OpenWorker オープンソース・デスクトップエージェント：認証情報をローカルに保存し、承認ゲートを介して25種類以上の業務ツールに接続

Andrew Ng氏のチームは7月23日、OpenWorkerのベータ版を公開した。AIアシスタントをチャットインターフェースから、文書、スプレッドシート、レポートの作成や、複数サービスにまたがる操作を実行できるデスクトップエージェントへと進化させるプロジェクトだ。MITライセンスで提供されており、GitHubページでは公開から約2日で3,000を超えるスターを獲得した。ローカルエージェントに対する開発者の需要が依然として強いことを示している。

システムは、Python製のローカルエージェントサーバーと、ReactおよびTauriによるデスクトップシェルで構成され、基盤にはaisuiteの統一モデルインターフェースを採用している。エージェントはローカルファイルの読み書きやターミナル操作が可能で、組み込みコネクターまたはMCPを介して、GitHub、Slack、Jira、Notion、Linear、メール、カレンダーなどのサービスに接続できる。モデル側では、OpenAI、Anthropic、GeminiなどのAPIキーをユーザー自身で設定できるほか、Ollamaにも接続できる。このレイヤー化された設計により、ワークフローを単一ベンダーに固定することなく、モデル、ツール、インターフェースを個別に置き換えられる。

セキュリティ設計の中心は、操作単位の承認だ。メッセージの送信、カレンダーの変更、コマンドの実行といったアクションは、デフォルトで承認キューに保留される。スケジュールされたタスクが無人で実行される場合も、承認ゲートを自動的に通過することはない。企業にとっては、プロンプト内でモデルに「先に確認するように」と指示するだけの方式より、監査しやすい。ただし、OpenWorkerが掲げるlocal-firstには限界がある。コネクターのtokenとモデルのAPIキーはデバイス上に保存されるが、クラウドモデルやSaaSツールを利用する場合、処理に必要な内容は該当サービスへ送信される。また、OAuthのハンドシェイクにもクラウド仲介サービスが使用される。

現時点でプロジェクトは急速に開発が進むbeta段階にあり、Windowsインストーラーのコード署名はまだ完了していない。さらに、任意に追加したモデルが、信頼性の高いtool calling機能を備えているとは限らない。エンジニアリングチームは次に、承認がすべての副作用を伴う操作をカバーしているか、コネクターの権限を最小化できるか、そしてメールや文書を読み取ることでprompt injectionがエージェントを誘導し、危険な操作を提案させる可能性がないかを確認すべきだ。