2026年のAIブラウザ:エージェントにできること、つまずくところ

2026年のAIブラウザは、1つの仕事が得意で、もう1つの仕事に期待が持てる段階です。開いているタブをまたいで読む・要約する・比較する作業は、毎日使えるレベルにあります。エージェントモードも、ログイン済みのサイトでフォーム入力、カート作成、予約枠の確保ができるようになりました。ただし、実際のタスクを最後までこなせるのは一部にとどまり、動作は遅く、Webページをエージェントへの命令に変えてしまう攻撃「プロンプトインジェクション」を解決したと言えるベンダーもありません。

今年、このカテゴリは様変わりしました。OpenAIはChatGPT Atlasブラウザを終了し、エージェントをChatGPTデスクトップアプリに移しました。MicrosoftはEdgeのCopilot Modeを終了。GoogleはChromeにauto browseというエージェントを搭載し、PerplexityのCometは主要4プラットフォームすべてに対応しました。AnthropicはClaude in Chromeを一般提供とし、安全と判断した操作は自動で承認する仕様にしています。一方、連邦控訴裁判所は、CometがAmazonで買い物をする場合、Amazonのコンピュータにアクセスしているのは利用者本人だと判断しました。

仕事で使うべきか、チームに使わせるべきかを判断するなら、重要なのは2つです。どのタスクを最後までやり切れるのか、そして悪意あるページがエージェントに何をさせられるのか。このガイドでは、ベンダーのドキュメントと公開されている研究をもとにこの2点を検証し、そのうえで、セットアップ手順、タスクチェッカー、ブラウザ選びのガイド、チーム向けルールを紹介します。

AIブラウザ市場は、すでに使っているブラウザへと集約された

今年、エージェント機能はChrome、Edge、そして多くの人がすでに課金しているチャットアプリへと移りました。ChatGPT Atlasの寿命は1年足らずでした。昨年Macで公開されたものの、Windows版は出ないまま、今年OpenAIが終了しています。機能は3つに分かれて引き継がれました。見ているページについて答えるChrome向けChatGPT拡張機能、サイトにログインしてファイルをダウンロードできるChatGPTデスクトップアプリ内蔵ブラウザ、そしてOpenAIのサーバー上でエージェントがリモートでタスクをこなすクラウドブラウザです(TechCrunch)。

Microsoftも同様の判断をしました。EdgeのCopilot Modeを終了し、旧Copilot Actionsのエージェント機能はBrowse with Copilotになりました。利用にはMicrosoft 365 Premiumのサブスクリプションが必要で、米国のEdgeデスクトップ版でのみ使えます(Microsoft Edge Blog)。Edgeの無料版Microsoft Copilotには、開いている複数のタブを横断して答える機能など、便利な閲覧系の機能が残っています。

一方、ChromeのGoogle Geminiは拡大しました。ページの要約やタブの比較ができるサイドパネルは、今年インド、カナダ、ニュージーランドに広がり、続いて中南米、アフリカ、中東にも展開されました。エージェントは有料のオプションです。auto browseはGoogle AI Pro(月額$19.99)またはGoogle AI Ultra(月額$99.99から)に含まれ(Google AI plans)、現時点では米国のデスクトップとAndroidでのみ使えます。

Perplexityは昨年Cometを無料にし、今年iOS版を追加しました。これでWindows、Mac、Android、iPhoneで動作し、管理機能を備えたComet Enterpriseも登場しています。昨年Atlassianが買収で合意したThe Browser CompanyのDiaは、タブや仕事用アプリの情報から答えを返すことを軸にしたMac向けブラウザです。ブラウザは無料で、AIプランは月額$20または$100です(Dia pricing)。Opera Neonは今年ダウンロードが無料になり、内蔵エージェントは月額$19.90のプランで使えます。Brave Leoは、別プロファイルでのみ動くエージェントをテスト中です。Comet出身のエンジニアが作ったPolarのような新顔も次々に登場しています。

AnthropicのClaude in Chromeはブラウザではなく拡張機能ですが、役割は同じです。Claudeのすべての有料プランに含まれ、一般提供開始以降はデフォルトで操作を自動承認します。承認の際は、分類器が各操作をあなたの依頼内容と照らし合わせています(Anthropic)。

まず右端の列を見てください。あなたの代わりに動く部分、つまりエージェントこそが、有料で、地域制限があり、リスクも抱えている部分です。閲覧機能のほうは、ほとんどの製品で無料です。

エージェントにタスクを任せると何が起きるのか

どのエージェントモードも、同じループで動きます。ページを見て、次の1ステップを決めて実行し、何が変わったかを確認して、また最初に戻る。これをタスクが終わるか、あなたに引き渡すよう指示されたステップに到達するまで繰り返します。

モデルが見ているものは、あなたが見ているものにほぼ近いものです。MicrosoftのBrowse with Copilotは、作業中にスクリーンショットを撮り、会話とともに最長30日間保存します。操作中のタブにはカーソルアイコンが表示され、いつでも操作を引き継げます(Microsoft Support)。Amazonの訴訟では、控訴裁判所は、CometのアシスタントはユーザーのデバイスB上で動作し、Perplexity自身のサーバーがAmazonと直接やり取りすることはない、というPerplexity側の主張を認めました(この点について、Amazonは現在iPhoneアプリに関して争っています)。

最も重要なのは「確認を求める」ステップで、その線引きはベンダーごとに違います。Googleによると、Chromeのauto browseは購入やSNS投稿の前で一時停止します。Edgeは、購入、予約、メール送信、カレンダー予定の削除の前に確認を求め、エージェントは保存済みパスワード、オートフィル、ウォレット情報を一切使えません。Claude in Chromeは以前、デフォルトですべての操作の前に確認を求めていました。現在は安全な操作かどうかを自分で判断するため、毎回確認が必要なら、設定で手動承認に戻す必要があります。

いまのエージェントモードが得意な仕事

こうしたブラウザが真価を発揮するのは、読む作業です。開いている3つの料金ページを比較させたり、長いポリシーページから解約条件を抜き出させたりすれば、数秒で答えが返ってきます。ChromeやEdgeなら追加料金もかかりません。それだけで足りるなら、アンサーエンジンで十分かもしれません。選択肢はAI検索エンジンの比較記事で紹介しています。

エージェント側が向いているのは、ゴールがはっきりした雑務です。TechCrunchによると、Googleの初期テスターは、auto browseで予約の調整、面倒なフォームの入力、納税書類の収集、配管工や電気工事業者への見積もり依頼、経費精算書の提出などをこなしていました。GoogleのAndroidデモでは、イベントチケットの情報から駐車場を予約したり、ペットフードの注文を変更したりしています。複数サイトにまたがるリサーチにも向いています。10社のベンダーページを開いて比較表を埋めてくれるエージェントは、実際に時間を節約できますし、間違えても返金手続きではなく再確認で済みます。

これらには3つの共通点があります。タスクが絞られていること、結果を確認しやすいこと、ミスのコストが小さいことです。Polarによると、ユーザーの多くは自動化専用として使い、普段のブラウジングには別のブラウザを使っているそうです。初めてエージェントを試す人にとって、これは賢いやり方です。

エージェントブラウジングがまだ苦手なこと

実際のWebサイトでの成功率は、まだ低いままです。28人の研究チームによるベンチマークClawBenchは、購入、予約、求人応募など日常的な153のタスクを、144の実在するプラットフォームで実行しました。実際には何も確定されないよう、途中で遮断する仕組みも入れています。8つの最先端モデルのうち最も良かったClaude Sonnet 4.6でも、完了できたのは33.3%でした(ClawBench)。たとえば、細かい入力項目を数多く正確に埋めるといった作業が求められるタスクです。

次に問題になるのが、速度と判断力です。AtlasとCometを使ったTechCrunchのレビュアーは、効率の向上はわずかで、時間の大半はエージェントがWebサイト上をゆっくりクリックして回るのを眺めて過ごした、と評しています。WiredによるChromeのauto browseのテストはもっと厳しい結果でした。通路側で、オーケストラ席以外の交響楽団のチケットを2枚頼んだところ、条件を満たす$185の席は見つかったものの、列が別々でした。キャンプ場の空き確認を頼んだときは、15分動いて1か所だけ確認し、残りは自分で調べるようレビュアーに伝えたそうです。

ログインと支払いは、意図的な停止ポイントです。ChromeはPassword Managerを使う前に確認を求め、Edge for Businessはパスワードとカードの入力欄で必ず一時停止するため、結局キーボードの前にいる必要があります。また、Chromeはauto browseの1日あたりの操作回数に上限を設けていますが、Googleはその数字を公表していません。

そもそもエージェントを受け入れないサイトもあります。The Registerによると、eBayは、人間の確認を経ない注文を禁じるようユーザー契約を変更しました。AmazonがMetaのMuseエージェントをブロックした際には、権限のないAIエージェントによるアクセスの継続は利用条件に違反する、というポップアップがユーザーに表示されました(Amazonについては後述します)。長期的な解決策は、エージェント用の正式な入口を用意することです。Cloudflareはエージェントがリクエストに署名できるようにし、サイト側が識別できるようにしています。Chromeが試験中のWebMCP標準案は、サイトがフォームや機能をエージェントに直接公開できるようにするものです。Chromeの初期試験には、Expedia、Booking.com、Shopify、Etsy、Instacart、Targetなどのブランドが参加しています。

それが広まるまでは、レイアウトが変わるサイトやエージェントをブロックするサイトでは、エージェントが止まるものと思っておいてください。決まったサイトで確実に自動化したいなら、Browser & Web Automationボードにあるスクリプト型のツールや、Browser Useのようなオープンソースのフレームワークのほうが向いていることも多いです。このトレードオフはAIエージェントと自動化ツールの違いの解説記事で扱っています。

誰も解決できていないプロンプトインジェクション

エージェントは仕事のためにWebページを読みますが、言語モデルは、読んでいるテキストと従っている指示を確実には区別できません。つまり、エージェントの目に触れる場所に文章を置ける人なら誰でも、命令を出そうとできます。Webページの作者、商品レビュー、フォーラムのコメント、受信トレイに届いたメールなどです。

下段が、これを深刻な問題にしている部分です。エージェントはログイン済みのセッション内で動くため、乗っ取られたエージェントは、あなたとしてメールや銀行、社内アプリを操作します。Braveの研究者は、スクリーンショット内の黄色い背景に薄い水色の文字で隠された指示にCometを従わせました。さらに、別のAIブラウザFellouは、ページを開くだけでそのテキストをモデルに送るため、ページ上に見えている指示がユーザーの依頼を上書きできることも示しています。Braveは間接プロンプトインジェクションを「AI搭載ブラウザというカテゴリ全体が直面する構造的な課題」と呼びました(Brave)。

ほかのチームも同じ結果を得ています。Trail of Bitsは、Cometを公開前に監査し、動作するエクスプロイトを4つ作成しました。偽のCAPTCHAに見せかけたものも含まれ、いずれもユーザーのGmailを攻撃者のサーバーにコピーすることを狙ったものです。OpenAIは、メールに隠されたテキストによって、エージェントが不在通知の下書きを作る代わりに退職届を送信してしまった攻撃を紹介しています。

ベンダーは防御は機能していると言っており、Anthropicは自社テストの改善前後の数字を公開しています。

これはAnthropicが選んだ攻撃に対する、Anthropic自身のテストです。すべての安全機能を有効にした場合、最新モデル3つでは攻撃の成功がなく、4つ目では0.3%だったと報告していますが、それでもプロンプトインジェクションを「動く標的」と呼んでいます。独立した結果はもっと厳しく見えますが、テスト対象は別のオープンソースのエージェントです。NTU、ST Engineering、IBM Research、UIUCの研究者は、GPT-5とGeminiの各モデルで動くBrowser UseとNanoBrowserに対し、3,168回の攻撃を試みました。間接インジェクションの成功率は41.67%から68.16%で、テストしたどの構成にも失敗がないものはありませんでした(CSO Online)。Lasso Securityは、Base32エンコードのような単純な手口で、Perplexityのオープンソースのインジェクション検知ツールBrowseSafeを36%の試行で突破しました。

これらのエージェントを作っている企業自身が、限界を率直に認めています。OpenAIは、プロンプトインジェクションは詐欺やソーシャルエンジニアリングと同様に「完全に『解決』される可能性は低い」と書き、英国の国家サイバーセキュリティセンターも、完全に軽減されることはないかもしれないと述べています(TechCrunch)。Gartnerは昨年さらに踏み込み、CISOは当面すべてのAIブラウザをブロックすべきだと顧客に伝えました。

ベンダーが代わりにやっているのは、防御の層を重ねることです。Googleは、User Alignment Criticという第2のモデルを走らせています。このモデルは、生のページではなく各操作の計画の説明だけを見て、あなたの目的に合わない操作を拒否できます。Chromeはさらに、タスクごとにエージェントが読み取り・入力できるサイトを制限し、銀行や医療のサイトに移る前に確認を求めます(Google)。Microsoftはリスクの高いサイトをブロックし、エージェントを保存済みパスワードや支払い情報から遠ざけています。Anthropicはページ内容を攻撃についてスキャンし、各操作を依頼内容と照合します。Braveはエージェントを別プロファイルに隔離しています。ゼロを約束している企業はありません。

Amazon対Perplexity:エージェントのクリックの責任は誰にあるのか

エージェントによる買い物をめぐる法廷闘争は、AmazonとPerplexityの間で続いており、まだ決着していません。現状は次のとおりです。

Amazonは昨年、Cometが許可なく顧客アカウントにアクセスし、Amazonがブロックしようとした後は通常のChromeブラウザを装った、として提訴しました。今年前半、地方裁判所の判事はこれを認め、CometによるパスワードつきのAmazonアカウントへのアクセスを禁じました。その後、第9巡回区控訴裁判所がこの命令を取り消しました。裁判所は、法律上エージェントは「人ではなく道具」であり、したがってAmazonにアクセスしているのはそれを操作する買い物客であると判断し、Amazonが根拠とした反ハッキング法のもとで勝訴する見込みは低いとしています(Technology & Marketing Law Blog)。控訴裁判所はその後、再審理を行わないと決めました。

Amazonはその後、修正訴状を提出し、CometのiPhoneアプリが顧客のAmazonセッションCookieをPerplexityのクラウドサーバーにコピーしており、「Amazonのサーバーに触れるユーザーデバイスは存在しない」と主張しています。一方、Perplexityは控訴裁判所に対し、その逆を述べていました。訴状は、Perplexityの弁護人からの書簡も引用しており、それによると、Perplexityは「誠意の表れとして」、iOS版CometのAmazon.comでのアシスタント機能を一時的に無効にしたといいます(The Next Web)。これらはAmazonの主張です。Perplexityは、この争いを、利用者が訪問を許された先のサイトで、自分で選んだソフトウェアを使う自由の問題として位置づけています。

利用者にとって、この判断は両面があります。サイトにアクセスしている当事者はあなただとされるため、サイトの利用規約はこれまでどおりあなたを拘束し、裁判所も、Amazonは自社の顧客に対して規約を執行できると指摘しました。また、この意見はこの事案の事実関係に限定されたもので、エージェント全般に通行証を与えるものではありません。エージェントによる買い物が目的なら、AIショッピングアシスタントボードにあるツールの多くは、ストア側が自ら運用する前提で作られているため、この問題を避けられます。

今日から使える安全なセットアップ

だからといって、AIブラウザを避けるべきだという話ではありません。最初のタスクの前に、セキュリティチームがやるような設定をしておくべきだということです。

1. 1エージェントには専用のブラウザプロファイルを用意する。Braveはこれを標準で備えています。Chrome、Edge、Cometでは、エージェントに必要なログインだけを入れた別プロファイルを作り、銀行、メインのメール、パスワードマネージャーは入れないでください。
2. 2ログアウト状態で始める。OpenAIが自社のエージェントについて勧めていたのは、可能な限りログアウトモードを使うことです。ログインするのは、タスクで必要なときだけにしましょう。
3. 3承認はオンのままにする。Claude in Chromeでは、読み取り以外の操作について手動承認をオンに戻し、確認画面はクリックする前に必ず読んでください。
4. 4タスクは狭く書く。OpenAIは、必要なことは何でもするようエージェントに指示するのは避けるよう警告していました。サイト、目的、止まるべき地点を明示しましょう。
5. 5お金、受信トレイ起点の操作、管理コンソールには近づけない。Anthropicはパイロット公開の時点で、金融、法務、医療、その他の機微な情報を扱うサイトを避けるようテスターに伝えていました。
6. 6最初の数回は最初から最後まで見守り、その後で片付ける。Edgeはエージェントのスクリーンショットを会話とともに最長30日間保存するので、プライベートなタスクの後は履歴を削除してください。

要点は、1枚のカードにまとめられます。

右の列には、数回うまくいったあとに人がやりがちな近道を並べています。上で挙げた公開済みの攻撃は、どれも、盗む価値のあるものにログインしたままのエージェントを前提にしていたので、プロファイルのルールがほとんどの役目を果たします。

個別のタスクには、下のチェッカーを使ってください。質問は6つあり、リスクが高い回答が1つでもあれば、そのステップは自分の手に残すべきです。

調査や比較の仕事の大半は、緑か黄色になります。支払い、送信、仕事用アカウントにログインした状態での受信トレイの読み取りは赤になりますが、これは意図的なものです。エージェントには情報収集と下書きまでを任せ、最後のクリックは自分で押してください。

どのブラウザが合うか、そしてチーム向けのルール

個人の場合、選択は基本的に、すでに払っているものに従います。答えが欲しいだけなら、エージェントにお金を払う必要はありません。ChromeのGeminiとEdgeのCopilotは、無料枠でもページの要約やタブの比較ができます。エージェントが欲しいなら、Google AI ProもMicrosoft 365 Premiumも月額$19.99で、どちらもおそらくすでに使っているブラウザの中でエージェントが使えます。サブスクなしでエージェントを試すならCometですが、専用プロファイルで使うことが条件です。よくあるケースは、下のツリーでカバーしています。

回答のうち1つには、注意が必要です。Claude in Chromeの自動承認はリサーチには便利ですが、お金やメールに近い場面でのデフォルトとしては不適切です。

チームの場合、ルールは市場の状況よりもシンプルです。閲覧はどこでも許可し、エージェントによる操作は、管理されたエディションで、承認済みのサイトに限って実行します。そのための制御は用意されています。Chromeのauto browseは、管理対象のWorkspaceユーザーではデフォルトでオフで、管理者は特定のURLを許可またはブロックするポリシーでオンにできます(Chrome Enterprise Help)。Edge for Businessには、Microsoft 365 Copilotでライセンスされる限定プレビューがあり、ITがCopilotの操作を許可するサイトを選べて、Purviewのデータルールも引き続き適用されます。ただしEEAでは提供されていません。Comet Enterpriseは、アシスタントを読み取り専用にしたり承認済みドメインだけに限定したりでき、ClaudeのEnterpriseプランでは、管理者がClaude in Chromeを承認済みドメインに限定できます。

最後の一文は、Gartnerの助言を絞り込んだ版で、多くのチームが受け入れられるはずです。ベンダーがデフォルト設定を変えるたびに許可リストを見直してください。2026年は、それが数か月ごとに起きています。職場でエージェントを運用しているチームの教訓は本番環境のAIエージェントをご覧ください。より広い分野はTop 250 AI Agentsボードで追えます。

よくある質問

ChatGPT Atlasはまだ使えますか?

いいえ。OpenAIは今年Atlasを終了しました。Mac版の公開から1年足らずでした。使っていた方は、エージェントがMacとWindows向けのChatGPTデスクトップアプリに移っており、Chrome内でのページに関する質問はChatGPT拡張機能が担います。

Perplexity Cometは無料ですか?

はい。ただし利用上限があります。Perplexityは昨年Cometのダウンロードを無料にし、現在はWindows、Mac、Android、iOSで動作します。別の作業をしている間に複数のタスクを並行して進めるBackground Assistantは、最上位のMaxプランの機能として提供が始まりました。

AIブラウザは、確認なしで勝手に購入できますか?

主要なものは、先に確認を取るように作られています。ChromeとEdgeは購入の前で一時停止し、Edgeのエージェントは保存済みの支払い情報を一切使えません。Claude in Chromeは、分類器が安全と判断した操作を確認なしで承認するので、各ステップの前に確認が欲しければ手動承認をオンにしてください。

AIエージェントにAmazonで買い物をさせるのは合法ですか?

第9巡回区控訴裁判所は、エージェントを操作しているユーザーがサイトにアクセスしている当事者であるため、Amazonによる連邦法およびカリフォルニア州法の反ハッキング関連の請求は、Perplexityに対して認められる見込みが低いと判断しました。しかし、権限のないエージェントを禁じているとAmazonが主張する利用条件が無効になるわけではなく、訴訟も継続中です。サイトの規約がエージェントを禁じている場合、使うことは契約上のリスクとなり、その責任はあなたが負います。

会社はAIブラウザをブロックすべきですか?

管理されていないものは、会社の端末ではブロックしてください。そのうえで、管理されたエディション(Workspaceポリシー下のChrome、Edge for Business、Comet Enterprise、ClaudeのEnterpriseプラン)は閲覧用途に許可し、エージェントによる操作はサイトごとに承認します。

AIブラウザは私のパスワードを見られますか?

ベンダーは、モデルには見えないと説明しています。Googleは、同社のモデルはPassword Managerや保存済みのカード情報には触れないとしており、MicrosoftのBrowse with Copilotも、保存済みパスワード、オートフィル、ウォレット情報にはアクセスできません。ただし、エージェントはログイン済みのセッション内で動くため、パスワードの保存場所よりも、別プロファイルを使うことのほうが重要です。