アンドリュー・ン教授が公開したOpenWorker：ローカルファーストのAIエージェントが「チャット」の常識を覆す

AI教育の第一人者であり研究者として知られるアンドリュー・ン（Andrew Ng）教授が、従来のAIチャットボットのパラダイムを超える新しいオープンソースデスクトップアプリケーション 「OpenWorker」 をリリースしました。2026年7月23日に発表されたOpenWorkerは、MITライセンスの下で公開されたローカルファーストのAIエージェントです。ユーザーとの単なる対話ではなく、洗練されたドキュメント、更新されたカレンダーエントリ、特定のデータを含むSlackメッセージといった「完成した仕事」を納品することを目的としています 。ソースコードはGitHubの github.com/andrewyng/openworker で公開されており、現在オープンベータ版として提供されています 。

アーキテクチャ：4層のローカルスタック

OpenWorkerはユーザーのマシン上で完全に動作し、クラウド上の推論サーバーを必要としません。そのアーキテクチャは以下の4つの明確な層で構成されています ：

• デスクトップシェル： Tauri 2のネイティブウィンドウでReact 18のユーザーインターフェースをラップ（バンドルIDは com.openworker.desktop）。このシェルはPythonサーバープロセスも監視します。
• ローカルエージェントサーバー： Python 3.10以上でFastAPIとUvicornを使用して構築。ローカルマシンの 127.0.0.1:8765 にバインドし、タスクあたりのデフォルトのモデル-ツール反復回数は12回に制限されています。
• 機能＆コネクタ層： ファイルシステム、git、ripgrepベースの検索、シェル、ToDoリストと連携する一連のローカルツールを提供。さらに、ホステッド統合機能やModel Context Protocol（MCP）もサポートします。
• モデルルーター： コアとなるモデルインターフェースは、アンドリュー・ン自身が開発したプロバイダ非依存のLLMライブラリ 「aisuite」 上に構築されています。これにより、OpenWorkerはネイティブ、OpenAI互換、リセラー、ローカルモデルの各プロバイダにわたる単一の統一インターフェースを提供します 。リポジトリには、coworker/ ディレクトリ下に119のPythonファイル（約32,400行）、surfaces/gui/ 下に149のTypeScript/TSXファイル、そして78のバックエンドテストモジュールが含まれています 。

サポートモデル：30の厳選モデル、BYOK方式

OpenWorkerはユーザーを単一のプロバイダに縛りません。複数カテゴリにわたる30の厳選モデルをサポートしており、利用にはすべてユーザー自身のAPIキー（BYOK: Bring Your Own Key）が必要です 。サポートされるモデルは以下の通りです：

• ネイティブプロバイダ： OpenAI GPT-5.6 Sol、Terra、Luna、GPT-5.5；Anthropic Claude Fable 5、Opus 4.8、Sonnet 4.6、Haiku 4.5；Google Gemini 3.6 Flash、3.1 Pro、2.5 Pro、2.5 Flash。
• OpenAI互換ベンダー： GLM-5.2、DeepSeek V4、Kimi K2.6、MiniMax M2.5、Qwen3 Max、Grok 4.3、Mistral Large。
• ホステッドオープンウェイトモデル： Together AIやFireworksなどのパートナー経由で利用可能。
• 完全ローカルモデル： Ollamaを介して利用可能。APIキーは不要です。

許可・安全システム

OpenWorkerの重要な特徴の一つは、その安全性へのアプローチです。エージェントが行うすべてのツール呼び出しは、4つのリスク階層 に分類されます ：

1. read — ローカルデータの表示（副作用なし）
2. write_local — マシン上のファイル作成・変更（パススコープ）
3. exec — シェルコマンドの実行
4. external — マシン外へのデータ送信（例：Slack、メール、カレンダー）

これらの階層は、さらに 5つの許可モード によって制御されます ：

1. discuss — 読み取り専用の議論
2. plan — 読み取り専用の計画
3. interactive（デフォルト） — 書き込み、コマンド、外部アクションの前にユーザーに確認
4. auto — すべてを許可するが、パススコープは維持
5. custom — ユーザー指定のツールセットを自動承認

プロンプトインジェクション防御

プロンプトインジェクション攻撃から保護するために、OpenWorkerには組み込みの「オペレーショナルペルソナ」が搭載されています。これは、ツール、ログ、ファイル、および受信メッセージからのコンテンツを命令ではなく信頼できないデータとして扱うようモデルに指示します。この防御策は、出荷されるペルソナ設定に直接書き込まれています 。

プライバシーファーストの設計

OpenWorkerは強力なプライバシー原則に基づいて設計されています ：

• モデル呼び出しはユーザーのマシンから選択したプロバイダに直接ルーティングされ、中間リレーサーバーは存在しません。
• 会話、コネクタトークン、APIキーはローカルに保持されます。 シークレットストアは、シークレットがモデルコンテキスト、プロンプト、またはトレースに決して入り込まないように設計されています。
• 唯一のオプションのクラウドコンポーネントは、ワンクリックコネクタハンドシェイクのためのOAuthブローカー（Auth0 Authorization Code with PKCEを使用）です。コネクタトークンはマシンに直接渡され、クラウドに保存されることはありません。
• アプリは、APIキーと認証情報を手動で貼り付ければ、完全にオフラインで動作します。

プラットフォームサポートと現在のステータス

OpenWorkerは現在 Mac で動作し、Windowsサポートは「近日対応予定」 とされています 。プロジェクトはオープンベータ版であり、十分に使用可能で、自己更新機能も備えていると説明されています 。

チャットボットパラダイムの終焉

OpenWorkerは、チャットボットモデルからの明確なシフトとして位置づけられています。ユーザーは会話のプロンプトを与える代わりに、望む成果（例：「整理された受信箱」「洗練されたドキュメント」「Q3の数字を含むSlack返信」「更新されたカレンダーエントリ」）を指定します。エージェントはその目標をステップに分解し、ローカルファイルや接続されたアプリケーション間で作業を行い、重要なアクションの前には人間の承認を求めます 。OpenWorkerは25以上の統合機能に加えてMCPをサポートしており、Telegram、GitHub、Slack、Jira、Notion、Linear、HubSpot、Outlook、Gmail、Google Calendarなどのツールをカバーしています 。