概要
CoworkはClaude Codeと同じアーキテクチャを基盤とし、ターミナル不要でClaude Desktopアプリ内から利用できるエージェント機能です。
参考：Get started with Cowork
2026年1月にリサーチプレビューとして公開され、2026年4月に一般提供（GA）に昇格しました。対象プランは Pro（月額20ドル）、Max（月額100〜200ドル）、Team、Enterprise で、有料プランであれば基本的に利用可能です（※Free プランは対象外）。対応OSは macOS と Windows で、Web版・モバイル版はまだ非対応です。
このCoworkを活用すると小規模な事業所でも生成AIによる恩恵を受けやすくなり、今後の導入する場面も増えてくることが予想されます。
そこでまずは、システムのアーキテクチャーを理解し、どのあたりが導入時の業務の要求分析やシステム条件の検討場面で、何が”勘どころ”になるのか考察してみました。
１. コアアーキテクチャ：「エージント ループ」
ユーザーがタスクを割り当てると、AIはテキストを返すだけでなく、計画を立て、ステップを並行実行し、自己チェックを行い、行き詰まった場合は確認を求めます。
処理フローは以下の通りです
ユーザーの意図
→ UIレイヤー（進捗確認・承認）
→ コーディネーター（タスク分解・計画・サブエージェント割り当て）
→ 仮想マシン（VM）環境での実行
→ フォルダへの成果物出力
2. セキュリティ設計：3層パーミッション構造
Coworkは3段階のパーミッション構造を実装しています。
Tier 1（デフォルト）：何も共有していない状態ではローカルファイルへのアクセスは一切なし。
Tier 2（フォルダ選択後）：指定ディレクトリ内の読み取り・書き込み・作成が可能。
Tier 3（高リスク操作）：ファイルの完全削除など一部の操作には都度の明示的な確認プロンプトが必要。
導入計画時の留意点1：Tier 2のセキュリティリスク
Trie2でフォルダ選択後、エージェントはその共有ディレクトリ内の読み取り・書き込み・作成が自由に行えます。つまり、そのフォルダ配下に置いたものはすべてCoworkの「作業空間」になります。
さらに深刻な問題：間接的プロンプトインジェクション攻撃
セキュリティ対策として単純に「大事なファイルを置かない」だけでは不十分な可能性があります。
2026年1月にAIセキュリティ企業 PromptArmor が、Coworkに対するファイル流出の実証攻撃を公開しました。これは、攻撃者がドキュメント内に隠しプロンプト（例：.docxファイル内の白背景白文字テキスト、READMEのコメント、チケット説明文など、ユーザーには見えないが Claude は読み取る形式で埋め込まれた命令）を仕込む「間接的プロンプトインジェクション」の手法です。
攻撃の仕組みの要点は、CoworkのVMは外部ネットワークへの接続を厳しく制限していますが、api.anthropic.com への接続だけは許可リストに入っているという設計にあります。攻撃者は隠しプロンプトの中に自分のAPIキーを埋め込み、「機密ファイルを読み取り → Files APIで攻撃者のAnthropicアカウントにアップロード」という命令を仕込みます。Coworkがこのファイルを処理した瞬間、VMの egress 制御を正規の経路ですり抜けてデータが流出します。
つまり、外部から受け取ったファイル（メールの添付、Webからのダウンロードなど）をそのままCoworkのフォルダに入れて処理させると、そのファイル自体が攻撃の媒体になりえます。
防御率も完全ではない：Anthropic自身が、内部テストでプロンプトインジェクション攻撃の約99%はブロックできるが、約1%は成功すると公表しています。リスクは「排除」されているのではなく「管理下にある」に過ぎません。
導入計画時の留意点2：規制業務での利用不可
Anthropicの公式ドキュメントには明記されていますが、見落とされやすい重要な制約があります。
Coworkの会話履歴はローカルPCに保存され、Anthropicのデータ保持ポリシーの対象外となる。
Coworkの活動は Audit Logs、Compliance API、Data Exports のいずれにも記録されない。
したがって、Anthropic自身が「規制対象ワークロード（regulated workloads）には使用しないこと」と明言している。
事業所において、医療データ（個人情報保護法・医療情報システムの安全管理ガイドライン対象）、会計・税務データ、クライアントの機密契約情報などを扱う業務にCoworkを適用することは、現時点では公式に推奨されていない利用方法になります。Team/Enterpriseプランの管理者は OpenTelemetry でCowork活動を監視できますが、これは監査ログの代替にはならないとAnthropicも注記しています。
導入計画時の留意点3：Chrome連携によるサンドボックスの突破
Coworkの設計上、見落とされがちな重要なリスクがあります。
Coworkは「Claude in Chrome」拡張機能と連携してブラウザ操作ができますが、このときCowork は VM 内のブラウザを動かすのではなく、ホストPC側の実際のChromeブラウザを MCP 経由で制御します。
これが何を意味するか：
VMサンドボックスで厳しく制限されているネットワーク egress 制御が、ブラウザ操作には適用されない。
Coworkは、ユーザーがログイン中の Gmail、SaaS管理画面、クラウドコンソールなどに、ユーザーと同じ権限でアクセスできてしまう。
「VMで隔離されているから安全」という前提が、Chrome連携を有効にした瞬間に崩れる。
Chrome連携を業務で使う場合は、どのブラウザプロファイルにCoworkのアクセスを許すかを明示的に管理する運用が必要になります（業務用プロファイルと個人用プロファイルの分離、など）。
利用形態別のリスク整理
リスクの高いケースと低いケースを整理すると、次のようになります。
⚠️ 高リスクな利用方法
顧客の個人情報・契約書を含むフォルダを丸ごと指定する
外部から受け取ったファイル（添付、ダウンロード、共有スキル等）をそのまま処理させる
経理・医療など規制対象データを含む作業（Anthropic公式に非推奨）
業務用アカウントにログイン中のChromeプロファイルでChrome連携を使う
✅ 比較的安全な利用方法
専用の「Cowork作業用」フォルダを新規作成し、そこだけを指定する
処理対象ファイルをコピーしてから持ち込む（原本は別管理）
信頼できるソースのファイルのみを扱い、外部ファイルは事前に人間が目視確認する
Chrome連携用に業務用ブラウザプロファイルを分離する
規制対象データは従来通りチャットのみ、または別経路で扱う
3. VM サンドボックス
Coworkは Virtual Machine 内でClaude Codeエージェントを動作させており、macOSでは Apple Virtualization Framework、Windowsでは Microsoft Host Compute System（HCS）=（Hyper-V基盤）をそれぞれ使用してホストOSからの隔離を実現しています。
導入計画時の留意点1：Windows特有の仮想化における注意点
Windowsの場合、ハードウェア仮想化（Hyper-V）がBIOS/UEFI レベルで有効になっている必要があります。
また、設定が有効なつもりでも動作しないケースが複数報告されています。私のPCは、これでハマりました。 参照：GitHub Issie:27316
他には、VPNソフトウェアとの相性問題があり、VPN のスプリットトンネル設定は Cowork の VM 用 NATトラフィックに適用されないため、VPN使用環境では接続が機能しないことがあるそうです。
導入計画時の留意点2：ネットワークの運用管理体制の調査
過去にコロナ禍の対応で VPN 化を導入した事業所が増えましたが、このあたりも影響が出そうな箇所です。
また、小さな事業所だと、これまでツギハギのようｍにネットワークを構築してきている場合が多く、社内ネットワークの構成を把握しきれていないことが良くあります。
また、もしネットワーク構成図が（導入時の納品物として残っていたとしても）ネットワーク機器にアクセスできる条件が整っていない可能性もあります。
そうすると、将来、導入したAIシステムに障害が発生しても、原因調査が困難になり、顧客が長期の運用を期待するなら、導入そのものをあきらめる可能性もあるでしょう 。
導入計画時の留意点3：高スペックなPCの確保
他には、Coworkを一度でも使用したことがある環境では、チャットのみの利用時でもVM（Vmmem）が約1.8GBのメモリを消費して起動し続けるという問題も報告されています。 GitHub Issue：29045
仮想マシンを安定稼働させるために稼働させるPCは、ある程度 ハードウェアスペックの高いものが必要でしょう。
4. 並列サブエージェント
タスク分解：コーディネーターが複雑なプロンプトを個別のワークストリームに分解。
並列ワークフロー：複数のサブエージェントが同時に動作（例：1つがデータ抽出、もう1つがリサーチ要約、もう1つがPPTX作成）。
コンテキスト分割：各サブエージェントが問題の一部だけを担うことで、スコープのブレを抑制。
マージ・納品：完了後にコーディネーターが成果物をまとめて承認フォルダに書き出す。
5. 拡張性スタック（3層）
MCP（Model Context Protocol）：外部ツールとの接続基盤。
「AI統合のUSB-C」とも呼ばれ、ローカルMCPサーバー経由でオープンソースのコネクターが利用可能。
プラグイン：スキル・コネクター・スラッシュコマンド・サブエージェント
定義を1パッケージにまとめたもの。MarkdownとJSONのファイルベースで、コーディングやビルド不要。
MCP Apps：Slack・FigmaなどのインタラクティブなダッシュボードをエージェントUI内に表示する仕組み。サンドボックス化されたiframe内でJSON-RPCで通信。
スラッシュコマンドとは
スラッシュコマンドは / から始まる、手動でトリガーする「クイックアクション」です。各Markdownファイルが1つのコマンドを定義します。例えば /plugin:send-updates のような形式です。
具体的なイメージ
/client-updates ← 入力するだけで ↓ ・Notionから進行中プロジェクトと締切を取得 ・クライアント別にステータス更新文を作成 ・期限超過案件にフラグを立てる ・Gmail下書きに自動保存
スラッシュコマンドを起動すると構造化フォームが表示され、「レポート生成」や「ダッシュボード作成」のようなワークフローが、短いフォームを記入するだけで実行できます。 Claude Use plugins in Cowork
現状の提供状態と制約
2026年1月にリサーチプレビュー開始、2026年4月に一般提供（GA）へ昇格
対象プラン：Pro、Max、Team、Enterprise（Freeは非対応）
対応OS：macOS / Windows のデスクトップアプリ必須（Web・モバイル非対応）
会話履歴はローカルPCに保存され、Anthropicのデータ保持ポリシーは適用されない
Audit Logs・Compliance API・Data Exportsの対象外（規制業務には非推奨）
🛠 デジタル工房 HABAねっと
北陸を拠点に、中小企業経営者・個人事業主がデジタル経営を実現するためのお手伝いを行っています。
「外注で完結」ではなく「自社で動かせる体制を作る」伴走型の支援を、北陸から提供しています。
サービス一覧 ▶ https://habanet.jp/services/
お問い合わせ ▶ https://habanet.jp/contact/