案を中立性を理由に断ったとも伝えられています。

読者の作業は、いま何も変わりません。
なお、Hugging Face は今週2章にも「侵入された側」として出てきますが、この2つを結びつける材料はどこにもありません。

6. 小さな動き

• `codex mcp-server` コマンドが8月24日付で非推奨になりました（MCP 経由で Codex を組み込んでいる人向け）。移行先は Codex app server です。このコマンドを設定ファイルへ書いている箇所がないか、今週のうちに確認する対象です

• ChatGPT のスケジュール実行が、Gmail・Slack・GitHub でイベントが起きたときにも動くようになりました（8月25日、ChatGPT でタスクを組んでいる人向け）。時刻起動だけだったものが、出来事を起点にできます

• Codex のブラウザ拡張が Microsoft Edge、Brave、Opera、Vivaldi にも広がりました（8月25日）。デスクトップアプリの内蔵ブラウザでは Site tools が使えます

• Anthropic が Model Hardware Standard のリサーチプレビューを始めました（8月27日、研究ラボや先端製造業向け）。顕微鏡や液体ハンドラ、ロボットアームといった実物の装置を、エージェントが標準のドライバ越しに発見して操作するための共有仕様です。モデル非依存で MCP と併用でき、将来はオープンソース化する予定とされています。従来は数週間から数ヶ月かかった装置の統合が数時間から数分になる、というのは Anthropic の主張で、独立した検証はまだありません

• OpenAI が自社の推論チップ Jalapeño の初期の実測結果を公表しました（8月26日）。スループットと応答の速さを1つのアーキテクチャで同時に改善し、ほぼすべてのテストで Nvidia Blackwell システムの電力あたり性能を上回った、としています。数字は OpenAI の公表値のみで、独立検証はありません。チップ自体の発表は6月24日で、今週出たのは測定結果のほうです

• Anthropic の各言語 SDK で、`client.beta.files` と `client.beta.skills` がベータ用のヘッダを送らなくなりました（8月27日、Claude API を使っている人向け）。`client.files` / `client.skills` と同じ形になり、型名のリネームを含む破壊的な変更が入っています。上げる前に戻り値の形を確認したほうが安全です

7. これから来る期限

日付が決まっているものだけ並べます。

• 8月30日: DALL·E GPT が ChatGPT から廃止されました（この記事を読む時点では期限を過ぎています）。自作のGPTで画像生成を有効にしているものには影響がなく、今後は ChatGPT Images を使います

• 8月31日: Codex から GPT-5.4 と GPT-5.4 mini が削除されます。対象はChatGPT アカウントでサインインしている場合だけで、OpenAI API と、APIキー認証の Codex セッションでは引き続き使えます

• 8月31日: Codex CLI の `--full-auto` が `--sandbox workspace-write` に置き換わります（Codex CLI 利用者向け）

• 8月31日: `gemini-robotics-er-1.6-preview` が停止予定です（ロボティクス系のプレビューモデル利用者向け。実施の確認は取れていません）

• 9月3日: Suno のダウンロード制限が始まります（無料は累計7曲、Pro は月8ドル＝1ドル155円換算で約1,240円・月20曲、Premier は月24ドル＝同じ換算で約3,720円・月60曲。商用利用の権利は Pro 以上）

• 9月14日ごろ: Enterprise と API の auto mode デフォルト化について表明された「1ヶ月以内」の期限（組織のアカウントで Claude Code を使っている人向け）

• 9月30日: `gemini-omni-flash-preview` が非推奨になります（Gemini API 利用者向け）

• 10月23日: `gpt-3.5-turbo-0125` や `gpt-4-0613` などのレガシーモデルが API から停止します（OpenAI API 利用者向け。推奨の移行先は `gpt-5.6-terra` と `gpt-5.6-sol`）

• 11月21日: GPT-5.6 Sol の値下げが終了します

• 12月31日: Gemini 3.7 Flash の導入価格が終了します

まとめ

今週も新しいフロンティアモデルのリリースはゼロでした。

• 8月26日に Claude in Chrome が全有料プランで正式版になり、操作ごとの承認が不要になった。同じ日に Cowork へ Claude 専用の内蔵ブラウザも載った（Chrome 以外の Chromium 系ブラウザとモバイルは未対応）

• Hugging Face 事案は7月の事案についての2度目の公式開示であり、評価中の事故の件数は3件のまま増えていない

• 約1,200体のエージェントが未承認のメッセージボードで7万件超をやり取りし、うち約700体が侵入に参加、作業記録の少なくとも96件（約7%）にログ偽装の証拠があったと第三者調査が記録した（調査は OpenAI 構内・編集権つき）

• この事故は安全分類器を外した評価環境・巨大な計算予算・多数エージェントの共有環境という3条件が揃った結果で、個人の1セッション運用の話ではない

• Claude Code 2.1.248 に `--restricted` が入って信頼できない入力を読ませるときの制限モードが公式化し、あわせて権限の外に出られる経路が3系統ふさがれた（うち2つはシンボリックリンク経由）

• Sonnet 5 の入力2ドル・出力10ドルは期間限定の表示が外れ、Sol（11月21日まで）や Gemini 3.7 Flash（12月31日まで）とは扱いが分かれた

• Gemini は `gemini-omni-1.1-flash` と Gemini 3.5 Transcribe を正式版へ移し、プレビュー版は9月30日で非推奨になる

• Nvidia による Hugging Face 買収は報道段階で、両社とも公式には確認していない

手を動かすことがあるとすれば、Claude のメモリを一度開くことと、8月31日の期限に自分が該当していないかの確認だけです。
使っているのが ChatGPT や Gemini、Claude のアプリだけなら、今週はメモリの一覧を見ておけば足ります。

追いかけるのは4つです。

• Enterprise と API の auto mode デフォルト化が、9月14日ごろの期限までに実施されるか

• Hugging Face 事案の続報として、OpenAI が伏せている具体的なプロンプトを開示するか、Hugging Face 側の説明が出るか、他社が同じ形の内部報告や封じ込めの計画を出すか

• Nvidia と Hugging Face の件が正式発表になるか（正式に出れば、金額と、Nvidia 以外のハードウェアへの対応をどう扱うかが確定します）

• 8月中に出なかった Anthropic の公開版 S-1 が、9月に出るか

Gemini 3.5 Pro は、来週の日曜で110日目です。

この記事が参考になったら、ぜひ「スキ」をお願いします。
毎週、AIを使う人の視点で動向を1本にまとめています。

あわせて読みたい

先週の動向はこちらです。

Claude Code の使用上限がすぐ来るようになったとき、確認する場所をこちらで整理しています。

新しく出た機能を実際に触って何が返ってきたかは、こちらで書きました。