Claude Cowork の Agent Skills と MCP 連携｜外部ツール接続時の権限・ログ・巻き戻しの設計

AIが単なる「相談相手」から、実際にコードを書き、リポジトリを操作し、ドキュメントを更新する「実務の実行者」へと進化しています。その中心にあるのが、Anthropic社が提供するClaude Cowork（旧称含むClaude環境の進化形）におけるAgent Skillsと、オープンな標準規格であるModel Context Protocol (MCP)です。

しかし、AIに外部ツールへのアクセス権を与えることは、利便性と引き換えにセキュリティリスクを抱えることと同義です。本記事では、IT実務担当者が直面する「権限管理」「実行ログ」「操作の取り消し（巻き戻し）」に焦点を当て、セキュアなAIエージェント運用のための設計指針を解説します。

1. Claude Coworkにおける「自律型エージェント」の核心

1.1 Agent Skillsとは何か？

Agent Skills（エージェント・スキル）とは、Claudeが単にテキストを生成するだけでなく、定義された特定の関数やツールを呼び出し、外部世界に対してアクションを実行する能力を指します。例えば、「最新の売上データを取得してグラフ化する」「GitHubのIssueを読み取り、修正プルリクエストを作成する」といった動作がこれに該当します。

1.2 Model Context Protocol (MCP) の役割とエコシステム

MCPは、AIアプリケーションとデータソースを接続するためのオープンな標準プロトコルです。従来、ツールごとに個別実装が必要だったコネクタを共通化し、一度MCPサーバーを構築すれば、Claude DesktopやClaude Cowork、その他のMCP対応ツールから即座にデータを参照・操作できるようになります。

• 公式サイト: Model Context Protocol Official
• 主な接続先: GitHub, Google Drive, PostgreSQL, Slack, Brave Searchなど。

1.3 従来のChat AIとAgentic AIの決定的な違い

従来のAI利用は「人間が情報をコピー＆ペーストしてAIに渡し、出力を人間が確認して手動で反映する」というフローでした。対してAgentic AI（自律型AI）は、自ら必要な情報を探しに行き、権限の範囲内で直接ファイルを操作します。この「手足」を持つ特性こそが、業務効率を劇的に高める一方で、厳格なガバナンスを必要とする理由です。

2. 外部ツール接続時の権限設計とセキュリティ

エージェントが外部ツールに接続する際、最も重要なのは「最小権限の原則」です。AIに管理者権限（Admin）を付与することは、予期せぬスクリプト実行によるデータ消失を招く恐れがあります。

2.1 権限委譲の仕組み：User-in-the-loopの重要性

Claude Coworkでは、AIがツールを実行しようとする際、ユーザーの承認を求める「User-in-the-loop」の設計が基本となります。特に書き込み権限（Write）が伴う操作では、実行前に「この操作を許可しますか？」というインターフェースを介することで、AIの暴走を物理的に阻止します。

2.2 GitHub・Google Drive・Slackとの連携フロー

連携には通常、OAuthまたはパーソナルアクセストークン（PAT）を使用します。例えばGitHub連携の場合、特定のレポジトリのみに絞ったスコープでトークンを発行し、MCPサーバー経由でClaudeに提供します。これにより、万が一AIのセッションが侵害されても、被害範囲を限定できます。

社内の機密情報を扱う場合、クラウド上の設定だけでなく、オンプレミスや閉域網内のデータにアクセスするためのゲートウェイ設計も重要です。このあたりの複雑なSaaS管理については、SaaS増えすぎ問題と退職者のアカウント削除漏れを防ぐ。Entra ID・Okta・ジョーシスを活用した自動化アーキテクチャの記事が、ID管理の観点から参考になります。

2.3 読み取り専用（ReadOnly）と書き込み権限の分離設定

運用初期段階では、MCPサーバーの設定で「Read Only」モードを有効にすることを推奨します。AIには「参照」のみを許可し、ドキュメントの作成やコードの反映は引き続き人間が行うことで、安全にAIの理解精度を検証できます。公式のMCP設定ファイル（claude_desktop_config.jsonなど）で、実行引数に読み取り専用オプションを付与する実装が一般的です。

3. 万が一に備える「巻き戻し」と不変性の設計

AIによる自動操作が失敗した際、どのように元の状態へ戻すか。この「リカバリ設計」こそが、実務導入の成否を分けます。

3.1 Gitベースの履歴管理によるロールバック

コード生成やドキュメント作成をAIに行わせる場合、対象の環境を必ずGit管理下に置くべきです。AIがコミットまで行う設定であっても、人間が git revert を実行することで、即座に修正前の状態へ復元できます。AIに直接本番環境のファイルを編集させるのではなく、必ず「プルリクエスト」というステージングを挟むのが鉄則です。

3.2 破壊的操作を防ぐ「確認プロンプト」の強制化

MCPサーバー側で、delete_file や drop_table といった破壊的なコマンドに対し、二段階認証や特定のキーワード入力を求める「ガードレール」を設ける設計が有効です。Claude側のシステムプロンプトでも「破壊的操作の前には必ず理由を説明し、許可を得ること」と定義します。

3.3 データ整合性を守るための「冪等性」の確保

AIが通信エラー等で処理が中断された際、再度同じ命令を出しても重複データが作成されない「冪等性（べきとうせい）」のあるAPI設計が求められます。例えば、経理処理の自動化などでは、二重計上を防ぐためにトランザクションIDの一貫性を維持する必要があります。こうしたデータ連携の全体像については、【図解】SFA・CRM・MA・Webの違いを解説。高額ツールに依存しない『データ連携の全体設計図』で詳しく解説しています。

4. 監査とガバナンス：実行ログの管理

「AIが何を根拠にその操作を行ったのか」を事後検証できる状態にしなければ、企業での本番導入は不可能です。

4.1 Claude Cowork側のイベントログで追跡できる内容

Claude Coworkの管理画面（Enterpriseプラン等）では、各ユーザーのプロンプト履歴だけでなく、呼び出されたツールの名称、引数、実行結果が記録されます。これにより、不適切なプロンプトによる誤操作の原因究明が可能になります。

4.2 MCPサーバー側のログ出力と統合

MCPサーバーは通常、ローカルまたは特定のサーバー上で動作するため、サーバー側の標準出力ログを収集・監視する必要があります。

• 監視項目: 実行されたクエリ、アクセスされたファイルパス、認証エラーの発生回数。
• 統合先: AWS CloudWatch Logs や Datadog 等へ転送し、異常な大量アクセス（AIの無限ループなど）を検知してアラートを飛ばす運用が望ましいです。

4.3 組織利用における管理者権限の集約

個々のユーザーが自由にMCPサーバーを追加できる設定は便利ですが、シャドーAIのリスクを孕みます。組織レベルでは、承認済みMCPサーバーのリストを管理し、それ以外の接続を制限するプロキシ層の導入も検討すべきです。

5. 実践：MCPサーバーの構築とデプロイ手順

実際にClaude Coworkで外部ツールを活用するための設定手順を整理します。

5.1 公式MCPサーバーの導入ステップ

1. MCPサーバーの選定: Anthropic公式の GitHubリポジトリ から、必要なコネクタ（例: postgres）を選択。
2. 設定ファイルの記述: claude_desktop_config.json に、サーバーの実行パスと環境変数（API KEY等）を記述します。
3. 再起動と確認: Claudeを再起動し、チャットインターフェース右下の「ハンマー型アイコン」からツールが認識されているか確認します。

5.2 自作MCPサーバーによる独自社内ツールとの接続

社内の独自のデータベースやレガシーシステムと接続する場合、MCP SDK（TypeScript/Python対応）を使用してサーバーを自作します。JSON-RPCベースの通信であるため、既存のAPIをラップする形で比較的容易に構築可能です。

例えば、古い会計システムからデータを抽出してAIに分析させるようなケースでは、CSVを介した連携が現実解となることもあります。その際の移行や連携の勘所は、【完全版】ミロク(MJS)からfreeeへの移行ガイド。特殊な「単一行CSV」のAI変換と移行実務の考え方が応用できます。

5.3 トラブルシューティング：よくあるエラー

6. ツール比較表：AIエージェントプラットフォーム

Claude Coworkと、競合するエージェント機能を持つプラットフォームを実務的観点で比較します。

※仕様は2025年時点の公式ドキュメントに基づく。最新の料金や制限は各社公式サイト（Anthropic / OpenAI / Microsoft）を確認してください。

7. まとめ：自律化と安全性のバランスをどう取るべきか

Claude CoworkのAgent SkillsとMCP連携は、これまで人間が行っていた「情報の検索・加工・入力」という定型業務をAIへ移譲するための強力な武器になります。しかし、その強力さゆえに、IT担当者によるガードレールの設計が欠かせません。

まずは読み取り専用のMCP連携からスタートし、Gitによる履歴管理を徹底した上で、段階的に書き込み権限を開放していくアプローチを推奨します。AIエージェントを「部下」として迎え入れる準備は、ツールの導入ではなく、「権限と責任の設計」から始まります。