ChatGPT Work、ログイン必要サイトも操作可能に

米OpenAIは8月25日（現地時間）、AIエージェント機能「ChatGPT Work」が、ログインが必要なWebサイトでもタスクを実行できるようになったと発表した。ChatGPT Workは業務作業をAIに代行させるエージェント機能で、そのうちWebサイトの操作はクラウド上の専用ブラウザ（AIが操作する仮想的なパソコンの中のブラウザ）が担う。Plus・Pro・Businessといった有料プランで使える。ChatGPTの公式X投稿によると、ログインが必要な操作への対応は8月25日からWeb版・モバイル版で順次展開されるという。この発表はITmediaでも報じられた。

仕組みはOpenAIのヘルプセンターで詳しく説明されている。これまでクラウドブラウザは、認証が必要なサイトに突き当たると、そこで作業を止めていた。新機能では認証画面が表示された時点で処理を一時停止し、専用のサインインフォームでユーザー自身にログインを促す。二段階認証（コード入力などで本人確認をもう一度行う仕組み）が必要な場合も同様だ。入力された認証情報はリモートブラウザに直接送られ、AIモデルには見えず、ChatGPTが保存することもないとヘルプセンターは説明している。フォームを表示する前には、フィッシング（偽のログイン画面などで情報を盗み取る手口）や詐欺的な誘導の兆候がないかを、別の審査用モデルがサイトと入力先をチェックする仕組みも用意されている。一度ログインすると、そのセッション（ログイン状態が保たれている期間）は有効期限が来るまで保持され、次回以降は再ログインが不要になる。

読者にとっての意味は、AIに任せられる作業の範囲がまた一段広がったという事実にある。ChatGPTの投稿が挙げる用途は幅広く、新しい住まいの公共料金契約を済ませる、保険の払い戻し額を確認する、返品の集荷を手配する、小規模事業の許可申請書に記入する、直近の商談内容をもとに取引先向けポータルにタスクを追加するなど、これまで「ログインしてクリックして」の手作業が必要だった実務そのものが並ぶ。会議の議事録作成やメールの下書きのような単発の生成作業ではなく、社内外のシステムに継続的にログインし続ける業務がAIエージェントの対象になり始めている。

ChatGPTの投稿は、ユーザー名やパスワードをChatGPTが見ることは一切ないと説明しており、これは事実として妥当だろう。認証情報そのものをモデルが受け取らない設計は、パスワード漏洩というわかりやすいリスクを確かに小さくする。

しかし、パスワードを見ないことと、ログイン後の権限をAIに預けないことは別の話である。ログイン状態を保ったままChatGPTが作業を続けるということは、そのアカウントでアクセスできる範囲、たとえば公共料金の契約情報や保険の契約内容、取引先とのやり取り履歴などに、セッションが有効な間はAIが触れ続けるということだ。パスワードという「鍵」を見せていなくても、鍵を開けたあとの部屋には入っている。ここは見落とされやすい。

OpenAIのヘルプセンターは、この「部屋への出入り」を2つの独立した許可で管理する設計を示している。ひとつは、どのサイトへのアクセスを許すかという設定で、常に確認を求める「Always ask」、危険と判断したときだけ確認する「Auto approve」、確認自体をしない「Always allow」の3段階から選べる（ヘルプセンターは3つ目を推奨していない）。もうひとつは、予約の確定や決済のように取り消しにくい操作の直前に必ず挟まる確認で、この2つは独立している。サイトへのアクセスを許可しても、重大な操作の確認は免除されない。権限の広さと操作の重さを別の軸で管理する発想は、AIエージェントに何をどこまで任せるかを考えるうえで参考になる。

実務で使う際に注意したいのは、この権限がセッションという時間軸でも残り続けることだ。クラウドブラウザは端末のブラウザとは別に、独自のCookieとログイン状態を保持しており、有効期限が切れるか、設定にある「Cloud browser」のブラウザデータ管理からサイトごとにログイン情報を消去するまで、AIがそのサイトにアクセスできる状態が続くとヘルプセンターは説明している。共有端末や、担当者が異動・退職したあとのアカウントでこの機能を使っていた場合、消去を忘れれば権限だけが残ることになる。

どのサイトでも同じように動くとは限らない点も見ておく必要がある。ChatGPTの投稿への返信には、Cloudflareなどのボット対策に阻まれ、本人確認を何度も求められて先に進めないという利用者の報告もある。ヘルプセンター自身も、サイト側が自動化されたアクセスを拒否する場合があり、その可否は各サイトの運営者が決めると認めている。ログインをAIに任せられるかどうかは、機能の有無だけでなく、相手サイトの姿勢にも左右される。

ログイン状態を保持したまま業務システムに触れるAIが実務の現場に入り始めた以上、確認すべきは「パスワードを見られていないか」ではなく、「このAIにどこまでの操作範囲を、いつまで預けているか」だろう。ChatGPT Workはその管理を、サイト単位のアクセス許可と操作の確認という2つのレバーに分けて利用者に委ねている。使う側がこの2段構えを理解していなければ、権限は広がったまま気づかれずに残る。

会議中のプライバシー設計に関心がある読者は、AIアシスタントInstinctのプライバシー懸念を扱った記事や、AI PCによる会議音声のローカル処理を扱った記事も参考になる。