この記事を読んでまず思ったのは、ブラウザ拡張機能って、もはや「ちょっと便利な付け足し」では済まないんだな、ということだった。ページの見た目をいじるだけではなく、AIの操作まで巻き込むと、もはや拡張機能というより別の操作端末に近い。
特に引っかかったのは、Claude Desktop 側の挙動というより、claude.ai の普通のサインイン状態が“入口”になってしまう点だ。サイト上では直接つながっているように見えないのに、拡張機能がページ内で動けると、Dispatch を通してデスクトップ側に命令を送れてしまう。ここはかなり嫌な設計だと思う。ユーザーからすると、Web版を開いているだけのつもりでも、実際には別マシン上の AI に手を伸ばせる。境界が見えない。
もうひとつ、地味に怖いのが「AI が確認を求めても、それを画面上で自動的に押せてしまう」点だった。人間が目で見て止める前提の確認ダイアログは、ページを支配されると防波堤にならない。npm package を入れさせる、というのも抽象的な話ではなくて、インストールスクリプトが走れば普通に何かを起動できる。Calculator が開いた、という例はむしろ軽いほうで、権限次第ではファイルや認証情報まで触れたはずだ。ここは「AI が危ない」というより、「AI に許した操作範囲が、そのまま実行権限になる」ことの怖さだと思う。
それでも、この記事が面白いのは、単に「AIは危険です」で終わっていないところだ。ブラウザ、拡張機能、デスクトップAI、複数端末の連携が、バラバラに見えて実はひとつの攻撃面になっている、と具体的に見せている。便利さのために接続を増やすほど、どこか一箇所の破綻が他の端末まで届く。ここは、AI機能そのものより、周辺のつなぎ方をどう設計するかの問題なんだろうなと思った。
参考: Malicious Browser Extensions Could Use Claude Dispatch to Run Code on Users' Computers
