Coworkのスクリーンショットに映る個人情報とその対策

CoworkのComputer Useは、画面の状態を把握するためにスクリーンショットを撮りながら動作します。許可したアプリの画面に映っているものは、個人情報や機密文書を含めてすべてClaudeから見えます。承認は「どのアプリを触ってよいか」の単位で、画面の一部だけを見せる設定は案内されていません。

使えるのはProとMaxのプランです。Team・Enterpriseプランは対象外で、macOSとWindowsのClaude Desktopアプリから、CoworkとClaude Codeで使えます。

画面はどんな順番で撮られるのか

Computer Useは、Coworkがタスクを進めるときの最後の手段です。コネクタ(Gmail・Google Driveなど)がなく、内蔵ブラウザやClaude in Chromeでも足りないときにだけ、Claudeは画面そのものを操作します。

流れ

Claudeが画面を見に行くまで

1. 1

   コネクタを使う

   GmailやSlackなど接続済みのサービスがあれば、APIでデータだけを取得します。画面は撮られません。

2. 2

   ブラウザを使う

   コネクタがなければ、Claude Desktop内蔵のブラウザか、Claude in Chromeで作業します。ここでは開いているページの内容が読まれます。

3. 3

   画面を直接操作する

   どちらも使えないときに、許可されたアプリの画面を撮影し、その画像を手がかりにクリックと入力を行います。

社内の独自ダッシュボードや、コネクタのない専用ツールが主な出番です。コネクタ経由なら数秒で終わるSlackの取得も、画面経由では時間がかかり、誤操作も増えます。画面に頼る場面を減らすほど、見える範囲も狭まります。

許可したアプリの画面は何が見えるのか

Claudeは各アプリに触れる前に許可を求めます。プロンプトが出て、承認して初めて操作できます。ただし許可の単位は「このアプリを触ってよいか」です。承認後は、そのアプリの画面に出ているものがすべて撮影の対象になります。

銀行アプリの残高、顧客リストの氏名、社内チャットの機密のやり取りも、その瞬間に映っていれば同じです。承認ダイアログに、画面の一部だけを隠す選択肢があるとは書かれていません。

承認の有効期間は、現在のセッションの間です。Dispatchから起動されたセッションでは30分です。承認ダイアログには、操作したいアプリ、クリップボードのような追加の権限、作業中に隠される他のアプリの数が出ます。ターミナル・IDEなどには「シェルへのアクセスと同等」、Finderには「任意のファイルを読み書きできる」という警告も付きます。

アプリの種類で、Claudeにできる操作は変わります。Claude Codeのデスクトップ版では、操作の権限がアプリのカテゴリーで固定されています。

権限の段階

アプリのカテゴリー別に、Claudeができること

• 見るだけ

  ブラウザと取引プラットフォームが該当します。スクリーンショットには映りますが、操作はできません。

• クリックだけ

  ターミナルとIDEが該当します。クリックとスクロールはできても、入力やキーボードショートカットは使えません。

• フル操作

  上記以外のすべてのアプリです。クリック・入力・ドラッグ・ショートカットが使えます。

「見るだけ」の段階がある点が重要です。ブラウザは操作できなくても、ログイン済みのページの内容は画面として読み取れます。操作の制限は、見える範囲の制限とは別物です。この段階表の出典はClaude Codeのデスクトップ版の説明で、Coworkの案内ページには同じ表がありません。Coworkで同じ段階が使われるかは、ページから読み取れません。

離席中や別作業中の画面はどうなるのか

実機に作業を任せる場合、Computer Useはパソコンが起動してClaude Desktopが開いていれば動き続けます。席を離れても処理は止まりません。画面が見られる時間は、横で見ている間に限られないということです。

macOS 15以降では、既定でバックグラウンドのウィンドウで作業します。ポインターとキーボードを奪わないので、人間は別の作業を続けられます。タイピング中であれば、Claudeは通常それを待ちます。

背景で動いている場合も、タスクが画面全体を必要とするときは、各セッションで最初に許可を求められます。画面全体を最初から任せるなら、Settings > Generalの「When Claude requests access to an app」を「Full control」にします。

Claude Codeのデスクトップ版には、フォアグラウンドで動くときに関する設定もあります。Claudeは操作を許可されたアプリだけを触るために、他のウィンドウを隠します。終了時は、隠したウィンドウを元に戻します。「Unhide apps when Claude finishes」をオフにすれば、戻さない運用もできます。

「許可」と「安全」について公式ページ同士の言い方が違う

Computer Useの案内ページは、アプリごとの許可が必要だと説明します。一方、Coworkの安全ガイドは、Computer Useを「他のCowork機能にある許可の確認を経ない」ものとして注意します。矛盾に見えますが、どちらも成り立つ読み方があります。

アプリを使う最初の承認はあります。ただし、承認したあとの個々のクリックや入力は、ファイル操作のように1回ずつ人に確認されません。コード実行にあるような隔離の区切りもありません。

各操作は、画面上のプロンプトインジェクション(画面の文字による指示のすり込み)を検出する仕組みで自動的にチェックされます。これはユーザーの承認とは別のものです。

許可と確認についてのこの読みは、2つのページの記述を突き合わせた解釈で、判定の内部仕様が公開されているわけではありません。

サポート記事の側にも、既定でブロックされるアプリの記述があります。投資・取引のプラットフォームと暗号資産のアプリは、Cowork側では既定でブロックされています。Claude Codeのドキュメントは同じ取引プラットフォームを「見るだけ」と書くので、言い方が揃っていません。段階の表と既定のブロックは、別の資料の記述です。

呼び名も揃っていません。サポート記事はComputer Useをベータ版と書き、Claude Codeのドキュメントはリサーチプレビューと書いています。

Claude CodeのCLIから使う場合は、macOS限定です。Windowsで使えるのはデスクトップアプリ経由で、非対話モード(-p)では動きません。

画面を守るために、始める前にやること

対策

始める前の4つの準備

1. 1

   トグルを必要なときだけオンにする

   Settings > Generalの「Enable computer use」で個別にオンにします。最新のClaude Desktopが前提で、既定では動きません。使わない期間はオフに戻します。

2. 2

   ブロックしたいアプリを登録する

   ブロックリスト(Claude Codeのデスクトップ版では「Denied apps」)に追加したアプリは、Claudeからの要求が自動的に拒否されます。医療ポータル、銀行、マッチングアプリが例に挙がっています。

3. 3

   機密情報を閉じておく

   機微な内容を含むファイルやアプリは、操作を始める前に閉じます。許可しないだけでなく、画面に出さないことが対策になります。

4. 4

   単純なタスクで試す

   調査や整理から始めます。指示が具体的なほど、意図しないアプリへの移動は減ります。

金融口座や投資の管理、法的文書や契約書の扱い、医療・健康情報の処理、他人の個人情報を含むアプリの操作は、公式ガイドで強く非推奨とされています。ガードレールは学習と指示で組み込まれたもので、絶対ではありません。ブロックの代わりにはなりません。

自分の状況ごとの判断

アプリの種類によって、気にすべき点が違います。

ターミナルの画面と、見えている範囲の違い

CLIの場合、Claudeがターミナルウィンドウを撮影に含めないことは、対策の一例になります。操作を見守るターミナルが映らないため、自分の画面上の指示が、モデルに戻ってくる経路を閉じています。

スクリーンショットはモデルに送る前に自動で縮小されます。たとえば16インチのMacBook Proでは、3456×2234の撮影が約1372×887になります。縮小のサイズは設定で変えられません。文字が小さすぎて読めないときは、アプリ側の文字サイズを上げるのが公式の案内です。見える情報の粒度は、画面の細かい文字ほど落ちるということです。

CLIでは、中断はEscキーでできます。Ctrl+Cも使えます。Claudeが画面を使い始めるターンごとに、macOSの通知で知らせます。

macOSでは画面収録の許可が、見る経路そのものを決める

macOSでは、トグルをオンにする前にシステムの許可を2つ与えます。アクセシビリティはクリック・入力・スクロールのため、画面収録はClaudeが画面に何が映っているかを見るためのものです。画面収録の許可がなければ、Computer Useのトグルは有効になりません。

Coworkの安全ガイドは、スクリーンショットの撮影を「読み取りツール」に分類します。メールの受信トレイを読む操作と同じ側です。書き込みより低リスクに見えても、画面に映った文字がプロンプトインジェクションの入口になりえます。

許可した範囲の外へ操作が波及することがある

Computer Useは許可したアプリしか操作できませんが、結果が許可の外へ及ぶことはあります。メールアプリでリンクをクリックすると、Chromeを許可していなくても、リンクはChromeで開きます。

Claudeがそのウィンドウの中身を見られないようにする対策はあります。ただし、リンクが開くこと自体は止められません。Claude Codeのデスクトップ版でも、拒否したアプリに対して、許可したアプリの操作を通じた間接的な影響が起こりえると説明されています。

ブラウザ経由でも、画面の中身は読まれる

ブラウザ経由で動く経路は、Computer Useのスクリーンショットとは別物です。Coworkは、Claude Desktop内蔵ブラウザで作業できます。Claude in Chromeのサイドパネルからは、Coworkのセッションそのものを実行できます。ログインが必要なページを含め、開いているページが読まれます。

Chromeのサイドパネルでは、どのタブを開いているかを意識する必要があります。セッションが履歴に保存されるためです。経路が違っても、機密のページを閉じてから触らせる点は同じです。

見た情報がそのままメモリーに残るわけではない

Cowork in the cloudは、チャットのメモリー機能を共有します。ただし、健康情報のように機微とされる話題は、Settings > Memoryの「Include sensitive topics in memory」をオンにしない限り、既定では保存されません。政府発行のID番号・犯罪歴・金融口座番号・在留資格は、この設定に関わらず保存されません。

画面から読み取った内容が、そのまま記憶になるわけではありません。画面に映る範囲は広く、記憶に残る範囲は設定とルールで狭められます。記憶した内容は、いつでも確認・編集・削除できます。

コネクタ側の承認との違い

コネクタでは、ツールごとに「常に許可」「要承認」「ブロック」を選べます。この承認設計はCowork常に許可がグレーアウトする原因と直し方で扱っています。Computer Useにはその粒度がなく、アプリ単位の許可が最小の単位になります。

隔離された実行環境と、見えている画面は別の境界

Coworkのセッションは、Anthropicのクラウド上の隔離環境で動きます。コード実行やネットワークの隔離については、Claude Coworkのデータ取得の仕組みで扱っています。

安全ガイドによれば、隔離が制限するのはClaudeのコードが動く場所です。Claudeが読めるものと実行できることは、制限しません。許可したアプリの画面に何が映るかは、隔離環境とは別の境界です。

Computer Useを使うときに、この境界は自分で管理する対象になります。アプリを許可する前に、その画面に何が映るかを一度考えてみると、対策の抜けが見つかりやすくなります。

まとめ

見えている範囲を決めるのは、承認の画面ではなく、許可した時点でのアプリの状態です。許可を出す前に、そのアプリで何が開いているかを確認する、というのが判断の軸になります。