ChatGPT Work のローカルセキュリティ

ChatGPT Work は、ユーザーのコンピューター上にある承認済みのファイル、アプリケーション、ブラウザセッションを使って、ローカル環境のタスクを完了できます。アクセス範囲は、ワークスペースの権限、ユーザーが既存のアカウントでアクセスできる範囲、OS の権限、アプリケーションの承認、対応するデバイスポリシーによって決まります。

利用できるローカル機能は、デスクトップアプリと OS の対応状況、ワークスペースの利用権、ロールの権限、デバイスポリシー、製品の展開状況によって異なります。

セキュリティの要点

• ローカル環境のタスクは ChatGPT デスクトップアプリを通じて実行されます。同じアプリでホスト型のクラウドタスクを開いても、そのタスクがローカルで実行されるわけではありません。

• ローカルおよびホスト型の Work で利用できる制御機能は、ワークスペースの設定と展開状況によって異なります。

• ファイルへのアクセス、コンピューターの使用、ブラウザ、接続されたアプリには、それぞれ異なる権限と承認が適用されます。

• 企業システムにすでにサインインしているブラウザやアプリケーションを使うと、その既存アカウントの権限でアクセスできる場合があります。

• 対応する管理対象デバイスのポリシーにより、ワークスペースのアクセス制御を置き換えることなく、ローカル機能を制限できます。

• 対象の OpenAI サービスで処理される Business、Enterprise、Edu のワークスペースデータは、転送中も保存時も暗号化され、デフォルトでは OpenAI モデルの学習に使用されません。

• ローカルファイル、タスクのコンテキスト、ブラウザデータ、接続先システムの記録、監査イベントには、それぞれ異なる保存と保持のルールが適用される場合があります。

ローカル環境のタスクの実行場所

Work のローカル環境では、ユーザーのコンピューター上のデスクトップアプリを通じて、承認済みのリソースにアクセスします。Work のクラウド環境は、同じデスクトップアプリから開いた場合でも、OpenAI が管理するインフラストラクチャ上で動作します。

ローカルファイルはデバイス上に保持できますが、タスクを完了するために、関連するファイルの抜粋、プロンプト、スクリーンショット、ブラウザのコンテンツ、ツールの実行結果が OpenAI サービスに送信される場合があります。ローカルでの実行は、モデルの推論がオフラインまたはデバイス内だけで行われることを意味しません。

ファイルとデバイスへのアクセス

ローカル環境のタスクでは、対応するファイル、アプリケーションのコンテンツ、ブラウザセッション、認可された接続先システムなど、ユーザーが提供した情報や利用可能にした情報を扱えます。アクセス範囲は、ユーザーがすでに持っている権限と、その機能に適用される制御によって決まります。

Work のローカル環境へのアクセスを許可しても、すべてのアプリケーションが自動的に承認されたり、管理者権限が付与されたり、別のシステムへのアクセスに使うアカウントの権限制限を回避できたりするわけではありません。承認済みの共有接続には、ユーザーの個人アカウントとは異なる権限が付与されている場合があります。

ファイルの直接読み取り、ファイルの編集、シェルコマンドの実行には、タスクのサンドボックスと承認の設定が適用されます。コンピューターの使用では、承認済みのネイティブアプリケーションを通じて、そのアプリケーションの権限でコンテンツにアクセスします。ファイルへの直接アクセスを制限しても、それだけではアプリケーションが開けるファイルに同じ制限は適用されません。

コンピューターの使用とアプリケーションの承認

Work のローカル環境を利用できるユーザーは、ワークスペースの権限によって決まります。管理者ポリシーでは、コンピューターの使用で操作できるネイティブアプリケーションや、今後のセッション用にアプリケーションの承認を保存できるかどうかを、さらに制限できます。必要な OS の権限とアプリケーションの承認は、引き続き適用されます。タスクがアプリケーションやサインイン済みのアカウントを使用する場合、利用できる情報や操作は、そのアカウントの権限によって決まります。

管理者ポリシーでアプリケーションを許可しても、必要なプラグインがインストールされたり、OS の権限が付与されたり、レビューが必要な操作が承認されたりするわけではありません。対応する制御機能と設定例については、ブラウザとコンピューターの使用に対する管理制御を参照してください。

macOS では、「画面収録」の権限により、コンピューターの使用でアプリケーションの内容を確認できるようになり、「アクセシビリティ」の権限により、クリック、入力、画面の移動ができるようになります。対応する macOS のタスクはバックグラウンドで実行できます。Windows では、コンピューターの使用はアクティブで画面に表示されているデスクトップ上で動作するため、ユーザーが同じセッションを使い続けながらバックグラウンドで実行することはできません。

ユーザーはいつでもタスクを停止できます。コンピューターの使用では、OS のセキュリティ確認の承認、管理者としての認証、ターミナルアプリケーションや ChatGPT 自体の操作の自動化はできません。

ロック中のデバイス

対応する macOS の構成では、オプションとして、承認済みのコンピューターの使用タスクを Mac のロック後も継続できるように設定できます。利用できるかどうかは、アプリのバージョン、機能の展開状況、適用される要件、リモート操作の利用資格によって異なります。

「ロック中の使用」を有効にすると、macOS の認可プラグインがインストールされます。このプラグインは、信頼されたコンピューターの使用のターンが実行中である場合に、Mac のロックを一時的に解除できます。一時的なロック解除中は、ChatGPT がすべてのディスプレイの表示を覆います。ローカルのキーボードやポインターの入力を検出すると、Mac を再びロックし、ユーザーが手動でロックを解除するまで自動ロック解除を一時停止します。ロック中の使用の仕組みを参照してください。

管理者は、管理対象の Mac でユーザーが「ロック中の使用」を有効にすることを禁止できます。この要件は、すでに有効になっている「ロック中の使用」を無効にするものではありません。Windows のコンピューターの使用には、アクティブでロックが解除されたデスクトップが必要です。ロック中の使用の制限を参照してください。

ブラウザセッションと既存のサインイン状態

Work のローカル環境が、すべてのブラウザや企業アカウントに自動的にアクセスできるわけではありません。アクセス範囲は、使用するブラウザ、サインイン済みのアカウント、そのブラウザの利用方法で必要となる承認によって決まります。

対応するブラウザポリシーでは、サイトへのアクセス、アップロード、ダウンロード、ブラウザ履歴へのアクセス、ブラウザのデバッグに使う Chrome DevTools Protocol（CDP）へのフルアクセスを制限できます。管理者は、承認リクエストの自動レビュー、保存済みの承認、サイトアクセスの承認の有効期間も制限できます。ユーザーの承認によって管理者の拒否を上書きすることはできません。ブラウザの管理制御を参照してください。

ホスト型のクラウドブラウザはユーザーのローカルブラウザとは別のもので、既存のサインイン状態を自動的に引き継ぐことはありません。Enterprise または Edu ワークスペースでは、クラウドブラウザからウェブサイトにサインインすることはできません。

アプリ、プラグイン、接続されたアカウント

接続されたアプリを通じて、別のシステムの情報や操作にアクセスできます。プラグインは、アプリを内部で使うツールとして利用できます。プラグインを利用可能にしても、必要なアプリの有効化、アカウントの認可、すべての操作の許可が自動的に行われるわけではありません。

プラグインとアプリのデフォルト設定は、プランと、ワークスペースが新規か既存かによって異なります。新規の Enterprise および Edu ワークスペースでは、あらかじめ選ばれた一部のアプリが有効になっています。このデフォルト設定によって既存のワークスペース設定が変更されることはなく、ヘルスケアのワークスペースには適用されません。通常、Enterprise と Edu では、新しいプラグインとアプリはデフォルトで無効です。Business のアプリはデフォルトで有効です。管理者は利用可否を変更できます。現在のプラグインとアプリのデフォルト設定と、ChatGPT Work の概要を参照してください。

タスクが接続先システムを使用する前に、ワークスペースでアプリと必要なプラグインが許可されていること、接続が認可されていること、接続されたアカウントが要求された情報や操作にアクセスできることを確認してください。読み取り専用の設定、許可される操作、確認の要件は、連携先によって異なります。

ブラウザやコンピューターの使用の機能を提供するプラグインは、利用可否とインストールについて個別のレビューが必要です。プラグインを利用可能にしても、管理対象のブラウザやネイティブアプリのポリシー、OS の権限、必要な承認が上書きされることはありません。デスクトップ専用のプラグインやローカルで提供されるツールでは、インストールの経路が異なる場合があります。プラグインの制御を参照してください。

個人用接続と共有接続

個人用接続は、接続したユーザーが接続先システムで持つ権限を使用します。共有接続やエージェントが所有する接続は、接続されたアカウントの権限を使用するため、ユーザー自身のアクセス範囲を超える場合があります。

共有アカウントでアクセスできるデータと操作を必要なものに限定し、利用できるユーザーを制限したうえで、対応する操作や確認の制御を適用してください。接続先システムの記録には、引き続きそのシステムの権限と保持ポリシーが適用されます。

管理者によるアクセス管理と管理対象デバイスのポリシー

ワークスペース設定 > 権限とロールで利用できる Work の制御機能を確認してください。ローカルとホスト型の Work が別々の権限として表示されるかどうかは、ワークスペースの設定と展開状況によって異なります。詳細は、Work 管理者向けのよくある質問を参照してください。

各ユーザーまたはグループに対して承認された実行環境のみを有効にし、変更後に実際のアクセス範囲を確認してください。

Work を利用できるユーザーは、ワークスペースの権限によって決まります。管理者は、requirements.toml に定義した強制適用の要件を通じて、対応するデスクトップ機能を制限することもできます。導入構成に応じて、これらの要件は、ワークスペースで管理する設定、システムレベルの設定ファイル、対応する macOS のモバイルデバイス管理ツールを通じて配信できます。

強制適用される要件は、個々のユーザーが上書きすることはできません。一方、管理対象のデフォルト設定は初期設定を定めるもので、ユーザーが変更できる場合があります。どちらも、ワークスペースのロールや OS の権限に代わるものではありません。

対応するローカルクライアントは、設定の読み込み時に管理対象の要件を読み込みます。バックグラウンドの更新によって、クラウドで管理する新しい要件を次回以降の設定読み込みで利用できるようになる場合があります。ただし、それだけでは既存のタスクが新しいポリシーを使用しているとは確認できません。macOS MDM の要件の変更は、次回のクライアント起動時に読み込まれます。管理対象の要件を変更した後は、該当するローカルクライアントを再起動し、実際に有効な設定を確認してから、その制限を前提に運用してください。ワークスペースの権限の変更は、異なる経路で有効になる場合があります。ローカルクライアントがクラウド管理の要件を適用する仕組みを参照してください。

これらは制限の例であり、デフォルトで有効な機能の一覧ではありません。機能の要件を指定しない場合は、クライアント、プラットフォーム、ロールアウト、ユーザーの通常の設定が引き続き適用されます。ブラウザ機能のフラグ、組み込みブラウザペイン、ネイティブのコンピューターの使用は、それぞれ独立した制御です。ブラウザへのアクセス経路ごとに検証してください。

利用できる設定と配信方法は、クライアント、オペレーティングシステム、ワークスペース、デプロイ構成によって異なります。代表的な管理対象デバイスで制限を検証してください。対応するポリシー設定、構成例、MDM のセットアップ手順については、管理対象の設定を参照してください。

ローカルネットワークと非公開リソース

Work ローカルは、ブラウザ、ネイティブアプリケーション、接続済みアプリ、その他の対応ツールを通じて社内情報にアクセスできます。ネットワーク制御の適用方法は経路ごとに異なり、社内 VPN にアクセスできること自体が、タスクによる内部リソースの使用を許可するわけではありません。

管理対象のネットワーク要件とブラウザのオリジンポリシーは、別々にチェックされます。ネットワーク制限によってブラウザ機能を制限できると判断する前に、デプロイ環境で使用しているアプリのバージョンとオペレーティングシステムで、両方を検証してください。ブラウザポリシーのチェックが行われるからといって、ブラウザの通信がコマンド用のネットワークプロキシを経由するとは限りません。また、ブラウザポリシーはネイティブアプリケーションからの通信を制御しません。

[experimental_network] の管理対象ネットワーク要件は実験的な機能であり、変更される可能性があります。Windows のサポートは限定的です。Windows ユーザーに適用する前に、実際に使用するクライアントと環境でテストしてください。ドメインルールだけでは管理対象プロキシは有効になりません。experimental_network.enabled = true が必要ですが、この設定でも、ネットワークを無効にしているサンドボックスの制限は上書きされません。

ワークフローに必要な接続、サインイン済みアカウント、接続先、操作を確認してください。構成の詳細とプラットフォームの制限については、ネットワークアクセス要件を参照してください。

データの取り扱いと保持

対象のデバイスとワークフローに、組織のエンドポイント、ファイルアクセス、プロキシ、データ損失防止の制御を適用してください。それらの制御によって、処理前に機密情報がタスクに渡るのを防げるか確認してください。監査ログやコンプライアンスデータのエクスポートは監視や調査に役立ちますが、それ自体で処理をブロックするものではありません。

保存と保持の扱いは、情報の種類と保存先によって異なります。

対応する Business、Enterprise、Edu ワークスペースでは、対象の OpenAI サービスが処理するビジネスデータは転送時と保存時に暗号化され、デフォルトでは OpenAI モデルの学習や改善に使用されません。これらの保護措置があるからといって、デバイス上のすべてのファイル、サードパーティ製アプリケーション、ブラウザプロファイル、ソースシステムの記録を OpenAI が管理しているわけではありません。

ホスト環境の会話、一時アップロード、コンプライアンスログの保持期間をローカルの記録に適用する際は、そのデータの種類が適用対象であることを必ず確認してください。

監査とコンプライアンスで把握できる範囲

利用できるレポートは、ワークスペースのプラン、利用する製品機能、イベント、接続済みアプリケーション、デプロイ済みの構成によって異なります。ワークスペースのエクスポートをインシデント対応や規制に関するレビューに利用する前に、Work ローカルのどの範囲が記録対象になっているかを検証してください。

対応バージョンでは、ブラウザ機能は、サイトアクセス、アップロード、ダウンロードなどの機能チェックに関する OpenTelemetry イベントを出力できます。これらのイベントには、判断結果と判断元が記録され、取得できる場合はポリシーの詳細も含まれます。判断元が不明な場合もあります。エクスポートを設定すると、これらのイベントは、ローカルランタイムのほかのテレメトリとともに、お客様の OpenTelemetry エンドポイントに送信されます。

OpenTelemetry のエクスポートは Compliance API の記録とは別のものであり、個別に設定する必要があります。これらのイベントだけでは、ブラウザやネイティブアプリのすべての操作を網羅した記録にはなりません。OpenTelemetry の構成を参照してください。

関連するシステムで、タスクの識別情報、記録に対応しているプロンプトと応答、接続済みアプリの呼び出し、ブラウザの承認、アプリケーションの操作、ローカルファイルのアクティビティ、エンドポイントのイベントが記録されるか確認してください。ソースシステムやデバイスの記録からは、ChatGPT ワークスペースの記録とは異なる情報を把握できる場合があります。

OpenAI は、拡張機能を通じて行われた Chrome の操作について、別途完全な記録を保存しているわけではありません。ローカルファイルの操作、スクリーンショット、ブラウザの操作、承認、外部システムの更新が、すべて Compliance API に記録されるとは限りません。

承認済みのタスク 1 件からの開始

管理対象デバイスを使用する少人数のグループで、選択した財務ワークブックの比較など、承認済みのタスクを 1 件選んで始めてください。各ユーザーの Work へのアクセス権を確認し、タスクに必要なファイル、アプリケーション、ブラウザセッション、接続済みアカウントだけを提供してください。

承認済みの操作が実行できること、制限対象の操作がブロックされること、取得できる記録が監視の要件を満たすことを確認してください。アクセスを拡大する前に、結果と外部システムへの変更をユーザーにレビューしてもらってください。