Coworkセキュリティ — データはどこに置かれ誰が触れるか

Coworkに渡したファイルはどこで処理されるか

結論から言うと、実行方式で答えが変わります。クラウド実行ならAnthropicのサーバー上、ローカル実行なら手元のPC上です。

くらべる

ローカルセッションとクラウドセッションの違い

PCの中で動く

ローカルセッション

エージェントのループ(会話の処理・フォルダの読み書き・Webフェッチ・プラグイン同梱のローカルMCP)はPC上のネイティブプロセスで動きます。シェルコマンドとコードだけが、専用のLinux VMに入ります。VMはmacOSならApple Virtualization.framework、WindowsならHyper-Vで、ホストOSから分離されます。

会話履歴はPCに保存されます。

Anthropicのサーバーで動く

クラウドセッション

エージェントのループもコード実行も、セッションごとに作られる一時的なサンドボックスで動きます。サンドボックスはセッション終了で破棄され、Anthropicの企業・研究・モデル訓練の環境とは分離されています。

セッションとファイルはメンバーのClaudeアカウントに保存されます。

ここで混同しやすいのが、デスクトップアプリ経由でローカルフォルダを使うクラウドセッションです。クラウド側のセッションがPCのファイルやブラウザに届くのは、アプリが開いていて、デスクトップで始めたセッションの、接続したフォルダに限られます。処理そのものはAnthropicのサーバーで行われるため、開いたローカルファイルもサーバー側に送られます。必要になったファイルの写しだけがクラウドへ取得され、セッションを削除すると写しも消えます。アプリを閉じるとセッションはPCに届かなくなりますが、ブラウザやモバイルからの再開は続けられます。

Coworkの機能や導入の全体像はCowork完全ガイドにあります。本稿はデータの所在と取り扱いに絞ります。ターミナルで動かすClaude Codeの権限や隔離は別の仕組みなので、Coworkの管理設定とは分けて考えます。VMサンドボックスやComputer Useの内部挙動はClaude CoworkのComputer Use・VMサンドボックスで詳しく扱っています。

自分の組織はどちらで動いているか

クラウド実行はベータ段階です。Web・モバイルではPro・Max・Teamで使え、Enterpriseは管理者(オーナー)が有効にした場合に使えます。

プランごとの既定値は次のとおりです。

• Team:「Run Cowork in the cloud」が既定でオン。オーナーはいつでもオフにできます
• Enterprise:既定でオフ。オーナーがトグルをオンにしたうえで、カスタムロールを持つグループにCowork in the cloudの権限を付与します
• Pro・Max:CoworkとチャットがひとつのClaudeに統合される展開が段階的に進んでいます。メッセージ欄に「Chat」と「Cowork」の選択が出ない場合は新しい体験で、本稿の画面名と見え方が違うことがあります
• Pro・Max:2026年10月6日から、新しいタスクはクラウドで動き、Settings > Generalの「Only on your computer」は削除されます。すでにPCで始めたタスクはPCに残ります

この設定でデータがデバイスの外に出るかどうかが決まるので、導入前に既定値を確認します。

組織全体のCoworkのオン・オフは「Organization settings > Cowork」の「Enable for your organization」です。クラウド実行はそれとは別のトグルになっています。Enterpriseではグループとカスタムロールで、特定のチームだけに有効化することもできます。

管理者が絞れる到達範囲

リモートセッションのインフラは、全プラン共通で次の性質を持ちます。

• 保存されるレコードはすべて組織・アカウント単位でスコープされ、テナントをまたいだ参照ができません
• サンドボックスは、プライベート・内部・リンクローカル・クラウドのメタデータの各アドレスに届きません
• 外へ出る通信は、サンドボックスが再設定も迂回もできない必須プロキシを通り、許可リストの宛先だけに絞られます
• コネクタの認証トークンはサンドボックスに入りません。呼び出しはサーバー側で処理され、サンドボックスが持つのは数時間で失効するセッション用トークンだけです

ネットワークアクセスは、ローカルのCoworkやチャットと同じ設定に従います。Enterpriseでは既定でネットワークアクセスがオフです。変更は新しく作るセッションから反映され、進行中の会話には効きません。変更後は新しい会話を始めます。このサーバー側呼び出しの流れはClaude Coworkのデータ取得の仕組みで図解しています。

次の表は、経路ごとに外部へ出るかどうかを並べたものです。

見落としやすいのは、Web fetchやMCPが送信先の制御(egress)の外側にある点です。Enterpriseだから通信が全部止まっていると考えていると、この経路だけが残ります。許可リストを点検するときは、この2つが対象外である前提で見ます。Web検索は、Team・Enterpriseのオーナーが「Organization settings > Capabilities」でオフにできます。Claude in Chromeは「Organization settings > Claude in Chrome」で切ります。

組織設定で効くもの

次の設定は、組織設定の画面から変えられます。

• コネクタツールの承認:「Allow "Always allow" for connector tools」は既定でオフです。オフのあいだは書き込み系ツールをタスクごとに承認させ、保存済みの「常に許可」も効きません
• 読み取り専用ツールの扱い:免除されるのは、コネクタが読み取り専用と注釈した場合だけです。注釈のないカスタムコネクタでは全ツールが承認対象になり、Enterpriseでは役割の付与より厳しい側が勝ちます
• 自動承認モード:「Allow "Automatically approve" mode」は既定でオンで、オフにするとメンバーのモード選択から消えます
• 組み込みブラウザ:Teamは既定でオン。Enterpriseは2026年9月10日から、オフにしていなければ既定でオンになりました
• 信頼済みデバイスと直近のサインイン:クラウドセッションの利用条件にできます

組み込みブラウザとClaude in Chromeの通信は、ユーザーのPCから出ます。サイト運営側から見ると、セッションをWebやモバイルから操作していても、そのデバイスからのアクセスに見えます。

MDM(モバイルデバイス管理)で配る設定キーも2つあります。組織設定の画面ではなく、MDM側で適用するデバイス単位の設定です。

• isLocalDevMcpEnabledをfalse:プラグイン同梱とローカル設定のMCPサーバーが無効になります
• isDesktopExtensionEnabledをfalse:MCPB・DXT形式の拡張機能をブロックします

どちらもデスクトップアプリが対象なので、クラウドセッションがアプリ経由で届く範囲にも効きます。管理対象デバイスでローカルのMCPサーバーを無効にすると、クラウドセッションから使えるのはフォルダを限定したデスクトップのファイルツールだけです。

スキルやプラグインについては、claude.aiアカウントで有効にしたものがセッション開始時に同期されます。PCの~/.claudeディレクトリは読み込まれません。~/.claudeにしかないものは、Customizeから追加します。

承認が働かない操作

承認の仕組みには効かない領域があります。コンピューター操作(Computer Use)は、他のツールにかかる権限チェックも、コード実行のような隔離も挟みません。画面のスクリーンショットも撮られます。許可したアプリ以外でも、クリックしたリンクはそのまま開きます。

「Skip all approvals」では、Claudeの行動を確認する仕組みがありません。「Automatically approve」では、各操作が実行前に安全性の確認を受けます。どちらのモードでも、ファイルの完全削除は毎回の許可が要ります。

スケジュールタスクも別の注意点を持ちます。クラウドで動くため、PCが閉じていても実行されます。ただしPC上のファイルを使うタスクは、デスクトップアプリが開いている必要があります。過去の実行は左サイドバーの「Scheduled」から確認できます。機微なファイルへのアクセスや、取り消しにくい操作を含むタスクは、定期実行に向きません。

権限設計との境界

誰がどのフォルダ・コネクタに触れられるかを決めるロール設計は、Claude CoworkのRBAC運用で手順をまとめています。

その一段下には、EDR(エンドポイント検知)製品が見えない領域があります。VMはホスト側のセキュリティツールから設計上隔離され、クラウドセッションはエンドポイントの外で完結します。エンドポイントの可視性を前提にしたコンプライアンス体制では、この盲点がそのまま抜けます。対処はCoworkとEDR(エンドポイント検知)ツールの相性問題で扱っています。

データはどれくらいの期間残るか

数字

保持に関わる期間

• 消費者プランで削除した会話

  30日以内

  バックエンドから削除

• covered models利用時(ZDR構成の組織)

  30日

  安全対策のための保持

• フィードバック送信・学習への同意

  最大5年

  例外経路のみ

• 組織の監査ログのエクスポート

  直近180日

  Enterprise限定

ローカルセッションの会話履歴はユーザーのPCに保存されます。Anthropicの標準データ保持ポリシーの対象外で、管理者が一元管理したり削除したりすることはできません。Claude Enterpriseの管理者は、この内容をCompliance APIで取得できます。ローカルセッション向けの削除エンドポイントは、まだ提供されていません。

クラウドセッションでは、covered modelsを使う場合に保持ルールが変わります。covered modelsはMythosクラスとして指定されたモデルと、今後同様の能力を持つと指定される追加モデルです。2026年6月9日に発効しました。ただし適用されるのはゼロデータ保持(ZDR)ワークスペースを設定した組織だけです。対象は次の3類型です。

• Claude ConsoleでZDRワークスペースを設定している組織
• Claude EnterpriseでZDR構成のClaude Codeを使っている組織
• AWS Bedrock・Google Cloud Agent Platform・Microsoft Foundry経由でZDR構成でアクセスしている組織

これらの組織では、プロンプトと出力が安全対策業務のために30日間保持されます。ZDRを設定していない組織は対象外で、設定変更は要りません。ZDR組織の一部は、Fableをゼロデータ保持で使える対象だという通知を受けます。ここで書いた保持ルールが当てはまるのは、その通知を受けていないZDR組織だけです。

保持データを社内担当者が読むことは、既定ではできません。不正利用の検知システムが有害の可能性でフラグを立てた場合に限り、承認された少数のレビュアーが管理された経路でアクセスします。アクセスは改ざん不能なログに記録されます。

Coworkはこの整理に2つの経路でつながります。Amazon BedrockやGoogle CloudのAgent Platform経由のCoworkは、クラウド環境側の保持設定に従います。covered modelsを使うにはクラウド側で保持を有効にする必要があり、保持データはそのクラウド内に残ります。Claude for Enterprise経由でClaude chatやCoworkを使うチームは、標準保持のまま、新しいモデルが使えるようになり次第そのまま使えます。法務の現場でローカルセッションの扱いが判断材料になった例はClaude Cowork法務活用にあります。

学習に使われるのはどのプランか

学習利用はCowork単位ではなく、契約プラン単位で決まります。CoworkはPro・MaxでもTeam・Enterpriseでも使えるので、「Coworkのデータは学習に使われない」とは一括りにできません。

商用製品(Team・Enterprise・API・Claude Govなど)は、既定でチャットやコーディングセッションを学習に使いません。例外は、ユーザーが高評価・低評価ボタンなどで明示的にフィードバックを送った場合と、データ利用を明示的に許可した場合です。フィードバックを送った場合は、関連する会話全体が最大5年保持されます。管理者は「Rate chats」の設定を無効にして、この経路を閉じられます。Team・Enterpriseのクラウドセッションは、他のTeam・Enterpriseのデータと同じ商用の取り決めで扱われ、学習には使われません。

消費者プラン(Free・Pro・Max)では、利用者自身が選びます。学習に使うかどうかは、Settings > Privacyの「Help improve our AI models」の設定に従います。同意した場合に限り、非識別化された形で最大5年、学習パイプラインに保持されうるという扱いです。削除した会話は、30日以内にバックエンドから削除されます。インコグニートチャットは、この設定にかかわらず学習に使われません。

監査ログとCompliance APIはどこまで届くか

3つの公式ページを突き合わせると、いまは記述が揃っています。「Coworkを安全に使う」「Coworkアーキテクチャ概要」「Team・EnterpriseでのCowork利用」の3ページです。いずれも、CoworkのセッションをCompliance APIで取得できると書いています。表記は少し違い、アーキテクチャ概要とTeam・Enterprise向けはClaude・Claude Desktop・Claude Mobile経由、安全利用ページはWeb・モバイル経由です。

ただし、見えるようになったのはセッションの内容です。OpenTelemetryのイベントストリーミングは、ツール呼び出し・ファイルアクセス・承認判断の可視化に使えますが、コンプライアンス用の監査ログの代替にはなりません。また、メンバー変更やロール変更を記録する組織の監査ログは別機能です。Enterprise限定で、直近180日分をエクスポートできます。顧客管理暗号鍵を使う組織はエクスポートボタンを使えず、Compliance API経由で取得します。

OpenTelemetryで送信される情報の詳細

既定で送信されるのはメタデータだけです。プロンプト本文・応答本文・ツール引数は、otlpContentCaptureで指定しない限り含まれません。

otlpContentCaptureはカテゴリ名の配列で、ネストしたキーではない点に注意します。選べるのは次のとおりです。

• userPrompts:プロンプト本文
• assistantResponses:応答本文
• toolDetails:ツール引数(ファイルパスやURLなど)
• toolContent:ツール出力の本文
• rawApiBodies:推論リクエストとレスポンスの全文

デスクトップ1.17377以降では、userPromptsを有効にすると応答本文も併せて取得されます。toolDetailsでは、tool_inputにツール引数がJSON形式で入ります。個別の文字列は512文字で、全体は約4,000文字で切り詰められます。responseは60KBを超える部分が切り詰められ、assistantResponsesが無効なら<REDACTED>に置き換わります。

設定に関わらず常に含まれるのは、workspace.host_paths(デスクトップアプリで選んだホスト側の作業ディレクトリ)です。user.emailも、ファーストパーティの構成では常に含まれます。サードパーティの構成では含まれません。メタデータだけの構成でも、ホスト側のディレクトリ名はテレメトリ基盤に出ます。フィルタや削除の設定が要ります。

OTelのエクスポータはCoworkのVM内で動き、セッションの外向き通信ルールに従います。そのためコレクタのホスト名は許可リストに自動で追加され、手動で足す必要はありません。設定はセッション開始時に読み込まれるので、動いているセッションには反映されません。OpenTelemetryによる監視には、Claudeデスクトップアプリのバージョン1.1.4173以降が必要です。

ローカル実行に残るリスクの実例

ローカル実行は手元で完結するぶん安全と考えがちですが、隔離の強さは別問題です。セキュリティ企業Accomplish AIの報告をThe Hacker Newsが伝えた件では、macOSのローカルセッションで、ホストの/全体がVMに読み書き可能な状態でマウントされていました。Linuxカーネルの脆弱性CVE-2026-46331と組み合わせると、接続を許可していないファイルにもVMから到達できたとされています。

報道では、影響を受けたmacOS利用者は約50万人です。Anthropicはこの報告を「informative」としてクローズし、個別の修正は出していないと伝えられています。最新のCoworkは既定でクラウド実行なのでこの問題は避けられる一方、ローカル実行を選ぶ利用者には残る、というのが報道の整理です。Anthropicの一次情報では確認できていないため、報告ベースの内容として読んでください。

この件から読み取れるのは、VM隔離の強さがマウント範囲に左右されるという点です。ローカル実行を許す組織は、MDMでローカルMCPや拡張機能を絞る判断とあわせて検討します。

プラン×実行方式で見るデータ取り扱い早見表

よくある質問

Coworkのデータは海外に保存されますか

公式3ページ(安全な利用・アーキテクチャ概要・Team・Enterprise向け)には、Cowork固有のデータ保管リージョンの記載がありません。リージョンを重視する組織は、契約時に条件として確認する必要があります。

ZDR(ゼロデータ保持)はCoworkでも使えますか

Claude for Enterprise経由のCoworkは標準保持で運用されると書かれています。ZDR構成でCoworkを使えるという記載はありません。Bedrock・Google CloudのAgent Platform経由では、そのクラウド側の保持設定に従います。

まとめ

Coworkのデータの扱いは、実行方式とプランの2軸で決まります。自組織の象限を先に決め、保持・学習・記録の各論点を確認してください。

権限設計からコスト管理・チーム展開までの運用はClaude Cowork運用ベストプラクティスで扱っています。