ブラウザーエージェントに向けたMicrosoft Edgeの8年越しの警告

2026年8月、MicrosoftがEdgeからManifest V2の段階的廃止を始めたとThe Vergeが報じた。企業向けサポートは2027年初頭まで続く。GoogleのManifest V3設計をめぐる公開論争は2019年に始まり、論争からEdgeの企業向け期限までの道のりはおよそ8年となる。問題となったソフトウェアは、権限が宣言された識別可能なパッケージだった。一方Microsoftは現在、ブラウザー上の操作を選択し実行できるエージェントも構築している。

Copilot Studioのコンピューター利用ツールは、ウェブサイトとデスクトップアプリケーションを自動的に使える。引用した記録は、これが認証済みセッション内で動作することを立証していない。引用した情報源に、ブラウザーエージェントの導入状況、統制に要する可能性が高い遅延、あるいは文書化された企業統制の失敗を測定したものはない。したがって8年という比較は、エージェント統制にも同じ時間がかかるという予測ではなく、移行摩擦への警告である。

開発者がブラウザー操作を選ぶ実務的な理由は同じだ。ウェブには、エージェントが必要とするインターフェースとワークフローがすでに存在する。この収束は、インストール前に権限をレビューできるソフトウェア向けに設計されたセキュリティモデルに圧力をかける。

マニフェストが特定できるのはコードであり、意図ではない

従来のブラウザー拡張機能は、ブラウザーにとって統制可能な安定した対象である。開発者はコードをパッケージ化し、機能を宣言して、ユーザーまたは管理者にインストール権限を求める。ブラウザーはパッケージを検査し、APIを制限し、後から取り消せる。承認が広範でも、承認された対象は識別可能なままである。

状態を保持するエージェントは、操作のたびにブラウザーがレビューすべき対象を変える。ページを観察し、コンテキストを保持し、ツールを選び、操作を実行し、結果の状態を読み、これを繰り返す。ブラウザーはループを開始した実行可能ファイルを特定できるかもしれない。しかし、それだけではエージェントがなぜそのリンクを選んだのか、ページが目的を変えたのか、最終的な取引を人間が意図したのかは分からない。

ブラウザーポリシーに先んじて、開発者はこのアーキテクチャーに到達した。Browser Useはウェブサイト要素をエージェント向けのテキスト風表現に変換し、このオープンソースツールを軸に$17 millionのシードラウンドを調達した。GoogleのProject MarinerプロトタイプはChromeを操作し、カーソルを動かし、ボタンをクリックし、フォームに入力した。MicrosoftはCopilot Studioにコンピューター利用機能を追加した。これにはインターフェース変更の動的検出も含まれる。Amazonは、単純なブラウザー操作を独立して完了できるエージェント向けにNova ActとSDKを公開した。

GoogleはMarinerを研究プロトタイプと呼び、AmazonはNova Actの独立した操作を単純なタスクに限定した。ブラウザー自動化は、認可の問題を生むために信頼できる自律性を実現する必要はない。信頼できないエージェントでも、重大なフォームを1件送信すれば足りる。

エージェントは読み取りと書き込みで、異なる種類の権限を使う。タブを要約するエージェントは、誤っていても世界を変えない。メッセージ送信、購入確認、アカウント設定変更、ファイルアップロードを行うエージェントは、セッションを超えて残る義務を生みうる。管理者はパッケージを承認できるが、その後の各操作を正当化する目的、宛先、結果を符号化することはできない。

企業の依存関係がパッケージポリシー変更を長期化させた

ブラウザーベンダーは長年にわたり、従来の拡張機能をManifest V2からManifest V3へ移行してきた。Mozillaは2019年、広告ブロッカーを妨げる部分についてはFirefoxがGoogleの実装に従わないと述べた。Microsoftは、管理対象組織が承認済みワークフローを2027年初頭まで維持できるようにした。Mozillaは期待されるブラウザー挙動を守り、Microsoftはインストール済みソフトウェアにすでに依存する企業に対応した。

ブラウザーベンダーは過去の失敗を受け、オリジン境界、ナビゲーション制限、スキーム制御、コンテンツルールを追加してきた。ブラウザーエージェントは、通常のユーザー向け操作を通じて同じ境界を越えられる。リンクをクリックし、ページを開き、フィールドに入力し、送信を押す。ブラウザーには許可されたナビゲーションとして見えても、雇用主にはエージェントが委任された権限を超えたように見える可能性がある。

管理対象プロファイルでエージェントを有効にする前に、セキュリティチームは、従業員がすでに使うワークフローに対して実行時ポリシーと監査統制をテストすべきである。ひとたびそのワークフローがエージェントに依存すれば、統制モデルの変更は移行プロジェクトになる。

Microsoftは信頼の継ぎ目の両側にいる

Microsoftはブラウザーの旧拡張機能モデルを廃止する一方で、エージェント機能の配布システム構築にも加わっている。OpenAIのAgent Plugins標準はスキルとMCPサーバーをパッケージ化するものであり、MicrosoftはAmazon、Cursor、Vercelとともにその運営委員会に参加している。この標準は、すべてのワークフローを画面越しに再発見することなく、エージェントが呼び出せる機能を開発者がポータブルに束ねる手段を提供する。

Edgeでは、Copilot Modeがユーザーがクリックしたいと思われるリンクを予測する実験を行ってきた。その後Edgeは、Copilotが開いているタブから情報を収集し、閲覧履歴を使ってより関連性の高い回答を生成できるようにした。Copilot Studioは操作実行を加え、Agent Pluginsは機能配布を加える。引用したCopilot Studioの記録は認証済みセッション内での利用を立証していないが、Microsoftは現在、コンテキスト収集、実行、配布にまたがっている。

企業顧客はMicrosoftに互換性、中央管理、段階的な移行を求める。Microsoftのエージェント製品は、より多くのコンテキストを受け取り、より多くの操作を実行するほど有用になる。Edgeは既存のワークフローを維持しながら、その周辺でMicrosoftのソフトウェアが下せる判断を拡大しなければならない。

コントロールプレーンは操作を主体に結び付けなければならない

管理者は、エージェントIDを人間または組織の主体に結び付け、利用できるセッションとツールを指定し、従業員のブラウザープロファイル全体を無効にせずにその委任を取り消せなければならない。

Cloudflare、Google、Microsoft、Mozillaは、不要なリクエストから正当な人間またはボットのトラフィックを区別するプロトコルであるPACTに取り組んでいる。PACTはネットワーク境界で、誰が、あるいは何がトラフィックを生成したかを扱う。正当なエージェントに経費承認、文書開示、ページが新たな指示を導入した後の継続を行う権限があったかどうかは判断しない。

IslandやHereを含むエンタープライズブラウザー企業は、セキュリティ統制と業務アプリケーション統合をブラウザー内に構築することで、問題の別の部分をブラウザーへ移してきた。Googleは、Chromeエージェントの各操作を検証するUser Alignment Criticを説明している。これらのシステムはポリシーを操作ループに近づけ、ブラウザーがID、コンテキスト、結果をまとめて評価できるようにする。

ブラウザーエージェントを導入するセキュリティチームは、サインイン済みセッション内で、より広範なエージェント実行ガバナンスの問題を引き継ぐ。次の4地点で導入責任を確保する必要がある。

調達チームは、これらの統制を受け入れテストに落とし込める。たとえば経費ワークフローでは、エージェントは承認済み請求書のタブを読み、ベンダー検索ツールを呼び出し、支払い案を作成するかもしれない。送信前には、指名された従業員が受取人、金額、送付先を確認すべきであり、ブラウザーは承認の受領記録を保持すべきである。この一連をスコープ設定、一時停止、記録、取り消しできないベンダーは、そのワークフローに対応する準備ができていない。

信頼できないページが制御フローに入り込める

ブラウザーはサイト、フレーム、スキーム、特権リソースを分離する。エージェントはこうした技術的境界を維持していても、レンダリングされたページコンテンツを次の判断に与えることで、新たなセキュリティ経路を作り出せる。

間接プロンプトインジェクションはこの経路を悪用する。ウェブサイト、メッセージ、文書には、エージェントがユーザーの目的と並べて解釈する指示を含められる。Braveの研究者は、Perplexity CometとFellouを含むエージェント型ブラウザー全体に見られる体系的な間接プロンプトインジェクションの弱点を報告した。ウェブを読むエージェントの能力は、ウェブがエージェントに影響を与えるチャネルになる。

旧来の拡張機能エコシステムは、もう一つの警告を示す。ある研究者は、ブラウザー保護を上書きした拡張機能を有料スクレイピングサービスにたどり着いた。

245の拡張機能の事例は、コードが安定したパッケージとして提供される場合でも、ブラウザーベンダーが悪用を見逃しうることを示す。状態を保持するエージェントは、その強制の問題に変化する目標と信頼できない指示を加える。

どちらの記録もブラウザーエージェントの失敗率を立証しておらず、Microsoft製品を問題視するものでもない。むしろこの事例は、企業テストがカバーすべき2つの経路を定義する。承認済みソフトウェアは権限を悪用しうる。そして敵対的コンテンツは承認済みソフトウェアを別の方向へ向けうる。

明示的なインターフェースがブラウザーエージェントの権限を狭める

ソフトウェアプロバイダーは、エージェントにピクセル、テキスト、レイアウトから意味を推論させる代わりに、制約付きのAPI操作を公開できる。

エージェント開発者が画面レベルの自動化を使うのは、人間向けに構築されたあらゆるウェブサイトを直ちに利用できるからだ。テキスト表現、インターフェース変更検出、スクリーンショットベースの制御によって、既存のインターフェースは汎用アダプターになる。

画面を移動するエージェントは、ボタン位置が変われば壊れ、指示をデータとして解釈し、タスクに必要な範囲を超える権限をサインイン済みセッションから得る可能性がある。広範な認証情報のコンテキストから、ユーザーの限定的な依頼を推論しなければならない。

プロバイダーは、検査可能な操作、制約された認証情報、構造化された結果を備えるインターフェースを通じて、反復可能なワークフローを処理できる。ブラウザー制御は、そうしたインターフェースを持たないサイトやタスクをカバーできる。プラグインとAPIは既知の機能を扱い、ブラウザー操作はツールとしてパッケージ化されていない作業との互換性を維持する。

ポータビリティがキルスイッチを握る者を決める

GoogleとMicrosoftは、ブラウザー配布をエージェント研究および管理統制と組み合わせている。Browser Useやほかのツール供給者は複数のブラウザーの上層に位置できる一方、ブラウザーベンダーはその下でサインイン済みセッションを統制する。

ブラウザーエージェントシステムを比較するセキュリティチームは、エージェントID、ドメイン許可リスト、操作ログ、承認の受領記録をエクスポートできるかを問うべきである。また、従業員のプロファイルを無効にせずに1つのエージェントを取り消せるか、ブラウザーポリシーがサードパーティースキルにも適用されるかもテストすべきである。

セッションを統制するブラウザーベンダーは、エージェントがどのコンテキストを見られるか、どのツールを呼び出せるか、どのIDを提示するか、どこで操作を停止するかを決められる。ポリシーと委任記録を顧客とともに移せないなら、ベンダーは離脱コストも統制する。

2027年初頭までに、Microsoftの企業向け例外は2019年に始まったManifest V2論争に区切りを付ける。この8年は、エージェントポリシーが8年遅れると予測するものではない。ワークフローが統制モデルに依存してから待つことのコストを示している。ポリシー、委任済みID、承認記録をエクスポートできる前にサインイン済みブラウザーへのアクセスを認める企業は、ベンダー変更に際して、すべての自動化ワークフローを囲む権限の連鎖を再構築する必要があると気付くかもしれない。