Claude Cowork は、claude.ai、Claude Code と並ぶ Anthropic の 3 つの主要な エージェント型プロダクトの 1 つである。ユーザーのデスクトップ上で、ユーザーが選択したワークスペースフォルダへの アクセス権を持って動作し、ソフトウェアエンジニアリングではなく一般的なナレッジワークのために作られている。その 封じ込めの設計は 私たちは製品全体で Claude をどのように封じ込めているか に記述されている。
典型的なユーザーは Claude Code のユーザーに比べて bash に精通している可能性がはるかに低いため、同記事は、アクション ごとに人間が承認する方式はそのままでは通用しないと論じている。技術者ではないナレッジワーカーに、シェルコマンドの 是非を判断することを期待すべきではないからである。そこで Cowork は代わりに、絶対的で常に有効な境界、すなわち ローカルの仮想マシンに依拠している。
機能
Cowork の最初のバージョンは、プラットフォームのベンダー製ハイパーバイザー、すなわち macOS では Apple の
Virtualization フレームワーク、Windows では HCS を用いた完全な仮想マシンの中で動作していた。この VM は独自の Linux
カーネル、ファイルシステム、プロセステーブルを持ち、マウントされるのはユーザーが選択したワークスペースと .claude
フォルダだけで、ホスト上のそれ以外のものは一切見えない。認証情報はホストのキーチェーンに留まり、ゲストに入ることは
ない。VM には、ユーザーのトークンとは独立に失効させられる、セッションごとの権限を絞ったトークンが与えられる。
当初の「完全 VM モード」では、エージェントループ自体がゲスト内で動作していたため、サンドボックスに例外を認める 権限を持つ外側のプロセスは存在しなかった。しかし VM の起動中に何らかの障害が起きると Cowork が使えなくなって しまうため、その後、コードの実行は VM 内に残したまま、エージェントループは VM の外に移された。これにより、VM は 依然としてエージェントが実行するコードに対してファイルシステムとネットワークの制御を強制する。ローカルの MCP サーバーも VM の外に移され、ユーザーがインストールしうる任意のソフトウェアと同様に扱われ、どれを有効にするかは 管理者が決める。
ワークスペースフォルダは読み取り専用、読み書き可能、または読み書き可能だが削除不可のいずれかでマウントでき、 エンタープライズの管理者は MDM 設定の許可リストによってマウントパスを制限できる。Anthropic の API へのトラフィックは、 VM 内にある防御的な中間者プロキシを通過する。このプロキシは VM 自身のセッショントークンのみを受け付け、 サーバーサイドのフェッチを可能にするヘッダーをブロックする。
導入とエコシステム
同記事は、Cowork の運用から得られた 2 つの教訓を記録している。1 つは第三者による開示で、送信先の許可リストで
api.anthropic.com を許可していたために、ワークスペース内の悪意あるファイルが Claude に指示して、攻撃者の API キーを
使って攻撃者のアカウントにファイルをアップロードさせることができると判明したことである。その修正策が VM 内の
プロキシだった。もう 1 つは、エンタープライズのセキュリティチームが、VM の隔離によってホストベースの EDR
（エンドポイントでの検知と対応）ツールも VM の内部を見られなくなっていることに気づいたことである。現在の緩和策は
プル型の OTLP エクスポートであり、管理者は事後にイベントログを取得できるが、同記事はこれがリアルタイムの監視と
同じではないと注記している。