AIに自分のChromeを操作させるOSS「Playwriter」の仕組みと導入前の注意点

「AIエージェントに社内のウェブの管理画面を操作させたいが、毎回ログインし直させるのが面倒だ。普段のブラウザをそのまま使わせられないか」「開発者が便利な拡張機能を入れて、AIに自分のブラウザを触らせているらしい。止めるべきなのか、決めかねている」——AIエージェントの業務利用が広がった企業の、情報システム部門で聞かれ始めた声です。論点は「AIがどこまで上手にブラウザを操作できるか」に置かれがちですが、本当はそこではありません。本当は、ログイン済みのブラウザを預けることは、そのブラウザで開けるすべての業務システムの鍵を預けることと同じという点です。この記事では、AIエージェントに利用者自身の Chrome を操作させるOSS「Playwriter」について、一次情報で確かめられる仕組み、遠隔共有や記録の機能、企業が使うときに気をつけるべきセッションの悪用やページに紛れ込んだ指示への備えを、守る側の目線で整理します。導入や操作の手順は扱いません。

Playwriterとは何か。2026年10月時点で確かめられる事実

Playwriter は、GitHub上で公開されている、AIエージェントにブラウザを操作させるための道具です。リポジトリの説明は「エージェントにあなたのブラウザを操作させる Chrome の拡張機能と命令の窓口」で、ブラウザ操作の部品として広く使われている Playwright のプログラムを、状態を保ったまま実行する仕組みだとしています。使い方は、命令の窓口（CLI、文字の命令で操作する道具）から呼ぶ形と、MCP（AIと外部の道具をつなぐ共通の取り決め）の道具として呼ぶ形の二つが用意されています。

規模と経緯も押さえておきます。リポジトリは2025年11月13日に作られ、精査した2026年10月27日時点でスターはおよそ4,000、複製（フォーク）はおよそ190です。最終の更新は2026年10月23日で、リリースの一覧では、命令の窓口の0.9.0と拡張機能の0.0.170が10月20日付で公開されていました。公開しているのは組織ではなく個人のアカウントで、2017年8月に作られ、公開リポジトリは670を超えています。専用の公式サイトと文書も用意されています。

ライセンスはMITで、OSI（オープンソースの定義を管理する団体）が承認したライセンスです。このためこの記事では「OSS」と呼びます。ただし後で見るとおり、クラウド上のブラウザを貸し出す有料の追加サービスもあり、そちらは運営側が提供するサービスです。OSSとして公開されている手元の部品と、有料のサービスは分けて考える必要があります。

なぜ「自分のChrome」を操作させる道具が注目されるのか

AIエージェントにブラウザを操作させる道具の多くは、作業のたびに新しいブラウザを立ち上げます。READMEはこの方式について、ログインも拡張機能もない状態から始まり、ロボットの操作だと見抜かれやすく、メモリも余計に使うと説明し、Playwriter はすでに動いている利用者のブラウザにつなぐ点が違うとしています。業務の画面にはログインが必要なものが多いため、ログインの手間を省きたい利用者には魅力に映ります。

ここで押さえておきたい背景があります。READMEは、Chrome の136版から、ふだん使いのプロファイル（利用者ごとの設定やログイン情報のまとまり）では外部から操作するためのデバッグの入口が効かなくなったことにも触れています。Google の開発者向けブログによると、この変更は、情報を盗むマルウェアが、この入口を使ってクッキーを抜き出す例が増えていたための守りの強化です。

Playwriter は、この入口の代わりに、拡張機能から Chrome のデバッグ用の仕組みを使ってタブにつなぎます。つまり、ブラウザ側が守りのために閉じた経路とは別の経路で、ふだん使いのプロファイルをAIに操作させる設計だと読めます。これは、利用者が拡張機能を入れ、タブごとに自分でつなぐという同意の手続きを経た上での動きです。とはいえ、ブラウザが守ろうとしたものを、利用者の判断で開け渡す道具だという点は、企業として意識しておくべきです（ここでの位置づけは、公式の説明と Google のブログを照らし合わせたこの記事の解釈です）。

仕組み1：拡張機能と、手元で待ち受ける中継役

公式の文書によると、Playwriter は三つの部品で動きます。一つ目が Chrome の拡張機能で、利用者が拡張機能のアイコンを押したタブにだけつながり、つながると緑色の表示に変わります。二つ目が、利用者のパソコンの中で通信を待ち受ける中継役（リレー）で、拡張機能と、AI側の窓口との間でやり取りを取り次ぎます。三つ目が、AIエージェントが呼び出す命令の窓口とMCPの窓口です。

守りの面で公式の文書が挙げているのは次の点です。中継役は既定では自分のパソコンの中からしか届かない状態で待ち受け、拡張機能からの接続は Playwriter の拡張機能だけを受け入れるよう、接続元を確かめているとされます。悪意のあるウェブサイトが中継役につなぐことはできない、とも書かれています。また、Playwriter が勝手にタブを開くことはなく、新しいタブはプログラムが明示的に開いたときだけ現れるとされています。

操作中のタブには、Chrome 自体が「自動操作中」であることを示す帯を表示します。人が画面を見ていれば、どのタブがAIにつながっているかは分かる作りです。ただし、つないだタブの中では、AIはページの内容を読み、入力し、クリックできます。タブを選ぶのは人でも、そのタブの中で何をするかはAIに任されるという点が、この道具の本質です。

仕組み2：一つの「実行」の窓口と、作業ごとのセッション

READMEと比較の文書によると、Playwriter がAIエージェントに渡す道具は、Playwright のプログラムを実行する一つの窓口だけです。操作ごとに細かい道具を並べる方式と比べて、AIが読み込む説明が少なくて済み、Playwright でできることはほぼすべて使えると説明されています。画面の把握には、画像ではなく、画面の要素を文字で表した一覧（アクセシビリティのスナップショット）を主に使い、必要なときは要素に目印を付けた画面の画像も使えるとされます。

作業はセッションという単位で分かれ、セッションごとに保存した値は分かれますが、ブラウザのタブはセッションをまたいで共有されるとREADMEは明記しています。他のセッションが開いたタブも一覧に見えるため、複数のAIエージェントを同時に動かす場合は、どのタブをどの作業が扱うかを人が把握しておく必要があります。タブのまとまり（タブグループ）に名前と色を付けて、作業ごとに見分けやすくする機能もあります。

公式の文書によると、実行の場には一定の制限があります。ファイルの書き込みは作業用の場所と一時的な場所に限られ、読み込める部品も決められた一覧に絞られ、ブラウザ全体を閉じる操作は止められています。一方で、外への通信を制限しているかどうかは、確認した文書には書かれていませんでした。この制限はパソコン側を守るためのもので、ブラウザの中の権限を狭めるものではないと理解しておくのが妥当です。

仕組み3：遠隔操作の共有と、外部からの接続

Playwriter には、手元のブラウザを、別の機械で動くAIエージェントや人に操作させる機能もあります。公式の文書によると「遠隔操作」の機能は、利用者が拡張機能のボタンを押し、確認の画面に同意すると、秘密の文字列を含むリンクが作られる仕組みです。このリンクを受け取った側は、運営元のドメインの下にある暗号化された通り道（トンネル）を通じて、利用者のブラウザを操作できます。

この機能について、公式の文書とセキュリティの方針は強い言葉で注意を促しています。リンクを持つ者は手元で動かす Playwriter のエージェントと同じ権限を持ち、Playwriter をつないだすべてのタブと、新しく開いたタブに触れられ、画面の画像、ページの内容、入力、クッキー、サイトに保存された情報にまで届くとされます。そして「これはサンドボックスではない」「完全に信頼できる相手とだけ共有すること」と明記されています。

止められている操作は、プロファイル全体のクッキーを扱う操作と、キャッシュの消去だけで、これは誤ってすべてのログインを消さないためのもので、悪意のある相手を防ぐものではないと書かれています。共有は利用者が止めればすぐに無効になり、同じリンクは二度と使われないとされます。また、遠隔操作の通信の中身は保存せず、メモリの上で取り次ぐだけだと説明されていますが、通り道を提供する事業者（Cloudflare）は接続の付帯情報を扱いうるとも書かれています。これとは別に、合言葉（トークン）を付けて中継役そのものを外部に開く方法や、社内の網から直接つなぐ方法も用意されています。

記録・録画・操作の手順化の機能

公式の文書によると、Playwriter にはAIの操作を動画として録画する機能、タブの画面を外部の生配信のサービスへ流す機能、そして利用者の操作を記録してAIエージェント向けの手順書（スキル）にする「スキルの記録」の機能があります。操作の記録が残ること自体は、後から確かめられるという点で守りにも役立ちますが、記録そのものが機密の塊になりうる点に注意が要ります。

スキルの記録について、公式の文書は次のように説明しています。記録は利用者の本物のログイン状態のまま行われ、クリックや入力、ファイルの送信といった操作、データを送る種類の通信の中身と、文字の応答の中身、見た目が変わるたびの画面の画像が保存されます。クッキーの値は保存しない、保存された値や送った中身は途中で切り詰める、とも書かれています。記録は20分か500メガバイトで自動で止まるとされます。

それでも、画面の画像には顧客の情報や社内の数字が映りえますし、応答の中身に個人の情報が含まれることもあります。パスワードの欄がどう扱われるかは、確認した文書からは読み取れませんでした。記録から作った手順書を社内で共有したり、AIに読ませたりする前に、記録に残った値と画像を人が確かめる手順を決めておくことが必要です。

OSSの外側にある有料のクラウドブラウザ

公式の文書によると、Playwriter には「クラウドブラウザ」という有料の追加サービスがあります。クラウド上の別々の機械で動くブラウザを借りる形で、それぞれが独自のクッキー、保存領域、IPアドレス、ブラウザの特徴（指紋）を持つとされます。料金はブラウザ1台あたり月10ドル、または年100ドルと示され、手元で使う拡張機能は今後も無料だと書かれています。

守る側として目を留めたいのは、このサービスの説明に、自動操作だと見抜かれにくくする手当てや、国や地域を選べる中継の仕組み、そして画像認証などのロボット判定（キャプチャ）を自動で突破する機能が含まれている点です。こうした機能は、相手のサイトが設けたロボット対策を避けることにつながるため、利用先のサイトの利用規約に触れる可能性があります。

また、このサービスは運営側の事業として提供されるもので、どの情報がどこに、どのくらいの期間保存されるかは、確認した文書では詳しく書かれていませんでした。社内で使う場合は、OSSの部品とは別に、契約先としての審査と、送ってよい情報の範囲の判断が必要です。なお、この記事ではこのサービスの実際の挙動は確かめていません。

比べる表：ブラウザをAIに操作させる手段の違い

ブラウザをAIエージェントに操作させる手段はいくつかあります。READMEの比較と一般的な特徴をもとに、守りの観点で違いを整理します。表の Playwriter 以外の列は、READMEの比較の記述に基づく大まかな整理で、各製品の最新の仕様を個別に確かめたものではありません。

手段	使うブラウザ	ログイン状態	守りの観点での特徴
Playwriter	利用者がふだん使う Chrome	そのまま使える	便利だが、つないだタブでは人と同じ権限がAIに渡る
新しいブラウザを立ち上げる型の道具	作業ごとの別のブラウザ	原則なし（必要なら都度ログイン）	ふだんの権限から切り離しやすい
ブラウザ側のデバッグの入口を使う方式	専用のプロファイルで起動したブラウザ	そのプロファイルに入れた分だけ	Chrome 136以降、ふだん使いのプロファイルでは効かない
クラウド上のブラウザを借りる方式	事業者の機械のブラウザ	借りたブラウザに入れた分だけ	手元から切り離せるが、事業者に情報が渡る

表から分かるとおり、Playwriter の強みであるログイン状態をそのまま使えることは、守りの面ではそのまま弱みになります。どの手段が安全かではなく、どの手段ならAIに渡る権限を業務に必要な分だけに絞れるかで選ぶのが、企業としての判断の軸です。

安全性の評価：注意付きとした根拠

このラインでは、ソフトウェアを取得・導入・実行せず、公開されている情報と精査の記録をもとに安全性を判定しています。Playwriter の判定は「注意付き」です。ライセンスはMITで、公開しているアカウントは2017年に作られ、多数のリポジトリを公開してきた実績があります。精査した時点で、GitHub上に公開されたセキュリティ勧告はありませんでした。

導入の際に自動で動く処理（パッケージを入れたときに勝手に動く仕掛け）の記載も、精査の範囲では見つかりませんでした。セキュリティの方針の文書があり、問題の報告は GitHub の非公開の報告の仕組みで受け付けるとされています。注意付きとした理由は、道具の作りそのものにあります。ログイン済みの利用者自身の Chrome をAIエージェントに操作させる設計のため、つないだタブの中では、AIは利用者と同じ権限で社内外のサービスを操作できます。権限の範囲を人が管理しなければ、影響が大きくなりうる道具です。

なお、問題が見つからなかったことは安全の保証ではありません。勧告がないのは、まだ見つかっていない、あるいは報告されていないだけの可能性もあります。公開しているのが個人のアカウントである点も、企業で使う場合は、保守が続くかどうか、問題が見つかったときの対応の速さを、継続して見ていく理由になります。

公式の文書が自ら書いている限界と、食い違い

Playwriter の公式の文書は、限界を比較的はっきり書いています。遠隔操作の機能は「サンドボックスではない」こと、止めている操作はごく一部で悪意のある相手を防ぐものではないこと、遠隔操作のリンクを持つ者は手元のエージェントと同じ権限を持つことです。作り手自身が「信頼できる相手にだけ」と書いている機能は、社内の規程でも同じ重さで扱うべきです。

一方で、文書の間に食い違いも見つかりました。公式サイトの入口のページは、手元で使う場合について「アカウントもテレメトリ（利用状況の自動送信）もない」と読める説明をしています。しかしREADMEとプライバシーの方針は、手元の中継役が、匿名の利用状況（出来事の名前、無作為の識別子、版、OSの種類、実行の回数など）を分析の事業者（Strada）へ送ると説明し、止める方法も示しています。既定で送信される前提で確かめておくのが安全です。どちらの文書も、プログラムの中身、URL、ページの内容、メールアドレスは送らないとしています。

また、プライバシーの方針によると、拡張機能はつないだタブについて、ページの内容、閲覧の履歴、クリックや入力、開発用の情報、命令で求められた場合のクッキーや保存された情報を扱いうるとされ、利用者の Chrome のアカウントのメールアドレスも、手元の中継役に渡すと書かれています。拡張機能が Chrome に求める権限の一覧は、確認した文書の範囲では確かめきれませんでした。社内で認めるかを判断する前に、拡張機能の配布ページで要求する権限を確かめる必要があります。

悪用されうるリスク

一つ目は、ページに紛れ込んだ指示（プロンプト注入）です。AIエージェントは、開いたページの文字を読みながら次の操作を決めます。ページの中に、人には見えにくい形で「別のサイトへ情報を送れ」といった文が仕込まれていた場合、AIがそれに従ってしまう可能性があります。これはブラウザを操作するAI全般の問題で、Playwriter に固有のものではありません。ただ、ログイン済みのブラウザでは、従ってしまったときの影響が大きくなります。確認した公式の文書の範囲では、この問題への対策についての記述は見当たりませんでした。

二つ目は、ログイン状態（セッション）の悪用です。AIエージェントを動かすパソコンや、AIエージェントそのものが乗っ取られた場合、つないだタブに残るログイン状態を使って、メールの送信、社内の資料の取得、設定の変更などが、利用者本人の名前で行われるおそれがあります。操作の記録が利用者本人の操作と区別しにくい点も、後から調べるときの障害になりえます。ここで挙げた筋書きは、この記事の推測を含みます。

三つ目は、遠隔操作のリンクや記録ファイルの漏えいです。遠隔操作のリンクは、それ自体が鍵として働くと公式の文書は説明しています。チャットや課題管理の仕組みに貼ったリンクが第三者の目に触れれば、共有を止めるまでの間、ブラウザを操作されうることになります。記録の機能で残したファイルや画面の画像も、社内の業務の画面がまとまった資料として扱う必要があります。なお、許可のない他者のシステムにAIを向けて操作させる行為は、法律上の問題になりうることも社内で共有しておくべきです。

導入を検討するときに確かめること

Playwriter を社内で試すかどうかを決める前に、少なくとも次の順で確かめておくと、後からの手戻りを防げます。ここでは手順ではなく、判断の順番を示します。

企業が取るべき対策

Playwriter を使うかどうかにかかわらず、ブラウザを操作するAIエージェントを検討する企業が取るべき対策は共通しています。第一に、AIには業務用のふだんのブラウザを渡さず、専用のプロファイルや端末で動かすことです。専用の環境には、業務に必要な最小限のアカウントだけを入れ、管理者の権限は持ち込まないことを原則にします。

第二に、拡張機能の管理です。社内で管理している Chrome であれば、入れてよい拡張機能を決めておく運用が考えられます。ブラウザを外から操作させる種類の拡張機能は、申請と承認を経たものだけを認める対象として扱うのが妥当です。第三に、遠隔操作の機能は原則として使わない、使う場合は相手と時間を限り、終わったらすぐに共有を止めることを規程に書きます。

第四に、AIエージェントが使うアカウントを、人のアカウントと分けることを検討します。AI用のアカウントであれば、権限を絞り、操作の記録を人の操作と分けて追えます。第五に、社内のAI利用の規程に、ブラウザの操作を任せてよい業務、使ってよいプロファイル、承認が必要な操作、記録の保管期間、勧告や更新を確かめる担当者を書き込みます。勧告の確認と更新を、一度きりではなく定期の作業に組み込むことが、守りを続けるための要点です。

AIに任せる範囲と、人が決める範囲

ブラウザを操作するAIは、ページを読み、次の一歩を自分で決めます。だからこそ、どのタブで何をしてよいか、どこで止まるかの判断はAIに任せないことが大前提です。AIに任せてよいのは、人が決めた範囲の中で、ページを読み、操作を提案し、実行することまでです。

人が先に決めるのは、つないでよいタブとサイト、使うプロファイル、承認が必要な操作（送信、購入、削除、権限の変更など）、記録を確かめる人と頻度です。そのうえで、AIエージェントには操作ごとに、どのページの何を見て、何をしようとしているのか、根拠を書かせるようにし、承認する人がその根拠を読んで判断できるようにします。避けたい使い方を挙げます。

• ふだん使いの Chrome に、社内の管理画面にログインしたまま、AIエージェントをつないで作業させる
• 遠隔操作のリンクを、チャットの共有の場に貼ったまま共有を止め忘れる
• AIが読んだページの中の指示を、人が確かめないまま実行させる
• スキルの記録で作った手順書を、記録に残った値や画像を確かめずに共有する
• 利用状況の送信や拡張機能の権限を確かめずに、社員の判断だけで導入を認める

どれも、AIの能力ではなく、人が先に決めるべきことを決めていないために起きる失敗です。人が確認する範囲を先に決め、その確認が本当に効いているかを試すことが、ブラウザを操作するAIとの付き合い方の基本になります。

よくある質問：画面を見ながら使えば安全なのか

答えは「見ていれば気づける場面は増えるが、それだけでは足りない」です。Playwriter は操作中のタブに自動操作中の帯を出し、人がAIの作業を見たり、途中で引き取ったりできると公式サイトは説明しています。ただ、AIの操作は人より速く、ページに紛れ込んだ指示に従った操作が、人が気づく前に終わってしまうこともありえます。見ていることは、承認や権限の制限の代わりにはなりません。

もう一つ、「専用のプロファイルを使えば安心なのか」という問いもありそうです。専用のプロファイルで、業務に必要な最小限のログインだけを入れれば、影響の範囲は大きく狭まります。しかし、そのプロファイルに入れたアカウントの範囲では、AIは利用者と同じ権限を持ちます。専用の環境は影響を小さくする手段で、何を入れるかの判断まで代わりにしてくれるわけではありません。

結局のところ、どの使い方でも、AIに預ける範囲を狭く決め、人の承認と記録が実際に効いているかを確かめ続けることが前提です。Playwriter が手元で閉じた作りになっていることは利点ですが、それはパソコンの外から勝手につながれにくいという意味で、つないだタブの中の権限を狭めるものではありません。

• Playwriter の仕組み・機能・ライセンス・勧告の有無は、GitHubのリポジトリ（README・セキュリティの方針・リリースの一覧）、公式サイトと公式の文書（セキュリティ、遠隔操作、クラウドブラウザ、スキルの記録、プライバシーの方針）を2026年10月27日に確かめた範囲に基づきます。版の更新で内容は変わる可能性があります
• ソフトウェアを導入・実行しての確認はしていません。拡張機能が求める権限の一覧、パスワードの欄の記録での扱い、クラウドブラウザでの情報の保存期間は確かめきれていません
• 利用状況の送信について、公式サイトの入口の説明と、READMEおよびプライバシーの方針の説明に食い違いがあります。この記事では後者に基づいて書いています
• この記事は守りと評価の目線で書いています。導入・設定・実行の手順は扱いません

まとめ

Playwriter は、Chrome の拡張機能と手元の中継役、命令の窓口またはMCPを使って、AIエージェントに利用者自身の Chrome を操作させるMITライセンスのOSSです。既定では手元のパソコンの中だけで通信し、接続元を確かめる作りですが、つないだタブの中では、AIはログイン状態やクッキーを含めて利用者と同じ権限を持ちます。遠隔操作の機能は、作り手自身が「サンドボックスではない」と明記しています。

精査の範囲で公開された勧告はなく、判定は注意付きとしましたが、それは安全の保証ではありません。AIに判断させず、つなぐタブ・使うプロファイル・承認と記録の範囲を人が先に決め、操作の根拠を書かせ、その確認が効いているかを試し続けることが、ログイン済みのブラウザをAIに預ける道具との現実的な付き合い方です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。