OpenWorkerとは？
OpenWorkerは、Andrew Ng氏のGitHubアカウントから公開されているオープンソースのデスクトップエージェントです。タスク（コー ドベースの脆弱性レビュー、顧客向けブリーフの準備、受信トレイのトリアージなど）を受け取り、チャットの返答ではなく完成したファイルやメッセージを出力します。Tauriデスクトップシェルの下でローカルのPythonエージェントサーバーを実行し、Ng氏のaisuiteライブラリを基盤に構築されており、特化型のセキュリティCoworkerが最初に提供されています。
モデルに依存しない設計を採用しています。自身のキー経由やOpenRouterを通じて、OpenAI、Anthropic、Gemini、Azure OpenAI、DeepSeek、Kimi、Qwen、Mistralなどを利用できるほか、Ollama、llama.cpp、vLLM、LM Studioを介してローカルモデルも利用可能です。GitHub、Slack、Jira、Notion、Linear、HubSpot、Gmail、Google Calendarなど25以上のアプリに加え、あらゆるMCPサーバーと連携できます。また、シェルやファイルツールはNVIDIA OpenShellコンテナ、macOSサンドボックス、または非表示のWindowsアカウント内で実行可能です。
リポジトリは2026年7月20日に作成され、MITライセンスが適用されており、約18,800件のGitHubスターを獲得しています。READMEではオープンベータと位置付けられており、2026年10月5日にv0.3.1がリリースされました。macOS版ビルドは署名済みですが、Windows版ビルドは現時点で未署名です。
OpenWorkerは使う価値があるか？
OpenWorkerのガバナンス設計は最大の強みである一方、プロジェクトの歴史の浅さは最大の注意点です。書き込み、送信、シェルコマンドはデフォルトで承認ゲートが設けられています。完全自動承認を含むすべてのモードにおいて、不可逆的な一連の操作は人間のみが実行可能です。また、単発の承認を常時適用ルール へ、さらに設定のallowlistへと段階的に昇格させることができ、各ステップは可視化され取り消しも可能です。自動承認モードではレビュアーモデルが日常的なアクションを通過させ、それ以外をエスカレーションします。拒絶が連続した場合はサーキットブレーカーが作動し、制御権を人間へ戻します。READMEには、レビュアーによる判断は推論に基づく見立てであり保証ではないこと、そして厳格な最低基準と監査証跡こそが実質的な安全策であることが率直に記載されています。
セキュリティCoworkerは、一般的なエージェントのデモよりも慎重に動作します。検出結果はsemgrepなどの決定論的スキャナーとモデルの推論を組み合わせて導き出され、提示された修正案は承認前に再スキャンと差分レビューが行われます。そのため、修正案を作成したエージェント自身が単独のチェッカーになることはありません。コマンドはセッション用フォルダーとallowlistに登録されたネットワークのみを保持するOpenShellコンテナ内で実行可能です。エージェントループ、モデルキー、コネクタトークンはコンテナ外に留まるため、シェルに到達したプロンプトインジェクションも空の領域に隔離されます。無人でのスケジュール実行では自動承認が行われず、リクエストは受信トレイで待機します。
処理の大半はローカルマシン上で完結します。会話、コネクタトークン、モデルキーはローカルのシークレットストアに保存されます。唯一のクラウドコンポーネントはOAuthハンドシェイクを仲介するもので、自身で作成したキーを使用すればサインアウトした状態でもアプリは機能します。ソースコードによると、サイン インするとコンテンツを含まないテレメトリイベント（起動したCoworkerの種類と時刻）がデフォルトで有効になりますが、オプトアウトが可能です。サインアウトしている場合は何も送信されません。
課題となるのは成熟度です。リポジトリは公開から3か月で、約374件の未解決のIssueおよびPull Requestを抱えており、バージョンは依然として0.3.1にとどまります。コントリビューション時の注意事項では、内部ですでに開発中の機能やメンテナーの構想から外れる機能を追加するPull Requestは却下される可能性があると警告されています。このため、コミュニティ主導のプロジェクトというよりは、オープンライセンスが付与された製品という側面が強くなっています。より厳格なポリシーエンジンを備えるものの有料のメモリサービスが必要なOpenBotと比較すると、OpenWorkerは個人にとって導入が容易です。一方、Gooseと比較すると対象範囲は限定的ですが、承認に関してははるかに明確な指針を持っています。
真価を発揮する場面
開発者60人規模の企業に所属するアプリケーションセキュリティエンジニア
サービスとその依存関係をレビューして実質的な脆弱性を特定し、修正案を準備すること
セキュリティCoworkerに対象リポジトリを指定します。semgrepの検出結果とモデルの推論を組み合わせた修正案が提示され、承認前に再スキャンと差分レビューが実行されます。ソフトウェア自体は無料であり、費用は自身のキーに応じたモデルトークン代のみ、またはローカルモデルを使用する場合は無料となります。
40社のアカウントを担当するカスタマーサクセスマネージャー
各ミーティングの前にCRMおよび受信トレイから通話用ブリーフを準備すること
オプションのOAuthブローカーまたは自身の認証情報を用いてHubSpotとGmailを接続し、ブリーフの作成を要求します。メッセージ送信やカレンダー変更は承認待ちとなります。スケジュール設定された朝のブリーフは、完全な記録とともにアプリ内に届きます。
20人規模のスタートアップに所属するオンコールエンジニア
インシデント発生時にJira、GitHub、Slack全体からコンテキストを収集し、タイムラインのドラフトを作成すること
シェルコマンドをOpenShellまたはmacOSサンドボックス内で実行させながら、インシデントトリアージCoworkerを実行します。これにより、診断コマンドはセッションフォルダーとallowlistに登録されたホストにのみ作用します。各ツール呼び出しは、自動承認、ユーザー承認、または拒絶としてログに記録されます。
導入前に確認すること
- 導入
- 署名済みのmacOS 12以降向けビルド、または未署名のWindows 10/11向けビルドをダウンロードし、モデルキーを追加するかOllamaを指定してタスクを割り当てます。ソースから構築する場合は、Python 3.10以降、Node 20以降、およびデスクトップシェル用のRustが必要です。
- 連携
- GitHub、Slack、Jira、Notion、Linear、HubSpot、Outlook、monday.com、Gmail、Google Calendarなど25以上のコネクタに加え、ツールごとの制御が可能なあらゆるMCPサーバーに対応します。Slackでのメンションによりデスクトップセッションが開始され、スレッド内で返信が行われます。aisuiteを基盤に構築されています。
- データとプライバシー
- エージェントループ、会話、キー、コネクタトークンはローカルのシークレットストアに保持され、OAuthブローカーのみがクラウド上で動作します。サインインしたユーザーは、コンテンツを含まないセッションテレメトリイベントをデフォルトで送信しますが、オプトアウトが可能です。MITライセンスが適用されています。
- 大規模利用時のコスト
- 有料版はありません。費用はタスクごとのモデル利用量に応じて各プロバイダーアカウントに支払う料金のみです。Ollamaによるローカルモデルを使用すれば費用は発生しませんが、プロジェクト側がツール呼び出し処理に対して動作を保証しているのは、選定リストに掲載されたモデルに限られます。
- 制限
- 約374件の未解決IssueおよびPull Requestを抱えるベータ版です。Windows版インストーラーは未署名です。レビュアーモデルによる承認は推論に基づく見立てであり保証ではありません。また、メンテナーのロードマップ外のPRは却下される場合があります。
良い点
- いかなる自動承認モードでも引き下げられない人間限定の厳格な最低基準
- 承認前に再スキャンと差分レビューが実施されるセキュリティ修正
- エージェントのコマンドを実行するOpenShell、macOS、またはWindowsサンドボックス
- キー指定、OpenRouter、またはOllamaを介したローカル実行による任意のモデルの利用
気になる点
- 公開から3か月のオープンベータであり、約374件の未解決IssueおよびPRが存在
- Windows版ビルドのコード署名が未完了
- メンテナー自身の計画外の機能が却下される可能性
- サインイン時のテレメトリ送信がデフォルトで有効
おすすめの人
実行前に対話形式で確認を求め、誰が何を承認したかの記録を保持するローカルエージェントを必要とするセキュリティエンジニアや個人のナレッジワーカーに適しています。
OpenWorkerの代替
OpenWorker：よくある質問
- OpenWorkerは使う価値があるか？
- OpenWorkerは承認ゲートと監査証跡をアーキテクチャ内の適切な位置に配置していますが、公開から3か月のベータ版であり、ロードマップはコントリビューターではなく内部のリストによって決められています。 評価は5点満点中3.9点です。
- OpenWorkerの料金は？
- 無料でオープンソース（MIT）です。有料プランはなく、利用するモデルプロバイダーへの支払いのみが発生します。ローカルモデルを使用する場合は費用がかかりません。オプションの無料アカウントはコネクタ向けのOAuthを仲介します。
- OpenWorkerの欠点は？
- 公開から3か月のオープンベータであり、約374件の未解決IssueおよびPRが存在; Windows版ビルドのコード署名が未完了; メンテナー自身の計画外の機能が却下される可能性; サインイン時のテレメトリ送信がデフォルトで有効.
- OpenWorkerは誰に向いているか？
- 実行前に対話形式で確認を求め、誰が何を承認したかの記録を保持するローカルエージェントを必要とするセキュリティエンジニアや個人のナレッジワーカーに適しています。
- チームや本番環境でOpenWorkerを使うと費用はいくらか？
- 有料版はありません。費用はタスクごとのモデル利用量に応じて各プロバイダーアカウントに支払う料金のみです。Ollamaによるローカルモデルを使用すれば費用は発生しませんが、プロジェクト側がツール呼び出し処理に対して動作を保証しているのは、選定リストに掲載されたモデルに限られます。
- OpenWorkerは企業データを扱っても安全か？
- エージェントループ、会話、キー、コネクタトークンはローカルのシークレットストアに保持され、OAuthブローカーのみがクラウド上で動作します。サインインしたユーザーは、コンテンツを含まないセッションテレメトリイベントをデフォルトで送信しますが、オプトアウトが可能です。MITライセンスが適用されています。
- OpenWorkerの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はOpenBot, goose, Hermes Agent 、 Magentic-UI (MagenticLite)です。
回答確認日：2026年10月31日