ClaudeのSDKでブラウザ操作 URL制限が見ない範囲

APIのない古い業務システムに毎朝ログインして、数字を写し取る。取引先のポータルから請求書をダウンロードして、決まったフォルダに置く。こうした画面操作をAIに任せたいという要望に、Claude のブラウザ操作（browser use）は直接応える機能です。

2026年10月7日、Claude Platform のリリースノートに、Python と TypeScript の SDK でブラウザ操作と PC 操作（computer use）を組み込むためのクラスがベータで加わったと載りました。開発者はブラウザを動かす部分（ドライバー）を書くだけで、Claude とのやり取りの繰り返し、URL の確認、人の承認の呼び出しを SDK が受け持ちます。

ただし、SDK が受け持つ確認には範囲があります。本記事では、公式ドキュメント（Browser and computer use with the SDK toolsets と Browser use tool）の記述と、編集部の検証環境で TypeScript SDK を動かした結果から、業務の自動化に使う前に決めておくことを整理します。

SDKが用意するもの、用意しないもの

ドキュメントの「Limitations」の最初の項目は、「The SDK doesn’t include a browser, a desktop, a ready-made driver, or a URL policy」です。SDK に入っているのは、次の3つを差し込むための枠です。

• URL ポリシー（url_policy／urlPolicy）: Claude が navigate でページを開く前に呼ばれる関数。拒否するときは ToolError を投げる
• ファイルポリシー（file_policy／filePolicy）: アップロードに使えるファイルの場所と、ダウンロード先のパスを Claude に見せるかどうか
• 承認の関数（confirm）: 操作を実行する前に毎回呼ばれ、false を返すと実行しない

ブラウザ本体と、それを動かすドライバーは自分で用意します。提携先が提供するドライバーを使う方法と、Playwright などで自作する方法があります。ブラウザ操作のツールは Claude API と Google Cloud で使えます。

URLの確認が見ない範囲

ドキュメントは、URL ポリシーについて次のように警告しています。

Without a URL policy, the SDK checks no URL, and the API doesn’t filter the URLs Claude opens.

URL ポリシーを渡さなければ、どの URL も確認されません。さらに、ポリシーを渡しても、それが確認するのは navigate に書かれた URL だけです。Claude がリンクをクリックした先、ページのリダイレクト先、ページが裏で読み込む通信は対象外です。SDK の型定義の説明にも「This is a hook for your own policy, not a security boundary」（自前のポリシーを差し込む場所であって、安全の境界ではない）とあります。

編集部の検証環境で、TypeScript SDK 0.134.0 のブラウザ操作のクラスを継承した、ブラウザを持たない試験用のドライバーを作り、Claude からの指示の形をしたデータを直接渡して挙動を確かめました。URL ポリシーは「https: で、example.com のサブドメインだけを許可する」ものです。

結果は次のとおりです。

1. navigate で http://169.254.169.254/...（クラウドのメタデータの住所）や javascript:alert(1) を指定すると、ポリシーが呼ばれて拒否され、ドライバーには届かなかった
2. 許可した https://www.example.com/form への navigate で、ドライバーが「http://127.0.0.1:8080/admin に移動した」という結果を返すと、そのまま成功として Claude への結果に含まれた。ポリシーはリダイレクト先を確認しない
3. left_click はポリシーを通らずにドライバーへ届いた

2はドライバーの戻り値を作って再現したもので、実際のブラウザでリダイレクトを起こしたわけではありません。それでも、リダイレクト先の確認はドライバー側で行う必要があることは、ドキュメントの記述と一致しています。

ドキュメントが挙げる対策は6つです。SDK が受け持つのは1・4・5で、2・3・6はドライバーと実行環境で行うとしています。

1. 不要な URL を拒否する URL ポリシーを書く
2. ドライバーでブラウザの通信を横取りし、同じ規則で確認する
3. コンテナの外向き通信を制限する
4. アップロードとダウンロードの範囲を絞る（アップロードは無効のままにする）
5. 影響の大きい操作に confirm をかける
6. セッションごとに専用のコンテナか仮想マシンでブラウザを動かす

3について、ドキュメントは注意を加えています。コンテナの外で行う通信の制限では、localhost や 127.0.0.1 への通信は止められません。また、SDK は URL のスキームを確認しないため、file: や javascript: はドライバー側で拒否する必要があります。file: を許すとブラウザが動いている機械のファイルを読めてしまい、javascript: は javascript_exec を無効にしていてもページ上でスクリプトを動かせると書かれています。

承認の関数は「必須」になる場面がある

ページ上で任意の JavaScript を動かす javascript_exec と、ファイルを送る file_upload は、既定で無効です。ドキュメントは、どちらかを有効にして confirm を渡さないと、クラスを作る時点でエラーになるとしています。

検証でも、javascript_exec を有効にして confirm なしでクラスを作ると、ToolsetConfigError で「["javascript_exec"] requires a confirm callable」と表示されました。有効にしていない状態で Claude から javascript_exec の指示が来た場合は、ドライバーに届かず、使えない旨のエラーが Claude に返りました。

confirm を使う場合の注意点として、ドキュメントは次の点を挙げています。

• 承認を人に求めるときは、操作の種類、ページの URL、入力内容を見せる。いずれもページ由来の文字を含みうるため、表示の前に ASCII の表示可能な文字以外をエスケープする
• 承認の判断は、直前に報告されたブラウザの状態にもとづく。その後にページが変わっても、SDK は実行前に再確認しない
• PC 操作では、confirm に渡るのは操作と入力だけで、画面は渡らない。ある座標をクリックすると何が起きるかは、そこからは分からない

ブラウザ操作のツールのページは、購入、アカウントの変更、メッセージの送信、規約への同意など、取り消しにくい操作や本人の同意が必要な操作は人が確認するよう求めています。

業務の自動化に使う前に決めること

ここからは、上の記述と検証結果をもとにした編集部の提案です。

• 開いてよいサイトを列挙できる業務から始める。 取引先のポータル1つ、社内システム1つのように、許可するホストを書き出せる業務を選びます。URL ポリシー、ドライバーでの通信の確認、外向き通信の制限の3か所に同じ一覧を使います
• ログインが要るなら専用の低い権限のアカウントを使う。 ドキュメントも、ログイン済みのセッションが避けられない場合は、権限の低い専用アカウントを使うよう書いています。担当者本人のアカウントのまま使わないようにします
• 「読むだけ」と「変える」を分ける。 数字の取得やダウンロードは自動で実行し、送信・登録・削除のボタンを押す操作は confirm で人が確認する、という線を業務ごとに決めます
• ブラウザの環境を毎回作り直す。 認証情報を持たない新しいプロファイルで、社内ネットワークに入れない場所で動かします

Claude がページの文章に書かれた指示に従ってしまう危険（プロンプトインジェクション）について、ドキュメントは「Claude sometimes follows instructions found in page content even when they conflict with yours」と認めたうえで、ページの内容を検査する分類器が自動で働くとしています。ただし、上の対策はその分類器があっても重要だとしています。考え方の全体像は間接プロンプトインジェクションの記事、人の承認を形だけにしない設計はAIエージェントの承認は安全装置にならない、画面操作と API の費用の違いはComputer Use のコストの記事で整理しています。API がある業務なら、画面操作より API を使う方法を先に検討します。

確認した範囲

2026年10月15日に、Claude Platform のリリースノート（2026年10月7日の項）と、ドキュメントの Browser and computer use with the SDK toolsets・Browser use tool を直接取得して確認しました（資料調査）。公開前の2026年10月16日に同じ資料を取得し直し、記述を照合しました。あわせて、編集部の検証環境（Linux、Node.js v22.22.0、@anthropic-ai/sdk 0.134.0）で、ブラウザを持たない試験用のドライバーに Claude の指示の形をしたデータを渡し、URL ポリシー・confirm の要否・無効な操作の扱いを1回ずつ確認しました（実機検証。Claude API との通信、実際のブラウザの操作、提携先のドライバー、Python の SDK、PC 操作のクラスは確認していません）。

画面しかない業務システムの作業を AI に任せる仕組みづくりや、その前提となる権限と通信の設計は、開発・AI・自動化のご相談からお問い合わせください。

参考資料

• Claude Platform release notes（October 7, 2026）
• Browser and computer use with the SDK toolsets（Claude Platform Docs）
• Browser use tool（Claude Platform Docs）
• npm registry — @anthropic-ai/sdk