ChatGPT Work のローカルセキュリティ

ChatGPT Work は、ユーザーのコンピューター上にある承認済みのファイル、アプリケーション、ブラウザセッションを使用して、ローカルタスクを完了できます。アクセスできる範囲は、ワークスペースの権限、ユーザーが既存のアカウントで持つアクセス権、オペレーティングシステムの権限、アプリケーションの承認、サポート対象のデバイスポリシーによって決まります。

ローカル機能は、サポート対象のデスクトップアプリ、オペレーティングシステム、ワークスペースの利用資格、ロール権限、デバイスポリシー、製品のロールアウト状況によって異なります。

セキュリティの概要

• ローカルタスクは ChatGPT デスクトップアプリを通じて実行されます。同じアプリでホスト型クラウドタスクを開いても、そのタスクがローカルになるわけではありません。

• 利用可能なローカルおよびホスト型 Work の制御機能は、ワークスペースの構成とロールアウト状況によって異なります。

• ファイルアクセス、Computer Use、ブラウザ、接続済みアプリでは、それぞれ異なる権限と承認が使用されます。

• 企業システムにすでにサインインしているブラウザやアプリケーションでは、その既存アカウントの権限がタスクから利用可能になる場合があります。

• サポート対象の管理対象デバイスポリシーでは、ワークスペースのアクセス制御を置き換えることなく、ローカル機能を制限できます。

• 対象となる OpenAI サービスで処理される Business、Enterprise、Edu ワークスペースのデータは、転送中および保存時に暗号化され、デフォルトでは OpenAI モデルのトレーニングに使用されません。

• ローカルファイル、タスクのコンテキスト、ブラウザデータ、接続先システムのレコード、監査イベントには、それぞれ異なる保存および保持ルールが適用される場合があります。

ローカルタスクが実行される場所

Work Local は、ユーザーのコンピューター上のデスクトップアプリを通じて、承認済みのリソースにアクセスします。Work Cloud は、同じデスクトップアプリから開いた場合でも、OpenAI が管理するインフラストラクチャ上で実行されます。

ローカルファイル自体はデバイスに残すことができますが、タスクを完了するために、関連するファイルの抜粋、プロンプト、スクリーンショット、ブラウザのコンテンツ、ツールの結果が OpenAI サービスへ送信される場合があります。ローカル実行は、オフラインまたはデバイス上のみでモデル推論が行われることを意味しません。

ファイルとデバイスへのアクセス

ローカルタスクでは、サポート対象のファイル、アプリケーションのコンテンツ、ブラウザセッション、承認済みの接続先システムなど、ユーザーが提供または利用可能にした情報を操作できます。アクセスできる範囲は、ユーザーの既存の権限と、その機能を管理する制御によって決まります。

ローカル Work へのアクセスを許可しても、すべてのアプリケーションが自動的に承認されたり、管理者権限が付与されたり、別のシステムへのアクセスに使用するアカウントの権限が回避されたりすることはありません。承認済みの共有接続は、ユーザーの個人アカウントとは異なる権限を持つ場合があります。

ファイルの直接読み取り、ファイルの編集、シェルコマンドの実行には、タスクのサンドボックス設定と承認設定が適用されます。Computer Use は、承認済みのネイティブアプリケーションを通じて、そのアプリケーションの権限でコンテンツにアクセスします。ファイルへの直接アクセスを制限しても、それだけでアプリケーションが開けるファイルに同じ制限が適用されるわけではありません。

Computer Use とアプリケーションの承認

Work Local を利用できるユーザーは、ワークスペースの権限によって決まります。管理者ポリシーでは、Computer Use が操作できるネイティブアプリケーションや、アプリケーションの承認を今後のセッション用に保存できるかどうかをさらに制限できます。必要なオペレーティングシステムの権限とアプリケーションの承認は、引き続き適用されます。タスクがアプリケーションやサインイン済みのアカウントを使用する場合、利用できる情報や操作は、そのアカウントの権限によって決まります。

管理者ポリシーでアプリケーションを許可しても、必要なプラグインがインストールされたり、オペレーティングシステムの権限が付与されたり、引き続きレビューが必要な操作が承認されたりするわけではありません。サポートされている制御と設定例については、ブラウザーと Computer Use の管理制御を参照してください。

macOS では、画面収録を許可すると Computer Use がアプリケーションのコンテンツを認識でき、アクセシビリティを許可するとクリック、入力、移動ができるようになります。サポート対象の macOS タスクはバックグラウンドで実行できます。Windows では、Computer Use はアクティブで表示中のデスクトップ上で動作し、ユーザーが同じセッションを使用し続けている間はバックグラウンドで実行できません。

ユーザーはいつでもタスクを停止できます。Computer Use は、オペレーティングシステムのセキュリティプロンプトを承認したり、管理者として認証したり、ターミナルアプリケーションや ChatGPT 自体を自動操作したりすることはできません。

ロックされたデバイス

サポートされている macOS 構成では、Mac がロックされた後も、承認済みの Computer Use タスクを続行できるように設定できます。利用できるかどうかは、アプリのバージョン、機能のロールアウト状況、適用される要件、リモート制御の利用資格によって異なります。

Locked Use を有効にすると、macOS の認可プラグインがインストールされ、実行中の信頼された Computer Use ターンのために Mac のロックを一時的に解除できるようになります。一時的なロック解除中は、ChatGPT がすべてのディスプレイを覆います。ローカルのキーボードやポインターからの入力を検知すると、Mac を再びロックし、ユーザーが手動でロックを解除するまで自動ロック解除を一時停止します。Locked Use の仕組みを参照してください。

管理者は、管理対象の Mac でユーザーが Locked Use を有効にすることを禁止できます。この要件は、すでに有効になっている Locked Use を無効にはしません。Windows の Computer Use には、アクティブでロックされていないデスクトップが必要です。Locked Use の制限を参照してください。

ブラウザセッションと既存のサインイン

Work Local が、すべてのブラウザや企業アカウントへのアクセスを自動的に取得することはありません。アクセスできる範囲は、使用するブラウザ、サインインしているアカウント、そのブラウザ体験に必要な承認によって決まります。

サポートされている Browser Use ポリシーでは、サイトへのアクセス、アップロード、ダウンロード、ブラウザー履歴へのアクセス、ブラウザーのデバッグ用の Chrome DevTools Protocol (CDP) へのフルアクセスを制限できます。管理者は、承認の自動レビュー、承認の保存、サイトアクセスの承認の有効期間も制限できます。ユーザーの承認で管理者による拒否を上書きすることはできません。ブラウザーの管理制御を参照してください。

ホスト型のクラウドブラウザーはユーザーのローカルブラウザーとは別であり、既存のサインイン状態を自動的に引き継ぐことはありません。Enterprise または Edu ワークスペースでは、クラウドブラウザーを通じたウェブサイトへのサインインは利用できません。

アプリ、プラグイン、接続済みアカウント

接続済みアプリは、別のシステムにある情報や操作へのアクセスを提供できます。プラグインは、アプリを基盤となるツールとして使用できます。プラグインを利用可能にしても、必要なアプリが自動的に有効になったり、アカウントが承認されたり、すべての操作が許可されたりすることはありません。

プラグインとアプリのデフォルト設定は、プランと、ワークスペースが新規か既存かによって異なります。新規の Enterprise および Edu ワークスペースでは、選定された一部のアプリが有効な状態で開始されます。これらのデフォルト設定は既存のワークスペース設定を変更せず、Healthcare ワークスペースにも適用されません。一般に、Enterprise と Edu では、新しいプラグインとアプリはデフォルトで無効です。Business では、アプリはデフォルトで有効です。管理者は利用可否を変更できます。現在のプラグインとアプリのデフォルト設定と ChatGPT Work の概要を参照してください。

タスクで接続先システムを使用する前に、ワークスペースでアプリと必要なプラグインが許可されていること、接続が承認されていること、接続済みアカウントがリクエストされた情報または操作にアクセスできることを確認してください。読み取り専用設定、許可される操作、確認要件は統合ごとに異なります。

ブラウザー機能や Computer Use 機能を提供するプラグインには、利用可否とインストールに関する個別のレビューが必要です。プラグインを利用可能にしても、管理対象のブラウザーポリシーやネイティブアプリのポリシー、オペレーティングシステムの権限、必要な承認を上書きすることはありません。デスクトップ専用のプラグインやローカルで提供されるツールでは、インストール方法が異なる場合があります。プラグインの制御を参照してください。

個人接続と共有接続

個人接続では、接続したユーザーが接続元システムで持つ権限が使用されます。共有接続またはエージェント所有の接続では、接続済みアカウントの権限が使用されます。これは、ユーザー自身のアクセス権より広い場合があります。

共有アカウントがアクセスできるデータと操作を必要最小限に抑え、使用できるユーザーを制限し、サポート対象の操作制御または確認制御を適用してください。接続先システムのレコードには、引き続きそのシステムの権限と保持ポリシーが適用されます。

管理者アクセスと管理対象デバイスのポリシー

Workspace settings > Permissions & roles で利用可能な Work の制御機能を確認してください。ローカル Work とホスト型 Work が別々の権限として表示されるかどうかは、ワークスペースの構成とロールアウト状況によって異なります。詳しくは、Work 管理者向け FAQを参照してください。

ユーザーまたはグループごとに承認された実行環境のみを有効にし、変更後に実際に適用されるアクセス権を確認してください。

ワークスペースの権限によって、Work を使用できるユーザーが決まります。管理者は、requirements.toml で定義された強制要件を通じて、サポート対象のデスクトップ機能を制限することもできます。デプロイ方法に応じて、これらの要件は、ワークスペースで管理される構成、システムレベルの構成ファイル、またはサポート対象の macOS モバイルデバイス管理ツールを通じて配布できます。

強制要件は、個々のユーザーが上書きすることはできません。一方、管理対象のデフォルトは初期設定を定めるものであり、ユーザーが変更できる場合があります。どちらも、ワークスペースのロールやオペレーティングシステムの権限を置き換えるものではありません。

対応するローカルクライアントは、設定の読み込み時に管理対象の要件を読み込みます。バックグラウンドでの更新により、より新しいクラウド管理の要件を次回以降の設定読み込みで利用できるようになります。ただし、それだけで既存のタスクに新しいポリシーが適用されているとは確認できません。macOS MDM の要件の変更は、次回のクライアント起動時に読み込まれます。管理対象の要件を変更した後は、該当するローカルクライアントを再起動し、実際に適用されている設定を確認してから、その制限を前提に運用してください。ワークスペースの権限変更は、異なる経路で有効になる場合があります。ローカルクライアントによるクラウド管理の要件の適用方法を参照してください。

これらは制限の例であり、デフォルトで有効な設定の一覧ではありません。機能の要件を省略した場合は、クライアント、プラットフォーム、ロールアウト、ユーザーの通常の設定が引き続き適用されます。Browser Use の機能フラグ、内蔵ブラウザーのペイン、ネイティブの Computer Use はそれぞれ別の制御です。各ブラウザー利用経路を個別に検証してください。

利用可能な設定と配布方法は、クライアント、オペレーティングシステム、ワークスペース、デプロイ構成によって異なります。代表的な管理対象デバイスで制限を検証してください。サポート対象のポリシー設定、構成例、MDM の設定手順については、管理対象の構成を参照してください。

ローカルネットワークとプライベートリソース

Work Local は、ブラウザー、ネイティブアプリケーション、接続済みアプリ、その他の対応ツールを通じて社内情報にアクセスできます。ネットワーク制御の適用方法は経路ごとに異なります。また、企業の VPN にアクセスできること自体が、タスクによる内部リソースの使用を許可するわけではありません。

管理対象のネットワーク要件と Browser Use のオリジンポリシーは、別々にチェックされます。ネットワーク制限によって Browser Use を制限できると判断する前に、導入環境のアプリバージョンとオペレーティングシステムで両方を検証してください。ブラウザーポリシーのチェックが行われることは、ブラウザーの通信がコマンド用ネットワークプロキシを経由することを意味しません。また、Browser Use ポリシーはネイティブアプリケーションからの通信を制御しません。

[experimental_network] 配下の管理対象のネットワーク要件は実験的なものであり、変更される可能性があります。Windows のサポートは限定的です。Windows ユーザーに適用する前に、実際に使用するクライアントと環境でテストしてください。ドメインルールだけでは管理対象のプロキシは有効になりません。experimental_network.enabled = true が必要であり、この設定によってネットワークを無効にしているサンドボックスの制限が上書きされることはありません。

ワークフローで必要となる接続、サインイン済みアカウント、接続先、操作を確認してください。設定の詳細とプラットフォームの制限については、ネットワークアクセス要件を参照してください。

データ処理と保持

組織のエンドポイント、ファイルアクセス、プロキシ、データ損失防止の制御を、対象となるデバイスとワークフローに適用してください。処理を開始する前に、それらの制御によって機密情報がタスクに取り込まれるのを防止できるか確認してください。監査ログとコンプライアンスエクスポートは監視と調査に役立ちますが、それ自体で処理を阻止するものではありません。

保存と保持の方法は、情報のカテゴリと保存場所によって異なります。

サポート対象の Business、Enterprise、Edu ワークスペースでは、対象となる OpenAI サービスで処理されるビジネスデータは転送中および保存時に暗号化され、デフォルトでは OpenAI モデルのトレーニングや改善に使用されません。これらの保護があっても、OpenAI がすべてのデバイスファイル、サードパーティ製アプリケーション、ブラウザプロファイル、接続元システムのレコードを管理するわけではありません。

特定のデータカテゴリに適用されることを確認せずに、ホスト型の会話、一時アップロード、コンプライアンスログの保持期間をローカルレコードへ適用しないでください。

監査とコンプライアンスの可視性

利用可能なレポートは、ワークスペースのプラン、製品体験、イベント、接続済みアプリケーション、デプロイされた構成によって異なります。インシデント対応や規制上のレビューでワークスペースのエクスポートに依存する前に、Work Local が対象に含まれていることを確認してください。

対応バージョンでは、Browser Use はサイトアクセス、アップロード、ダウンロードなどの機能チェックに関する OpenTelemetry イベントを出力できます。これらのイベントには、判定とその判定元が記録され、利用可能な場合はポリシーの詳細も含まれます。判定元が不明な場合もあります。エクスポートが設定されている場合、これらのイベントは他のローカルランタイムのテレメトリとともに、お客様の OpenTelemetry エンドポイントに送信されます。

OpenTelemetry のエクスポートは Compliance API の記録とは別であり、個別に設定する必要があります。これらのイベントは、ブラウザーやネイティブアプリのすべての操作を網羅した記録にはなりません。OpenTelemetry の設定を参照してください。

関連システムに、タスクの ID、サポート対象のプロンプトと応答、接続済みアプリの呼び出し、ブラウザの承認、アプリケーションの操作、ローカルファイルのアクティビティ、エンドポイントイベントのどれが記録されるかを確認してください。接続元システムやデバイスのレコードでは、ChatGPT ワークスペースのレコードとは異なる情報を確認できる場合があります。

OpenAI は、拡張機能を通じて実行された Chrome 操作について、完全なレコードを別途保存することはありません。すべてのローカルファイル操作、スクリーンショット、ブラウザ操作、承認、外部更新が Compliance API に記録されるとは限りません。

1 つの承認済みタスクから始める

管理対象デバイスを使用する小規模なグループから開始し、指定した財務ワークブックの比較など、承認済みのタスクを 1 つ選びます。各ユーザーの Work へのアクセスを確認し、タスクに必要なファイル、アプリケーション、ブラウザセッション、接続済みアカウントのみを提供してください。

承認済みの操作が機能し、制限対象の操作がブロックされ、利用可能なレコードが監視要件を満たしていることを確認します。アクセスを拡大する前に、ユーザーに結果と外部での変更内容を確認してもらってください。