Coworkの取り消せない操作をどう見極めるか — 実務チェックリスト

Coworkの承認モードをどこまで自動化に寄せるかで迷ったとき、判断の軸は「その操作をあとから元に戻せるか」の一点に絞れます。Manual承認への切り替えを勧める場面は、安全ガイドで3つ挙げられています。機微なファイル・アカウント・サイトに触れるとき、初めて使うツール・プラグイン・サイトを相手にするとき、そしてメッセージ送信や購入のように間違いを元に戻しにくいときです。

この3つは独立した基準ではなく、重なるほど取り消せなさが増します。初めて使うコネクタで、機微な顧客データに書き込み、しかも外部への通知を伴う操作は3つすべてに当たります。部門ごとの承認ゲート設計はCowork Approval Gatesを部門ごとに設計する考え方の4軸の枠組みが担います。ここでは「この操作は取り消せないか」の判定を扱います。

取り消せない操作とは何を指すか

Claudeのツールは2種類に分けられます。画面の読み取りやメール受信箱の参照のような読み取りツールと、カレンダー招待の作成・ファイル削除・コマンド実行・画面クリックのような書き込みツールです。書き込みは望まない結果につながりうるため、Coworkは書き込みを別扱いにし、重大な場面では人の確認を勧めています。

取り消せない操作とは、この書き込みのうち実行後に元の状態へ戻す手段が無いもの、または戻せても実行前より状況が悪化するものを指します。以降はこの意味で使います。

4つの問いで仕分ける

目の前の操作を次の順に当てはめます。どれも「Yesなら承認を強める」向きにそろえてあり、Yesが多いほどManual承認に固定する候補です。

手順

操作を仕分ける4つの問い

1. 1

   実行後、元に戻せないか

   戻せない、または戻しても状況が悪化するならYesです。ファイルの完全削除、送信済みメッセージが典型です。

2. 2

   対象が社外に届くか

   相手の手元に残る時点で、こちらからは取り下げられません。ネットワーク出口の制限は、Webの取得・検索ツールとMCP(Claude in Chromeを含む)には適用されないため、これらの経路は別に見ます。

3. 3

   金銭・契約が確定するか

   購入の確定や契約ステータスの変更が当たります。ガイドも購入を「元に戻すのが難しい失敗」の例に挙げています。

4. 4

   初めて使うツール・接続先か

   初回は挙動を見極める材料がありません。使い慣れた相手になるまでは強める側に置きます。

4つの問いの結果にかかわらず、ファイルの完全削除は例外です。Manual・Auto・Skipのどのモードでも確認画面が出ます。ガイドには「Claude always asks before permanently deleting files, in any mode」とあり、モード設定の外側にある固定ルールです。なぜこの一点だけが別扱いなのかはCowork削除承認はなぜどのモードでも外せないのかにあります。

判定でYesが並びすぎて承認プロンプトが頻発するときは、逆の見直しも要ります。同じ内容の承認が繰り返し出る操作は、4つの問いに当て直します。どれにも当たらなければ、その操作だけゲートを弱める順序です。承認疲れへの対処はCowork承認プロンプトが多すぎて止まるときの対処法にあります。

操作の種類別に見る当てはめ方

仕分け

操作別の当てはめ

• メッセージ・メール送信

  社外に届く時点で2つ目の問いに当たります。初めて連携する宛先や新しい相手への送信は、Manualに固定する候補です。

• 購入・決済の確定

  3つ目の問いの典型です。購入は、確定した時点で金額が動き、取り消すには相手側の返金対応に頼るしかありません。

• CRM・データベースへの書き込み

  コネクタのツール権限は「常に許可」「要承認」「ブロック」をツールごとに持ちます。読み取りの集計と取引先レコードの更新が同じコネクタにあっても、仕分けはツール単位で行います。

• Scheduled Tasksの自動実行

  人が見ていない時間に動くため、その場で止められません。次節で詳しく見ます。

スケジュール実行は、その場で止められない

Scheduled Tasksはクラウドで動くため、パソコンの電源が切れていても実行されます。注意書きは「Don't schedule tasks that access sensitive files, send messages on your behalf, make purchases, or take other actions that are difficult to undo」です。 実行後の確認手段も用意されています。過去の実行は、どの画面からでも左サイドバーの「Scheduled」ページで見返せます。使わなくなったタスクは放置せず、一時停止か削除にします。まず要約や情報収集のような低リスクの定型作業から始め、より複雑な自動化は後から足す進め方です。定型レポートの自動化はCowork Scheduled Tasksで定型レポートを自動化する実践パターンにあります。

Computer Useは権限チェックの層を通らない

ファイル操作は権限チェックを通り、コード実行は隔離環境で動きます。Computer Use(画面操作)にはその間仕切りがなく、画面に見えるものへ直接作用します。クリックしたリンクは、Claudeにそのアプリの許可を与えていなくても開きます。

銀行・医療ポータル・出会い系アプリのような機微なアプリは、ブロックリストに入れておけます。承認の判定より前に、画面に映る範囲そのものを狭められます。設定手順はCoworkのアプリブロックリスト設定にあります。

3つのモードは「何がチェックするか」が違う

モードの違いは、承認画面の頻度より、実行前に何がその操作を見ているかにあります。

くらべる

承認モード3種の違い

人が見る

Manual

実行前に毎回、許可か拒否かを自分で選びます。確認が必ず出るのは、要承認のツールをこのモードで使うときです。

Claudeが見る

Auto

各操作をClaudeが安全面から審査し、危険と判断したものを自動でブロックします。ブロックが続くと、1ステップごとに許可を求める状態へ戻ります。審査のぶん、他のモードより使用量の上限を多く消費します。

誰も見ない

Skip

自動の審査もありません。関わる操作・コネクタ・ファイル・アプリのすべてを信頼できるときに限った使い方としています。

Autoの審査が対象にするのは、既存のコネクタ・プラグイン・組み込みブラウザ・Claude in Chrome、それにWebサイトの取得のようなCoworkの一部の操作です。ブロックされた操作は、Claudeがより安全な進め方を探すか、直接確認を求めます。

なお、新しいClaudeの画面では、メッセージ欄の権限設定に出るのはAutoとManual(既定)の2つと案内されています。3モードの説明と並べて読むと、手元の画面に出る選択肢は画面ごとに違う点に注意が要ります。

Autoの審査が見ているのは「安全」で、「頼んだ内容の妥当性」ではない

Autoの審査が例に挙げるのは、データの持ち出しやプロンプトインジェクションです。審査の対象は安全面です。

たとえ本人の依頼であっても、取り消せない操作は審査とは別に止める必要があります。ガイドでは、お金・自分名義のメッセージ・重要なファイルを伴う作業では、近くで見守るかManualへ戻すことを勧めています。取り消せない操作をAutoの審査だけに任せない手段には、コネクタ側のツール権限を「ブロック」に固定する、モードをManualに戻す、近くで見守る、があります。

モードとコネクタ権限は掛け合わせで決まる

承認は、個人が選ぶモードと、コネクタごとのツール権限の掛け合わせで決まります。ヘルプの表を日本語に置き換えると次のとおりです。

確認が必ず出るのはManual×要承認だけで、Autoでは「Claudeが判断」、Skipでは承認扱いです。モードに関わらず取り消せない操作を止めたいなら、「要承認」ではなく「ブロック」に指定します。要承認にしてあるつもりでAutoやSkipへ切り替えると、想定していた歯止めが外れます。

逆に、Manualでも特定のツールを「常に許可」にしていれば、そのツールは確認なしで動きます。モードだけを見て安心しないよう、取り消せない操作の対象にはモードとツール権限の両方を当てます。

Team・Enterpriseでは管理者設定が個人の選択より上に立つ

TeamとEnterprise向けのページには、個人の設定を上書きする組織設定が2つあります。

• 「Allow "Automatically approve" mode」: Organization settings > Coworkの権限欄にあり、既定ではオンです。オフにすると、メンバーのモード選択に「Automatically approve」が出ません
• 「Allow "Always allow" for connector tools」: 同じ場所にあり、既定ではオフです。オフのあいだは書き込み系ツールの「Allow for all tasks」が選べず、以前に保存した常時許可も有効になりません。メンバーはタスクごとに承認します

2つ目は、前の表の「常に許可」の行が組織によっては成り立たないことを意味します。読み取り専用のツールが免除されるのは、コネクタ側が読み取り専用と注釈している場合だけです。注釈のないカスタムコネクタは、すべてのツールが承認の対象になります。Enterpriseではカスタムロールの付与とあわせて働き、最も厳しい層が優先されます。

判定の前に、戻せる状態を作っておく

4つの問いは、止めるかどうかの仕分けです。止めきれない場合に備えて、先に手を打てるものもあります。

接続したローカルフォルダでは、Claudeは読み書きに加えて完全削除もできます。金融書類や認証情報のような機微なファイルを置いたフォルダは渡さず、Claude専用の作業フォルダを作り、重要なファイルはバックアップを取っておきます。完全削除の確認画面は最後の砦で、それより前に戻す手段を残す考え方です。

初めて使うプラグインやMCPも、4つ目の問いに当たります。プラグインはスキル・コネクタ・サブエージェントを1つにまとめたもので、入れるだけでClaudeの行動範囲が大きく広がります。プラグインやデスクトップ拡張に同梱されるローカルのMCPサーバーは、パソコン上で他のプログラムと同じ権限で動きます。Claude Desktopのディレクトリにある検証済みの拡張に絞り、要求される権限は入れる前に確認します。

Autoの審査やSkipの無審査が弱いのは、実行中に悪意ある内容を読み込んだ場合です。タスクの途中でプロンプトインジェクションに触れると、ユーザーが気づく前にその指示に従って動くことがあります。タスクの途中で不審な動き(頼んでいないファイルやサイトへのアクセス、作業範囲の広がり)に気づいたら、すぐに止めます。

まとめ

4つの問いでYesが重なる操作は、モードに任せず、コネクタ側の「ブロック」かManual承認で止めます。