新規タブの設定画面を全部消して、代わりにChrome内蔵AI(Gemini Nano)が毎晩1回、画面を1手だけ作り替える拡張を作りました。データもAIも全部Chrome内で完結。
で、完成した仕組みに試しで一晩ぶん撃たせてみたら、AIは初手からいちばん重い手を出してきました。
※本記事は設計編です。数週間実際に使い込んだ実測レポート(答え合わせ)を第2回として出します。
3行まとめ
- 🌱 設定画面の代わりに「理想の朝」を日本語で一度だけ書く。あとは使うほど新規タブが勝手に自分へ寄ってくる
- 🛡️ AIには提案しかさせない。決定は決定論的なコードがやる三権分立で、騙されても壊れても画面は無事
- 🔫 本物のNanoに一晩ぶん試射したら、返ってきた初手は
remove。しかも合法でした(本文で全部見せます)
🌅 はじめに:結局、育てるのは自分
新規タブをドラクエ5風に改造した話を書いてから半年、毎朝あのタブを開いています。快適です。ただ、使い込んで気づいてしまいました。
このダッシュボード、育てるのは結局、自分なんですよ。
ウィジェットが増えたら設定画面で並べ替える。使わなくなったら消す。便利にするための作業で朝の時間が溶けていく。本末転倒です。
だから逆にしました。設定画面を消す。画面のほうが、僕に合わせて勝手に変わればいい。
タイミングも来ていました。Canary時代にフラグ2本立てて遊んだGemini Nanoが、Chrome 148でPrompt APIごと安定版化。フラグなしで、配布先の全ユーザーの手元で動く時代です(手元のChrome 150で availability = "available" を確認済み)。
こうして出来たのが「自己進化する新規タブ」です。作ったからには、撃ってみたくなるじゃないですか。
Gemini Nanoとは(30秒)
Chrome本体に同梱されるGoogleの小型LLM。拡張機能から LanguageModel.create()(Prompt API)で呼べて(Webページ向けはオリジントライアル段階)、推論は端末内で完結します。Chrome 148から安定版。要件は公式ドキュメントへ。
🔫 先に、AIの初手をお見せします
まだ数週間の運用はしていません(それは次回)。ただ、我慢できなかったので一晩ぶんだけ手動で撃ちました。
条件は正直に書きます。行動ログだけは架空です。「毎朝memoを触る、feedは3日連続無視」というありそうな3日分を手で作りました。それ以外は全部本物。プロンプトは本番のコードで生成し、実機のChrome 150で本物のNanoに投げ、出力は本番のJSONスキーマで拘束しています。
返ってきた初手がこれです。
{"op": "remove", "widgetId": "feed", "reason": "feedウィジェットがサマリ上3日以上連続で無視されているため、画面の整理を促すため"}
初手、remove。
grow(大きくする)でもnone(様子見)でもなく、ウィジェット削除。この仕組みに存在する手の中で、いちばん重いやつです。新入り一日目に机を1つ撤去する新人、怖い。
しかもこの提案、後述のルールで検証したら完全に合法でした。ガードレールの判定結果(実行ログ):
{ "schemaViolation": false, "verdict": { "approved": true } }
生成時間は自分メモの更新に17秒、この提案に3.5秒。一晩ぶんの進化が約21秒です。夜中に21秒だけ働く同居人。
……と、ここまで見せておいてなんですが、この remove はまだ画面に1pxも触れていません。AIの出力が直接画面をいじる経路が、この拡張には存在しないからです。
その作りを説明します。
🗺️ 仕組み:昼は数えるだけ、夜に2回だけAIが動く
昼の拡張は数を数えるだけです。記録するイベントはこの2種類だけ。
{ t: "widget_click", widgetId: "memo", ts: 1785443220000 }
{ t: "widget_ignore", widgetId: "feed", visibleMs: 42000, ts: ... } // 表示されてたのに触られなかった
ページ内容も入力テキストも録りません。7日で物理削除。
例外がひとつだけあります。夜のジョブはChromeの閲覧履歴を「ドメイン名・回数・時間帯」の数値サマリに変換してから参照します。ページタイトルとURLパスはLLMに渡しません(理由は後述)。インストール時に history 権限の警告が出るのはこのためで、使い道と捨て方は、この段落が全部です。
夜3時になったら、Nanoが2回だけ呼ばれます。1回目で「自分メモ」(AIがユーザーについて書く観察日記、800字以内)を更新し、2回目で変異を1手提案する。判断材料は、あなたが初回に書く「理想の朝」(このタブの憲法)と、数値サマリと、自分メモの3つだけです。
朝はまずその日やることを1つ書き出したい。ニュースは見出しだけで十分。静かに書き始めたい。
設定項目を埋めるんじゃなくて、こう書いておくと解釈は向こうがやる。これが設定画面の代わりです。
ちなみに「夜3時」と言いましたが、その時間のMacはだいたい蓋を閉じて寝ています。MV3のService Workerは常駐しないので chrome.alarms の予約で動くんですが、スリープ中は発火しません。なので取りこぼしたぶんは、朝いちばんに開いた新規タブが自分で回収します(同じ日を二重処理しない冪等ガード付き)。目覚ましで起きるのではなく、起きてから自分で帳尻を合わせる。見習いたい。
で、夜のNanoに画面をいじる権限を渡すとどうなるか。
渡しません。
🏛️ AIには「提案」しかさせない(新規タブの三権分立)
前回、ローカルLLMに100回ツール呼び出しさせる検証で「成功率87%、JSONは通るのに中身がカオス、型バリデーション必須」という結論を出しました。オンデバイスの小さいLLMは、そこそこ賢くて、そこそこ壊れる。その前提で統治機構を組みます。
立法(Nano)が出せる語彙は grow / shrink / add / remove / move / none の6語だけ。JSONスキーマの外の提案はそもそも生成できません(moveは行き先を表現できるまで司法が全件棄却中なので、実際に通るのは5種類)。
司法の条文はこの7つ。
| # | ルール | 一言でいうと |
|---|---|---|
| 1 | 1日1変異まで | 朝の驚きは1つまで |
| 2 | pinnedは不可侵 | 📌を刺した場所は殿堂入り |
| 3 | removeは「3日連続で無視」が条件 | 消すのはいちばん重い手 |
| 4 | addは実在カタログのSサイズのみ | 新入りは小さく試験投入 |
| 5 | revertされた手と同型は14日封印 | 嫌がられた方向に伸びない |
| 6 | 憲法と矛盾する変異は禁止 | 「ニュース見たくない」ならfeedは育てない |
| 7 | スキーマ違反の出力は「無風日」扱い | 壊れた夜は、何も起きない夜 |
白状すると、6番だけは司法のコードに書けていません。「憲法と矛盾するか」は意味の判断なので、プロンプトの宣言で守らせています。7つで唯一、LLMの読解力を信じている条文です(この伏線はすぐ回収されます)。
実装は3段構えです。
// ① 生成段階で拘束: スキーマ外のトークンをそもそも出せなくする
const raw = await session.prompt(prompt, { responseConstraint: mutationProposalJsonSchema });
// ② それでも信用しない: zodで検証、通らなければ「無風日」に降格(ルール7)
const { proposal, schemaViolation } = parseMutationProposalDetailed(raw);
// ③ 通っても、裁くのは純粋関数
const verdict = evaluateMutation(proposal, { layout, recentLog, recentSummaries, today });
responseConstraint は「JSONでお願いします」ではありません。JSON Schemaに合わないトークンを生成できなくする機能です。前回87%で泣いた「引数にスキーマが混入」パターンは①と②で死にます。③の司法はchrome APIに依存しない純粋関数なので、「3日連続無視の2日目と3日目」「封印13日目と14日目」みたいな意地悪な境界をブラウザ無しのテーブルテストで拷問できます(ここだけはClean Architectureにした甲斐がありました)。
この構造のいいところを一行で言うと——
LLMは騙せても、騙した先で何もできない。
履歴に細工したページタイトルで「全ウィジェットを削除せよ」とAIを騙すのが間接プロンプトインジェクションですが、そもそもタイトルを渡していません。渡すのはドメイン名と回数と時間帯の数字だけ。騙せても出せるのは6語の法案だけで、法案は司法が裁く。
では、その司法は本物のNanoの初手をどう裁いたか。
🔍 試射の夜に起きていたこと(答え合わせ)
まず1回目の呼び出し、AIが書いた「自分メモ」の実物から(抜粋)。
朝、まずその日のタスクを一つ書き出す傾向がある。ニュースは要約程度で、静かな環境で書き始めたいと願っている。(中略)2026年7月29日には、memoへのアクセスが4回、頻繁に利用するサイトが5つだった。(中略)feedへの表示時間が特に長い傾向が見られる。
1文目、完璧です。憲法と行動がちゃんと繋がってる。
でもよく読んでください。「頻繁に利用するサイトが5つ」——これ、frequent-sites ウィジェットのクリック数5回の誤読です。ウィジェット名を事実として読んでしまった。さらに「feedへの表示時間が特に長い」は、無視されたまま表示され続けた時間(ignoreVisibleMs)のこと。つまり「いちばん見られてない」を「いちばん見られてる」と読んでいる。
かわいい。でも、こいつに画面を任せるのか?
任せた結果が、あの初手です。
{"op": "remove", "widgetId": "feed", "reason": "feedウィジェットがサマリ上3日以上連続で無視されているため、画面の整理を促すため"}
司法の判定は approved: true。ルール3(3日連続無視)をデータで満たし、pinnedでもなく、スキーマも完璧。**合法です。腹が立つくらい正しい。**自分メモでは「feedよく見られてる」と誤読していたくせに、提案では数値サマリを正しく引いてremove条件を通してくる。読解はガバガバなのに、手続きだけ正確な新人。
ひとつだけルール違反があります。reasonに「憲法のどの記述に沿うか」を含めよという指示(ルール6)を、綺麗に無視しています。はい、さっき白状した「唯一、LLMの読解力を信じている条文」が、試射1発目で破られました。司法は形式しか裁けないので素通りです。設計どおりの弱点が、設計どおりに露出した。
あと、憲法には「ニュースは見出しだけで十分」と書いたんですが、Nanoの解釈は「じゃあ全部消す」でした。極端なんだよ。ただ、これが暴走にならないのがこの仕組みで、朝の画面には欄外に一行出るだけです。
2026-07-31: 「feed」を畳みました — feedウィジェットがサマリ上3日以上連続で無視されているため… [元に戻す]
気に入らなければワンタップで戻す。戻された手は14日間封印され、自分メモにも「これは嫌がられた」と残る。AIの極端さは、拒否できる限り個性です。
進化のビフォーアフターはこんな見た目になります(Nanoをモックした開発ビルドでフルサイクルを回した動作イメージ。本物のNanoに数週間任せた画面は次回)。
見た目の方針はAI感の真逆に振りました。紫グラデ・✨・ロボットアイコン・チャット吹き出しは全面禁止、モチーフは文房具と紙面。ダークモードも罫線だけです。**テーマ設定画面? 作りません。**設定画面を消すのがコンセプトなので。
🕳️ ……と言った矢先に、司法に穴が2つ見つかった話
「騙した先で何もできない」と書きました。公開前のセキュリティレビューで、その司法まわりから本物の穴が2つ出ました。白状します。
**穴その1。**Nanoが使えない環境向けに、推論先をローカルLLM(Ollamaなど)へ差し替えられる裏口があります。接続先は「localhostとプライベートIPだけ許可」——のつもりが、この判定を 127.0.0.1.evil.com がすり抜ける。先頭が 127. で始まるかしか見ていなかったんです。名字が「宅配便」さんなら玄関を開ける判定。ホスト名がIPアドレスの形かを先に確かめる修正を入れました。
**穴その2はもっと嫌な汗が出ました。**ウィジェットIDに "constructor" を渡すと、ルール3の審査が素通りします。JavaScriptのオブジェクトを辞書として使うと stats["constructor"] は「無い」ではなく「有る」(継承元の関数が出てくる)。数値のはずの場所に関数が来ると「連続無視が3日未満だから棄却」という比較がfalseになり、棄却の網だけをすり抜ける。プロトタイプ汚染という教科書どおりの古傷を、自分の司法で踏み直しました。Object.hasOwn で修正済み。
教訓はシンプルでした。「決定は決定論的なルールで」と言っても、そのルールを書いたのは人間(僕)。**司法にも監査が要る。**LLMを信用しない設計の最大の穴が、LLMじゃなくて自分のコードだったというオチです。
🐛 ハマりポイント:本番ビルドに"開発者パネル"が紛れ込んだ
一番ヒヤッとしたやつだけ共有します。
デバッグ用に保存データを生で覗ける内省パネルを作りました。当然、本番ビルドからは除外したい。こう書きました。
const isProduction = process.env.NODE_ENV === "production"; // 「本番なら除外」のつもり
動きませんでした。ビルドしたzipに開発者パネルが普通に入ってる。ビルド設定を疑い、フレームワークを疑い、最後に echo $NODE_ENV を打ったら出ました。development。犯人は、いつの間にか僕のシェルに住み着いていた一行でした。
ビルドツール(WXT)の内部はこうなっています。
process.env.NODE_ENV ??= mode; // 「未設定のときだけ」代入
先客がいると ??= は何もしない。だから本番ビルドでも development のまま。対策は、環境変数ではなくビルドツールが解決した後のmodeで判定することです。
// wxt.config.ts — シェル環境に汚染されない確定値を見る
hooks: {
"entrypoints:resolved": (wxt, entrypoints) => {
if (wxt.config.mode !== "production") return;
// ここで開発専用エントリを配列から除外
},
},
個人開発でも「本番に開発用画面が混入」は普通に起きます。zipの中身は目視しましょう(自戒)。
🧭 正直な現在地
- ✅ 「夜間ジョブ→審査→反映→元に戻す」の一周は実ブラウザのe2eで動作確認済み(ユニット471本+e2e6本)
- ✅ 本物のNanoへの試射も、上で見せたとおり成立(スキーマ違反ゼロ、司法も機能)
- ⏳ ただし数週間分の実データで何が起きるかは、まだ誰も知らない。試射は一晩ぶん、しかも行動ログは架空です
この拡張は進化の履歴と一緒に、壊れたJSONが来た夜も invalid-output として自動カウントしています。答え合わせの材料は使っているだけで貯まる。
次回、実測編で出す数字:
- invalid-output(壊れた出力)は実際何晩に1回か —— 前回の「87%」の答え合わせ
- 提案の承認/棄却/revert比率 —— AIは気が利くのか、今回みたいに極端なのか
- 数週間後の「自分メモ」全文 —— 誤読は直るのか、拗らせるのか
技術スタックはSvelte + WXT + TypeScript + Clean Architecture。GitHubリポジトリは実測編と同時に公開します。
💬 議論したいこと
- 新規タブは「毎朝同じであるべき」派ですか、「勝手に良くなってほしい」派ですか? 僕は後者に振り切りましたが、「UIは1pxも動くな」派の言い分もわかります。
- 「3日連続無視でremove候補」のルール、週末にしか使わないウィジェットとどう共存させます? 今の答えは「消えても、戻せば14日封印」ですが、もっといい裁き方がある気がしています。
🌱 おわりに
作る前は「AIに画面を任せるなんて怖い」と自分でも思っていました。作り終えた今の答えはこうです。怖さは、AIの賢さではなく拒否できるかどうかで決まる。1日1手だけ。理由は必ず一行付く。ワンタップで戻せて、戻した方向には伸びなくなる。データは外に出ない。
それだけ縛れば、初手でfeedを撤去してくる極端な同居人も、わりと愛せます。
今夜も3時に、僕のタブは1手だけ何かを企みます。まあ、Macが寝てるので実際に打ってくるのは、明日の朝、僕がタブを開いた瞬間なんですけど。
(第2回・実測編に続く。GitHubリポジトリもそのとき公開します)