Coworkセキュリティ — データはどこに置かれ誰が触れるか

Coworkのセキュリティ設計はどこで線を引いているか

多くの操作はローカルPCではなく、Anthropicのサーバー上で動きます。Webやモバイルからタスクを送ると、セッションはクラウド上に作られる一時的な隔離環境で実行され、セッション終了とともに環境ごと破棄されます。デスクトップアプリ経由でローカルフォルダに接続している場合も同じです。リモートセッションが扱うファイルはユーザーのPC上にとどまらず、Anthropicのサーバー上で処理されます。Coworkの機能や導入の全体像はCowork完全ガイドでまとめており、本稿はそのうちデータの所在と取り扱いに絞って掘り下げます。

リモート(クラウド)実行は現在ベータ段階で、プランごとに順次展開されています。先行するのはMaxプランで、Team・Enterpriseプランのweb・モバイルでは2026年8月3日からベータが始まります。

クラウド実行に切り替わるかどうかは、プランごとの既定値と管理者の設定次第です。Teamプランはクラウド実行が既定でオンになっており、オーナーはいつでも「Run Cowork in the cloud」のトグルからオフにできます。Enterpriseプランは既定でオフで、オーナーが「Run Cowork in the cloud」を有効化したうえで、カスタムロールを持つグループにCowork in the cloudの権限を付与する運用になっています。この設定次第でデータがデバイスの外に出るかどうかが決まるため、導入前にどちらの既定値かを確認します。

一方、Claude Desktopアプリからの操作には、ローカルで完結する実行方式(ローカルセッション)もあります。ネイティブなエージェントループがファイルの読み書き・Webフェッチ・プラグイン同梱のローカルMCP呼び出しを担い、コード実行だけは専用の隔離VM(macOSはApple Virtualization.framework、WindowsはHyper-V)の中で動きます。VMはホストOSから仮想化レイヤーで分離されます。ただし、接続を許可したフォルダの中身そのものは読み書きの対象になります。

Web・モバイルからの利用は、ローカルのファイルではなくClaudeアカウントに保存済みのファイルとコネクタを対象に動きます。ローカルファイルへの到達はデスクトップアプリが開いているときだけで、閉じるとセッション自体は継続しつつローカルファイルには届かなくなります。デバイスをまたいでセッションを再開できる設計です。

もう一つ押さえておきたいのが、Coworkが読み込む範囲の境界です。セッション開始時に同期されるのはclaude.aiアカウントに紐づくコネクタ・スキル・プラグインで、Claude CodeのCLIが使う~/.claudeディレクトリはマシン上にあっても読み込まれません。VMサンドボックスやComputer Useの内部挙動そのものはClaude CoworkのComputer Use・VMサンドボックスで詳しく扱っているので、実行環境の技術的な仕組みを深掘りしたい場合はそちらを参照してください。

データに誰がどこまで触れられるか

リモートセッションのインフラは、Anthropicの企業・研究・モデル訓練環境から分離された専用のものです。このアーキテクチャは全プランで共通です。保存されるレコードはすべて組織・アカウント単位でスコープされ、テナントをまたいだ参照ができない設計になっています。

ネットワーク面では、サンドボックスはプライベートアドレス・内部アドレス・リンクローカルアドレス・クラウドのメタデータアドレスのいずれにも到達できません。これに加えて、Enterpriseプランでは既定でネットワークアクセス自体がオフになっており、外部への到達が一切できない状態が初期値です。ただし、ネットワーク設定を変更しても進行中の会話には反映されません。変更が効くのは新規セッションからです。

サンドボックスの外に出る通信はすべて、サンドボックス自身が再設定も迂回もできない必須プロキシを経由し、許可リストに載った送信先だけに絞られます。コネクタの認証トークンはサンドボックス内部には入らず、呼び出しはサーバー側で処理されます。サンドボックスが保持するのは数時間で失効する短命トークンだけです。

組織内で「誰が見られるか」を設定する仕組みそのものは、別の切り口として存在します。どのメンバーがどのフォルダ・コネクタに触れられるかを決めるロールベースの権限設計は、Claude CoworkのRBAC運用で実装手順をまとめています。ここで押さえておきたいのは権限設計より一段下のレイヤーの話で、EDR(エンドポイント検知)ツールのようなセキュリティ製品が、VM内部の挙動を観測できないという制約です。VMはホスト側のセキュリティツールから設計上隔離されており、リモートセッションはエンドポイントの外で完結するため、EDRから見ても動作が見えません。エンドポイントの可視性を前提にしたコンプライアンス体制では、この盲点がそのまま抜け落ちます。

なお、Cowork固有のデータ保管リージョンについては、公式に記載がありません。特定リージョンに限定されるかどうかを重視する組織は、個別に確認する必要があります。

持ち出し(exfiltration)の技術的な線引き

「このファイルをCoworkに触らせてよいか」を判断する材料は、抽象的なリスクの列挙よりも、経路ごとの技術的な線引きです。

ここで見落としやすいのが、Web fetchやMCP経由の通信は組織の送信先の制御が効かないという例外です。ネットワーク制御を「Enterpriseだから全部止まっている」と理解していると、この経路だけがルールの外側に残ります。送信先の制御の許可リストを点検するときは、Web fetchとMCPがその外側にある前提で見ます。

到達範囲をさらに絞るには、MDM(モバイルデバイス管理)経由で配布するデバイスレベルの設定キーが2つ用意されています。この2つはClaudeデスクトップアプリを対象とするため、ローカルセッションに加えて、リモートセッションがデスクトップアプリ経由で到達する範囲にも効きます。管理対象デバイスでローカルMCPサーバーを無効にすると、リモートセッションから使えるのはフォルダを限定したデスクトップのファイルツールだけになります。isLocalDevMcpEnabledをfalseにすると、プラグイン同梱のローカルMCP呼び出しが無効になります。isDesktopExtensionEnabledをfalseにすると、MCPB・DXT形式の拡張機能をブロックできます。この2つは組織設定の画面ではなく、MDMソリューション側で適用するデバイス単位の設定です。

これとは別に、組織設定の「Allow "Always allow" for connector tools」は既定でオフになっています。書き込み系のコネクタツールをタスクごとに承認させる運用が初期値です。

リモートセッションの利用自体に、信頼済みデバイス(trusted device)としての登録を要求することもできます。

データはどれくらいの期間残るか

保持期間は、ローカルセッションかクラウドセッションかで扱いが分かれます。ローカルセッションの会話履歴はユーザーのPCに保存され、Anthropicの標準データ保持ポリシーの対象外です。管理者が一元管理したりエクスポートしたりすることもできません。組織のログとして残す手段は、ローカル実行にはありません。

消費者プラン(Free・Pro・Max)では、削除した会話は30日以内にバックエンドから削除されるのが標準の保持ポリシーです。

クラウドセッションのうち、covered modelsを使う場合は保持ルールに変更が入ります。covered modelsとは、Mythosクラスとして指定されたモデルと、今後同様の能力を持つとして指定される追加モデルを指し、2026年6月9日に発効しました。ただし、この変更が適用されるのはゼロデータ保持(ZDR)ワークスペースを設定した組織だけです。対象になるのは次の3類型です。

• Claude ConsoleでZDRワークスペースを設定している組織
• Claude EnterpriseでZDR構成のClaude Codeを使っている組織
• AWS Bedrock・Google Cloud Agent Platform・Microsoft Foundry経由でZDR構成でアクセスしている組織

これらの組織では、送信されたプロンプトと生成された出力が、安全対策業務のサポートを目的に30日間保持されます。ZDRを設定していない組織はこの変更の対象外で、従来どおり何も設定変更は不要です。既定では、Anthropicの社内担当者はこの保持データを読み取れません。不正利用を検知する自動システム(trust and safety)が有害の可能性でフラグを立てた場合に限り、少数の承認されたレビュアーだけが管理された経路を通じてアクセスできます。アクセスのたびに改ざん不能なログへ記録され、レビュアー自身が消去・改変することはできません。

Coworkは2つの経路でこの整理に組み込まれています。Amazon BedrockまたはGoogle CloudのAgent Platform経由でCoworkを使う場合は、上記のZDR構成と同じ扱いが適用されます。Claude for Enterprise経由でClaude chatやCoworkを使うチームは、これらの経路がすでに標準保持で運用されているため、新しいモデルが利用可能になり次第そのまま使えます。実際に法務文脈でローカルセッションの扱いが判断材料になった実例はClaude Cowork法務活用で扱っています。

学習利用はプランでどう変わるか

学習利用の扱いは、Coworkという製品単位ではなく、契約しているプラン単位で決まります。CoworkはPro・MaxとTeam・Enterpriseのどちらでも使える製品なので、Coworkのデータは学習に使われないと一括りにするのは誤りです。

商用製品(Team・Enterprise、API、Claude Govなど)は、既定でチャットやコーディングセッションをモデルの学習に使いません。例外は、ユーザーが明示的にフィードバックやバグ報告を送った場合(例: 高評価・低評価ボタンでのフィードバック)、またはデータ利用を明示的に許可した場合で、これらの場合に限り最大5年間保持されます。組織の管理者は「Rate chats」の設定を無効化することで、この例外の経路自体を閉じられます。

消費者プラン(Free・Pro・Max)は、学習利用の可否を利用者自身が選択する方式です。新規登録時のサインアップフローで選択するか、既存ユーザーはポップアップ画面で選択を求められます。選択して同意した場合に限り、チャットやコーディングセッションが非識別化された形式で最大5年間、学習パイプラインに保持されることがあります。

データを学習に提供しないことを選んだ場合は、既存の30日間の保持ポリシーがそのまま適用されます。インコグニートチャットは、この設定にかかわらず学習には使われません。Pro・MaxでCoworkを使っていて学習利用を避けたい場合は、選択画面で提供しない側を選びます。

監査ログとCompliance APIはどこまで記録するか

Compliance APIの扱いは、公式ページ間で記述が食い違っています。

「Coworkを安全に使う」ページと「Coworkアーキテクチャ概要」ページは、いずれもCoworkのアクティビティがCompliance APIの対象ではないとしています。監査ログ・Compliance API・データエクスポートのどれにも含まれない、という言い切りです。一方、「Team・EnterpriseでのCowork利用」ページでは、Web・モバイル経由のCoworkはCompliance APIで取得できると書かれています。このページは、Team・EnterpriseでWeb・モバイル版CoworkがベータになるタイミングとあわせてCompliance API対応に触れており、内容としてはこちらのほうが新しい情報を反映しています。

実務では、「Team・EnterpriseでのCowork利用」ページの記述を優先し、Web・モバイル経由のCoworkはCompliance API取得対象になったと見るのが妥当です。ただし、これで可視性の穴がすべて埋まったわけではありません。OpenTelemetryでのイベントストリーミングは、ツール呼び出しやファイルアクセス、承認判断の可視化に使えますが、コンプライアンス目的の監査ログの代替にはならないと明記されています。ローカルセッションについては3ページとも一致していて、Compliance API・監査ログのどちらにも含まれません。

OpenTelemetryで送信される情報の詳細

デフォルトで送信されるのはメタデータのみです。プロンプト本文・応答本文・ツールの引数(ファイルパスなど)はotlpContentCapture設定で明示的に指定しない限り含まれません。otlpContentCaptureはカテゴリ名の配列で指定し、userPrompts(プロンプト本文)・assistantResponses(応答本文)・toolDetails(ツール引数)のほか、ツール出力の本文を含むtoolContent、推論リクエスト・レスポンスの全文を含むrawApiBodiesを個別に選べます。ネストしたキーではなく配列で書く点に注意が必要です。toolDetailsを指定した場合、tool_inputにはツールの引数がJSON形式で記録されます(個別の文字列は512文字を超えると切り詰められ、全体でも約4,000文字が上限です)。responseは60KBを超える部分が切り詰められ、応答本文の取得(assistantResponses)を無効にしている場合は文字列<REDACTED>に置き換わります。なおuserPromptsを有効にすると応答本文も併せて取得されます。一方でuser.emailとworkspace.host_paths(デスクトップアプリで選択したホスト側の作業ディレクトリ)は設定に関わらず常に属性へ含まれます。既定のメタデータのみの構成でもホスト側のディレクトリ名はテレメトリ基盤に出るため、フィルタや削除の設定が必要です。エクスポータ自体はCoworkのVM内部で動作し、セッションの送信先の制御ルールに従いますが、コレクタのホスト名は許可リストに自動追加されるため手動での追加は不要です。OpenTelemetryによる監視の利用には、Claudeデスクトップアプリのバージョン1.1.4173以降が必要です。

なお、組織全体の管理操作(メンバー変更・ロール変更など)を記録する監査ログは別に用意されています。この監査ログはEnterprise組織限定の機能で、直近180日分をエクスポートできます。ただし顧客管理暗号鍵(customer-managed encryption keys)を使うEnterprise組織はこのエクスポートボタンを使えず、Compliance API経由で取得します。ここで扱っているCoworkタスクの中身(何を読み書きしたか)のログとは別レイヤーです。両者を同じものとして扱うと、実際にどこまで追跡できるかを見誤ります。

プラン×実行方式で見るデータ取り扱い早見表

ここまでの情報を、実行方式とプランの2軸で1枚にまとめます。

よくある質問

Coworkのデータは海外に保存されますか

Cowork固有のデータ保管リージョンについては、記載が確認できません。海外リージョンでの保存を避けたい組織にとっては、契約時に条件として明示できるかどうかが判断の分かれ目になります。

ZDR(ゼロデータ保持)はCoworkでも使えますか

Claude for Enterprise経由のCoworkは標準保持で運用されると明記されており、ZDR構成でCoworkを使えるという記載は確認できませんでした。Bedrock・Google CloudのAgent Platform経由の場合は、そのクラウド環境側の保持設定に従い、covered modelsを使うには保持を有効化する必要があります。

Coworkのローカル実行にリスクはありますか

セキュリティ企業Accomplish AIの報告として、ローカル実行モードのCoworkのVMで、ホストの/全体が仮想化ファイルシステム経由でマウントされており、Linuxカーネルの脆弱性(CVE-2026-46331)と組み合わせることで、接続を許可していないファイルにもVMから到達できた事例が報じられています。報道によれば、macOSでローカルセッションを使っていた利用者のうち約50万人が影響対象とされ、Anthropicは「informative」としてクローズし、個別の修正パッチは発行されなかったと伝えられています。この件はAnthropicの一次情報では確認が取れておらず、あくまでセキュリティ企業の報告とそれを伝える報道にもとづく内容である点に注意してください。最新のCoworkは既定でクラウド実行になっており、この問題自体は解消されると報じられていますが、ローカル実行を選ぶ場合はこの種のリスクが残る点を踏まえておく必要があります。

Pro・MaxとTeam・Enterpriseで受けられるデータ保護は同じですか

同じではありません。学習利用の扱いが異なります。Pro・Maxは消費者プラン向けのポリシーで、新規登録時またはポップアップでの選択に基づいて学習利用の可否が決まり、同意した場合にのみ学習に使われます。Team・Enterpriseは商用プラン向けのポリシーで、この選択の有無にかかわらず既定では学習に使われません。学習利用を避けたい組織がPro・MaxからTeam・Enterpriseへ移行する動機は、まさにこの違いにあります。

OpenTelemetryを有効にすれば監査ログの代わりになりますか

なりません。Team・Enterprise向けにOpenTelemetryでのイベントストリーミングは提供されていますが、監査ログを代替するものではありません。ツール呼び出しやファイルアクセスの可視化には使えても、監査要件を満たす記録としては別に用意する必要があります。

まとめ — 導入前に確認すべきこと

Coworkのデータ取り扱いは、「ローカルかクラウドか」「Pro・MaxかTeam・Enterpriseか」という2つの軸で結論が変わります。単一の答えを探すのではなく、自組織がどの象限に当てはまるかを先に決めてから、保持期間・学習利用・監査ログの各論点を確認するのが安全です。

権限設計からコスト管理・チーム展開まで含めた運用の組み立て方はClaude Cowork運用ベストプラクティスで扱っています。サポートページの記述自体が更新のタイミングで食い違うことがある製品なので、重要な意思決定の前には該当ページの更新日を見比べておくと安全です。