Cowork自動承認モードとは — Claude Codeのauto modeとの違い

Coworkには「Manual」「Auto」「Skip」という3つの承認モードがあります。作業のたびに毎回確認を求めるのがManual、Claudeが安全性を確認しながら止まらずに進めるのがAuto(Automatically approve)、確認を一切挟まないのがSkipです。モードはチャット入力欄のモードセレクターからいつでも切り替えられます。

Autoモードが実際に何をチェックし何を自動でブロックするのかは、公式ドキュメントに具体的な記述があります。同じ「自動承認」という言葉を使うClaude Codeのauto modeとは仕組みが別物で、両者の違いは後半で扱います。

3つのモードで承認フローはどう変わるか

3つのモードは、通常の操作と書き込み・削除系の操作で挙動が分かれます。

ファイルの完全削除だけは、どのモードでも明示的な許可が必要です。AutoでもSkipでも、削除の直前には必ず「Allow」を選ぶ画面が挟まります。この一点だけはモード設定で回避できません。

なお名称は途中で変わっています。Manualは以前「Ask before acting」、Skipは「Act without asking」と呼ばれていました。挙動は同じで、呼び方だけがわかりやすい形に更新されています。

Autoモードは何を安全性チェックしているか

Autoモードでは、Claudeが各アクションを実行する直前に、データの持ち出し(exfiltration)やプロンプトインジェクションの兆候がないかを確認します。危険と判定したアクションは自動でブロックし、より安全な代替手段を探すか、あなたに直接確認を求めます。ブロックが繰り返し発生する場合は、Claudeの側から手動確認(Manual相当の挙動)に切り替わります。

この安全性チェックは、外部のセキュリティ専門家が危険なアクションをすり抜けさせようと試す形のテストを経て公開されました。Skip all approvalsには存在しないこのチェック層こそが、AutoとSkipを分ける実質的な違いです。

Autoモードの対象はPro / Maxプランに限られ、Team / Enterpriseプランのモード選択肢には含まれていません。プラン別の管理コンソール設定を確認する場合は、Claude Cowork(クロードコワーク)とはの組織管理の節が詳しいです。

Autoモード単体で安全を担保しているわけではない

Coworkの安全設計は、Autoモードの安全性チェックだけで成り立っているわけではありません。公式ドキュメントは防御を複数層に分けて説明しています。

まず、Claudeのツールは「読み取り(Read)」と「書き込み(Write)」の2種類に分類されています。メールを読む・スクリーンショットを撮るといった読み取りは影響が限定的ですが、カレンダー招待の作成・ファイル削除・コマンド実行のような書き込みは意図しない結果につながりやすく、Coworkはこの2つを扱いの異なるものとして設計しています。承認モードが主に効いてくるのは、この書き込み側です。

実行環境そのものも隔離されています。Coworkのタスクは、Anthropicのサーバー上にセッションごとに用意された一時的な環境で動き、セッション終了と同時に破棄されます。ローカルファイルやブラウザーが必要な場面だけ、Claude Desktopアプリを経由して接続済みフォルダーに限定してアクセスします。ただしこの隔離が制限するのは実行場所であり、権限を与えた範囲でClaudeが何を読み何をするかまでは制限しません。外部から読み込んだコンテンツ経由でClaudeを操ろうとするプロンプトインジェクションへの備えは、別途コンテンツ分類器が担っています。

Autoモードの実行前チェックは、この多層防御の1つに位置づけられます。Auto単体を「安全機能のすべて」だと捉えると、コネクタの公開範囲やアプリ単位の許可設定といった他の防御層への注意が薄れがちです。

コネクタの権限設定と組み合わさるとどうなるか

CoworkはConnector側にも「Always allow」「Needs approval」「Blocked」という3段階の権限設定があります。承認モードとコネクタ権限は掛け合わさって最終的な挙動を決めます。

Blockedはどのモードでも拒否、Always allowでもAutoでは書き込み・削除系に安全性判断が入ります。逆にAlways allowにしたツールは、Manualであっても確認なしで動きます。承認モードは「個々のコネクタ設定を上書きする万能スイッチ」ではなく、モードごとに書き込み・削除系の扱いを変える調整レバーだと捉えると挙動が読みやすくなります。

Claude Codeのauto modeとは何が違うか

名前は似ていますが、CoworkのAutoモードとClaude Codeのauto modeは別の仕組みです。Claude Codeの公式ドキュメントは「Coworkタブはこれらのモードを使わない。Coworkは独自の承認モードを別に持つ」と明記しています。設定を混同すると、片方だけ変えたつもりが反映されない、という事故につながります。

Claude CodeのAuto modeは、Pro・Max・Teamプランの端末セッションとVS Code拡張で既定の開始モードになっています(macOS・Linux・WSLはv2.1.228以降、Windowsネイティブはv2.1.233以降が必要)。分類器は破壊的・不可逆・環境外を狙ったアクションをブロックし、autoMode.environmentの設定で信頼するリポジトリやドメインを組織側が事前定義できます。詳しい仕組みはClaude Code auto modeの中身にまとめています。

Coworkの自動承認は「安全側に倒したブラックボックス」、Claude Codeのauto modeは「管理者が信頼境界を書き込める分類器」です。組織のインフラを事前に定義できるかどうかが、両者を分ける実質的な差です。CoworkとClaude Codeを併用するチームは、どちらの画面を触っているかで承認の仕組みが切り替わることを意識したほうが安全です。

claude --permission-mode manual

Claude Code側でセッションを常にManualで開始したいときは、上記のように起動時にフラグを指定するか、~/.claude/settings.jsonのpermissions.defaultModeに"default"を設定します。Coworkのモード設定とは別に管理する必要があります。

導入時に気をつけること

Autoに切り替える前に、Manualで数回タスクを流して挙動を把握しておくと安心です。特に対外メール送信や支出承認のように取り消しが難しい操作を含むタスクは、Autoであっても実行結果をその場で確認する運用が無難です。

Skipは「接続しているコネクタ・ファイル・アプリのすべてを完全に信頼できる」ときだけの選択肢です。安全性チェックそのものが働かないため、プロンプトインジェクションを含む外部コンテンツをClaudeが読んだ場合、そのまま指示として実行されるリスクがAutoより高くなります。

Computer Use(画面操作)を使うタスクは、承認モードの扱いがさらに1段慎重になります。ファイル操作は権限チェックを、コード実行は隔離環境を経由しますが、Computer Useには画面とClaudeの間を隔てるサンドボックスがありません。アプリごとにアクセス許可を求める仕組みはあるものの、許可済みアプリ内でクリックしたリンクは、そのリンク先のアプリへの許可が無くても開きます。Autoモードで画面操作を含むタスクを流すときは、低リスクな操作から段階的に信頼を広げるのが安全です。

よくある質問

Autoモードでもブロックされずに困ることはあるか

あります。安全性チェックが誤って通常の操作を止めることがあり、その場合はClaudeが確認を求めるか、Manualへの切り替えを提案します。頻繁にブロックされるタスクは、コネクタ側の権限設定をAlways allowに見直すか、Manualで実行するほうが速いことが多いです。

削除だけ確認が必要なのはなぜか

取り消せない操作を1つに絞って必ず人間の目を通すためです。ファイルの完全削除はやり直しがきかないため、Auto・Skipを含むすべてのモードで例外として扱われています。

モードの切り替えは誰でもできるか

個人アカウントであればチャット入力欄のモードセレクターからいつでも変更できます。Team / Enterpriseプランでは、書き込み系のコネクタツールについて組織側が承認を必須にしている場合があり、その設定は個人のモード変更より優先されます。詳しくはCoworkとClaude Codeの違いのプラン別比較も参考になります。

まとめ

Coworkの承認モードは、確認頻度だけでなく安全性チェックの有無で3段階に分かれます。Autoは止まらず進みながらも実行前チェックが働く中間案で、Skipはチェックそのものを外す最終手段です。Claude Codeのauto modeとは名前が似ていても別の分類器で動くため、両方を使うチームは画面ごとに設定を確認する習慣を持つのが安全です。