ChatGPT Workがログイン必須サイトも操作可能に｜パスワードを見ない仕組み・対象プラン・注意点【2026年8月最新】

ChatGPT Work のクラウドブラウザは、2026年8月25日（米国時間）のアップデートで、ログインが必要なWebサイトでもタスクを実行できるようになりました。ユーザーが専用フォームで一度サインインすると、その認証済みセッションが以後のタスクにも引き継がれ、次回からは再ログインなしでエージェントが作業を続けられます。

ただし、この機能を「パスワードを渡さないから安全」と受け取るのは誤りです。OpenAI が保存しないと明言しているのはパスワードであって、保存されるのは認証済みセッション（クッキー） です。パスワードが守られていることと、そのパスワードで開いた領域が守られていることは別の話です。

この記事でわかること

• 2026年8月25日のアップデートで具体的に何が変わったのか
• 「ChatGPTはパスワードを見ない」の中身と、それでも残るリスクの範囲
• Free / Go / Plus / Pro / Business / Enterprise / Edu のどこまでが対象か（Enterprise・Edu は要注意）
• 現時点でうまくいかないケース（CAPTCHA・一部ブラウザ・自動アクセス拒否サイト）
• 業務で使ってよい作業／使うべきでない作業の線引きと、導入前の推奨設定

想定読者は、ChatGPT の有料プランを業務で使っている実務担当者と、AIエージェントの社内解禁を判断する情シス・管理部門です。機能そのものの全体像は「ChatGPT Workとは？Codex統合の業務AIエージェント」で解説しており、本記事はそのうち「ログイン必須サイト操作」に絞って深掘りします。

何ができるようになり、何に注意すべきか

1. できるようになったこと — Web版・モバイル版の ChatGPT Work で、社内システムや会員制サイトなど「ログインしないと中身が見えないサイト」をエージェントが操作できるようになった。認証はユーザーが自分でセキュアフォームに入力し、以後はセッションが維持される。
2. 安全設計の中身 — 入力した ID・パスワードはモデルに渡らず、保存もされない（公式ヘルプの記述）。保存されるのはクッキーで、これによりログイン状態が継続する。フィッシング判定用のレビューモデルによる事前チェックもある。
3. 注意すべき点 — 生きた認証済みセッションが OpenAI 側に保持されるため、OAuth のような「権限の範囲を絞る・失効させる・監査する」仕組みとは性質が異なる。Enterprise / Edu ワークスペースではそもそもサイトへのサインインが使えない。CAPTCHA や自動アクセスを拒否するサイトでは失敗する。

判断に迷った場合の目安は明快です。決済権限・人事情報・顧客の個人情報に触れるアカウントは、現時点では連携しない。 参照系や定型の入力作業から試す。これが最も事故を起こしにくい入り方です。

2026年8月25日のアップデートで変わったこと

出典：OpenAI 公式GitHub（openai/openai-agents-python）

変更点は「クラウドブラウザがサインイン後のサイトを扱えるようになった」という1点に集約されます。

OpenAI Developers の公式アカウントは、この機能を「あなたの ChatGPT Work エージェントは、サインインが必要なサイトを使えるようになった。クラウドブラウザの操作を引き継いでログインすれば、あとはエージェントがタスクを続ける。ログインはセッションをまたいで維持されるので、サインインは一度で済む」と説明しています。

これまでのクラウドブラウザは、公開されているWebページの閲覧・クリック・フォーム入力までは可能でしたが、ログイン画面の先には進めませんでした。今回のアップデートで、その壁を「ユーザー自身が一度だけ手で越える」形で解消したことになります。

なお、ITmedia も指摘しているとおり、デスクトップアプリの内蔵ブラウザは以前からログイン後のサイトを扱えました。「ChatGPT がログイン必須サイトに対応」というニュースの正確な意味は、Web版・モバイル版で使えるクラウドブラウザ側が対応した、というものです。ここを取り違えると「うちはデスクトップアプリだから新機能だ」と誤解しかねません。

同時期にリリースされた関連アップデート

とくに Webhook 起点の定期タスクとの組み合わせは実務上のインパクトが大きく、「新着メールをトリガーに、ログインが必要な社内システムを操作する」という無人の連続処理が理屈のうえでは成立します。便利であると同時に、無監督で認証済みセッションが動く時間が長くなるという意味でもあります。使用量の考え方は「Codexの5時間制限はいつ復活した？」も参照してください。

そもそもクラウドブラウザとは何か（内蔵ブラウザとの違い）

クラウドブラウザは、OpenAI が管理するクラウド上の別マシンで動く ChatGPT Work 専用のブラウザです。手元のPCのブラウザではないため、PCを閉じても、席を離れても作業が継続します。

公式ヘルプは「クラウド上の別のコンピュータ上にある ChatGPT Work 専用のブラウザで、Webページを読み、ボタンをクリックし、フォームに情報を入力し、対応する公開サイトおよびサインイン済みサイト上で手順を実行できる」と説明しています。

重要なのは、ローカル環境から完全に切り離されているという点です。公式ドキュメント（learn.chatgpt.com）は、クラウドブラウザがローカルのタブ・拡張機能・閲覧履歴・保存済みパスワード・認証済みローカルセッションのいずれにもアクセスできないと明記しています。つまり、Chrome にログイン状態が残っていても、クラウドブラウザ側では改めてログインが必要になります。

ブラウザ型AIの全体像を比較したい場合は「AIブラウザおすすめ11選を徹底比較」が参考になります。なお、2026年8月9日に動作を停止した ChatGPT Atlas の後継としてブラウザ機能が ChatGPT 本体へ集約された経緯は「ChatGPT Atlas終了｜移行手順・代替策」にまとめています。

ログイン必須サイトを操作するときの流れ

実際の手順は、ユーザーが一度だけ操作を引き継ぐ形になります。公式および各社報道から整理すると、以下の流れです。

1. ChatGPT Work にタスクを依頼する（例：「経費精算システムで今月の未承認申請を一覧にして」）
2. クラウドブラウザが対象サイトにアクセスし、ログイン画面に到達したところで処理を止める
3. ChatGPT の画面上に専用のセキュアなサインインフォームが表示される（クラウドブラウザの操作をユーザーが引き継ぐ形）
4. ユーザー自身が ID とパスワード、必要に応じて認証コードを入力する。iOS では対応するパスワードマネージャーからの入力も可能（窓の杜）
5. 認証が通ると、エージェントがタスクの続きを実行する
6. 認証済みセッションは以後のタスクにも維持されるため、次回以降は再ログイン不要

MacStories の実機検証では、iPhone でログインした状態が Mac のクライアント側でも維持されており、セッションはデバイスをまたいで継続することが確認されています。

絶対に守るべき運用が1つあります。認証情報はチャット欄に入力しないことです。 公式もデスクトップの内蔵ブラウザについて「認証情報はブラウザにのみ入力し、チャットには決して入力しない」と注意喚起しています。チャットに書いた文字列は会話履歴として残るため、セキュアフォーム経由とは扱いがまったく異なります。

「ChatGPTはパスワードを見ない」の中身を分解する

この機能の説明で最も誤解されやすい部分です。守られているのはパスワードであり、そのパスワードで開いたセッションではありません。

公式が明言していること

• 公式ヘルプ：セキュアフォームに入力されたユーザー名とパスワードはモデルからは見えず、ChatGPT はその認証情報を保存しない。入力された認証情報はリモートブラウザに直接送られる
• 公式ドキュメント：ChatGPT はユーザー名やパスワードを見ることができず、モデルに渡ることも、モデルの学習に使われることもない
• サインイン要求に対しては、フィッシング判定用のレビューモデルが事前にチェックを行う
• クラウドブラウザは VM ベースのサンドボックス内で、認証済みユーザーにスコープされた実行状態で動作する

実際に保存されているもの

保存されるのはクッキー（認証済みセッション）です。MacStories は「クラウドベースのブラウザはユーザー名とパスワードを保存せず、代わりに以前の認証済みセッションに戻れるクッキーを保存している」と説明しています。だからこそ、一度ログインすれば次回以降サインインが不要になります。

この設計は、利便性と引き換えに次の性質を持ちます。

海外メディアの Decrypt はこの点を「保護策はパスワードをカバーしているが、そのパスワードが解錠するセッションはカバーしていない」と表現しました。TFTC も、保存されているのは「アカウントへのアクセスを与える生きた資格情報」であり、OAuth のようにスコープ付き・失効可能・監査可能な権限とは異なる、境界のない認証済みブラウザコンテキストが渡されると指摘しています。

これらは批判的な論調のメディアによる評価であり、実害が報告されたという意味ではありません。ただし、業務利用の可否を判断するうえでは「パスワードは安全＝全部安全」ではないという前提を持っておく必要があります。エージェント全般のリスク構造は「AIエージェントのセキュリティ対策｜リスクの全体像と実務チェックリスト」で体系的に整理しています。

プロンプトインジェクションは原理的に残る

信頼できないWebコンテンツを読んで行動するエージェントに対して、プロンプトインジェクションを完全に塞ぐ方法は現時点で存在しない、というのが業界の共通認識です。Anthropic 自身もブラウザ操作について「依然としてリスクがある」と表現しています。

実際の事故・脆弱性の例としては、2026年3月に Zenity Labs が公表したエージェンティックブラウザ群の脆弱性（認証済みセッション内での認証情報窃取が可能だった）や、Microsoft Copilot Cowork のファイル流出脆弱性があります。後者の詳細は「Microsoft Copilot Cowork ファイル流出脆弱性まとめ」に、AIエージェントによる実害事例は「AIエージェントがデータを全削除した事故まとめ」にまとめています。

ログイン必須サイトへの対応は、この「悪意ある指示を読み込む可能性」と「認証済みのアカウント権限」を同じ場所で重ねる機能です。だからこそ、サイトごとの権限設定を絞り込むことと、任せる業務そのものを限定することが、実質的な防御線になります。

対象プラン｜Enterprise・Eduでは使えない点に注意

Plus と Pro は対象、Free と Go は対象外、Enterprise と Edu ではサイトへのサインインが使えません。この Enterprise / Edu の除外は、日本語の速報記事ではほとんど触れられていない一方で、大企業の導入検討では最初に確認すべき項目です。

ソースによって記述が食い違っている点

対象プランの記述は、情報源によって差があります。判断材料として、どのソースが何と言っているかを明示します。

Business については、公式が「Enterprise・Edu では不可」と書いて Business を除外していないため対象と読めますが、公式が明示的に「Business 対象」と書いた文言は現時点で確認できていません。ワークスペースの設定やロールによって挙動が変わる可能性があるため、Business を契約している場合は管理画面で実際の可否を確認してください。

また、公式は提供範囲を「対応リージョン（supported regions）」としており、対象リージョンの具体的な一覧は確認できていません。日本国内での提供可否・時期についても現時点では断定できないため、実際にご自身の環境で設定画面にクラウドブラウザ関連の項目が表示されるかどうかで確認するのが確実です。

なお、この機能自体に追加課金はありません。ChatGPT Work は既存プランに内包される機能で、単体課金は存在しません。ただし ChatGPT Work は Codex・ChatGPT for Excel・Workspace Agents と同じ使用量プールを共有します。ログイン必須サイトの操作は長時間ブラウザを動かすため、この枠を消費する点はコスト設計上の判断材料になります。チーム単位での運用は「ChatGPT workspace agents とは？」も併せて確認してください。

実際に任せられる作業と、想定されているユースケース

公式および国内外の報道で挙がっている用途は、次のようなものです。

実務上の傾向として、「読む・集める・下書きする」までは向いており、「確定する・支払う・消す」は向いていないと考えると整理しやすくなります。

似た方向性の機能としては、署名済みセッションで LinkedIn や Salesforce、Gmail を操作する「OpenAI Codex Chrome拡張機能」や、Mac を直接操作する「Codex Computer Use」があります。どちらも「認証済み環境をエージェントに触らせる」という点で同じ判断軸が必要です。

現時点でできないこと・うまくいかないこと

期待値を適正化しておくべき部分です。速報記事は総じてポジティブですが、実機検証の評価はもう少し慎重です。

機能上の制約

• Enterprise / Edu ワークスペースではサイトへのサインインが使えない（公式ドキュメント明記）
• Free・Go はクラウドブラウザ自体が対象外
• クラウドブラウザはローカルのファイル・アプリに直接アクセスできない。ファイルはアップロードするか、認可済みの連携アプリ経由で扱う
• ローカルブラウザのタブ・拡張機能・履歴・保存パスワード・ログイン済みセッションは引き継がれない
• デスクトップアプリの内蔵ブラウザはファイルアップロードに非対応

サイト側の事情による失敗

公式ヘルプは「対応状況はサイトとアクションによって異なる。サイトが自動アクセスをブロックする場合や、サインイン・トランザクションの手順が未対応の場合がある」と明記しています。実際に想定される詰まりどころは次のとおりです。

• CAPTCHA が出ると人間の手動介入が必要になる（MacStories の実機検証）
• ボット対策が厳しいサイトでは、そもそもアクセス自体が拒否される
• MacStories のレビューでは、Mac の Safari 上で UI が固まる、セキュリティ対策により完全に失敗するといったケースが発生。一方 iPhone 側では単純な ID／パスワードのログインは成功
• 同レビューの結論は「最初のログイン画面を越えるのが依然としてストレスフル」であり、コンセプトは有望だが実運用はまだ荒い、という評価

また、2段階認証（MFA）を有効にしたサイトでの挙動は公式に明記されていません。窓の杜は認証コードの入力に言及していますが、TOTP・SMS・パスキーそれぞれの成否は確認できていないため、パスキー必須のサイトが通るかどうかは実際に試して確かめる必要があります。

決済の可否についても注意が必要です。重大な操作には別途確認が入るとされている一方、以前の公式ヘルプにはクラウドブラウザが決済を完了できない旨の記載があったとの指摘（Notebookcheck）もあり、現行の可否は流動的です。決済を前提とした運用設計は現時点では避けるのが無難です。

監査ログの限界（企業導入では最重要）

公式ドキュメントは、「すべてのシェルコマンド、ブラウザ操作、アプリ呼び出し、ファイル操作、承認が、顧客が閲覧できるコンプライアンスエクスポートに現れると想定してはならない」と明記しています。さらに「これらの記録は、ホストされたすべてのファイル操作・シェルコマンド・ブラウザ操作・ツール呼び出し・承認について、完全な監査証跡を確立するものではない」とも述べています。

Enterprise / Edu 向け Compliance Logs Platform の保持期間は30日であり、長期保持には SIEM 等への継続エクスポートが必要です。「何をしたか」を後から完全には追えない前提で業務範囲を決める必要がある、ということです。

業務利用の可否を判断するチェックリスト

社内ルールにそのまま転用できる粒度で整理します。

任せてよい作業

• 会員制の情報サイト・調査サイトからの情報収集と整理
• 社内システムの参照・一覧取得・レポートの下書き作成
• 進捗やステータスの定期確認（Webhook 起点の定期タスクと相性が良い）
• 影響が小さく、間違っても巻き戻せる入力作業

任せるべきでない作業

• 決済・送金・購買確定の権限があるアカウントの操作
• 人事評価・給与・採用選考など、機微な個人情報を扱うシステム
• 顧客の個人情報を含む基幹システム・CRM の更新操作
• データの削除・アーカイブ・権限変更など、巻き戻しが難しい操作
• 監査要件上、操作ログの完全な保存が義務づけられている業務
• 契約・申請の確定送信（下書きまでで止める）

サイトアクセス権限の3段階

Auto approve に設定していても、予約確定や決済などの重大な操作については別途の確認が必要になります（公式ドキュメント・ITmedia・窓の杜が一致して記載）。

導入前にやっておく設定・運用

1. サイトごとの権限設定を「Always ask（既定）」のまま運用する。 「Always allow」は OpenAI 自身が推奨していない設定です。
2. エージェント専用の権限制限アカウントを作る。 管理者権限や決済権限を持つアカウントでログインさせない。閲覧権限だけのアカウントを用意するのが理想です。
3. 許可リスト／ブロックリストで対象サイトを絞る。 既定設定とは別に、サイト単位で個別に上書きできます。
4. 作業が終わったら履歴を削除してセッションを切る。 削除は「設定 > Cloud browser」から行い、サイト単位でも一括でも可能です。
5. 監査ログの限界を前提に、重要な操作は別途記録を残す。 実行内容のスクリーンショットや実施記録を業務側で残す運用を組み合わせます。
6. 認証情報は必ずセキュアフォームに入力し、チャット欄には絶対に書かない。
7. アカウント自体の防御を固める。 連携元となる ChatGPT アカウントが乗っ取られれば前提が崩れます。パスキーやセキュリティキーの設定は「ChatGPT「高度なアカウントセキュリティ」完全ガイド」を参照してください。

運用上見落としやすい仕様が1つあります。あるサイトの履歴を削除すると、そのサイトからはログアウトされます。逆に言えば、履歴削除がセッションを切る唯一の実務的な手段です。会話を削除してもクラウドブラウザのクッキーは消えません（クラウドブラウザのデータは会話データとは独立したライフサイクルで管理されます）。

他ツールの同種機能との比較

出典：Anthropic 公式「Claude for Chrome」

「認証済みセッションをエージェントに持たせる」という設計は ChatGPT Work だけのものではありません。選択にあたっての比較ポイントを整理します。

ローカルのブラウザを使う方式（Codex Chrome拡張・Claude in Chrome）は、セッションが手元に残るため「クラウド側に生きたセッションを預けない」という点でリスクの置き所が異なります。一方で PC を閉じると止まるため、離席中の長時間処理には向きません。どちらが安全かではなく、どこにリスクを置くかの選択と捉えるのが実態に近いはずです。

エージェント型ツール全体での比較検討には「Claude Coworkとは？できること・料金・使い方」「Microsoft Copilot Coworkとは？」も参考になります。概念そのものの整理は「AIエージェントとは？仕組み・種類・活用事例・代表ツール」をご覧ください。

こんな人におすすめ

• Plus または Pro を契約していて、会員制サイトや社内ツールでの参照・集計作業に時間を取られている個人・少人数チーム
• 離席中や退勤後にも進めておきたい定型作業があり、ローカルPCを動かし続けたくない人
• 巻き戻しが効く範囲の作業から、AIエージェントの実運用を小さく試したい人
• Webhook 起点の定期タスクと組み合わせて、監視・確認業務を自動化したい人

おすすめしない人・現時点では見送るべきケース

• Enterprise / Edu ワークスペースを利用している組織 — 仕様上、サイトへのサインインが利用できません
• 完全な操作ログの保存が監査要件として求められている業務 — コンプライアンスエクスポートにすべてが現れる保証はありません
• 決済権限・人事情報・顧客の個人情報を持つアカウントを連携させたい場合
• CAPTCHA やボット対策が厳しいサイトを主対象にしたい場合 — 手動介入が発生して自動化の意味が薄れます
• 「一度設定すれば完全放置できる」ことを期待している人 — 実機評価では、最初のログイン画面を越える段階でつまずくケースが報告されています

よくある質問

Q. 追加料金はかかりますか。
A. この機能自体に追加課金はありません。ChatGPT Work は既存プランに含まれる機能で、単体販売はされていません。ただし ChatGPT Work は Codex・ChatGPT for Excel・Workspace Agents と使用量プールを共有するため、長時間のブラウザ操作は他の機能で使える枠を消費します。

Q. 入力したパスワードは ChatGPT に保存されますか。
A. 公式ヘルプによれば、セキュアフォームに入力された ID・パスワードはモデルからは見えず、保存もされません。保存されるのはクッキー（認証済みセッション）で、これによって次回以降のログインが不要になります。

Q. ログイン状態を解除するにはどうすればよいですか。
A. 「設定 > Cloud browser」から閲覧履歴と保存クッキーを削除します。サイト単位でも一括でも削除でき、あるサイトの履歴を削除するとそのサイトからログアウトされます。会話を削除してもクッキーは消えない点に注意してください。

Q. 2段階認証を設定しているサイトでも使えますか。
A. 認証コードの入力自体には対応していると報じられていますが、TOTP・SMS・パスキーそれぞれの成否は公式に明記されておらず、現時点では未確認です。対象サイトごとに実際に試して確認してください。

Q. 買い物や支払いまで代行できますか。
A. 予約確定や決済といった重大な操作には別途の確認が入るとされていますが、決済そのものの実行可否は現時点で流動的です。以前の公式ヘルプにはクラウドブラウザが決済を完了できない旨の記載があったとの指摘もあります。決済を前提とした運用は避けてください。

Q. 日本から使えますか。
A. 公式は提供範囲を「対応リージョン」としており、対象リージョンの具体的な一覧は確認できていません。設定画面にクラウドブラウザ関連の項目が表示されるかどうかで確認するのが確実です。

まとめ

ChatGPT Work のクラウドブラウザがログイン必須サイトに対応したことで、「AIに任せられる仕事」の範囲は確実に広がりました。会員制サイトからの情報収集や社内システムの参照といった、これまで人が手作業でやっていた領域が自動化の射程に入っています。

一方で、この機能の本質は認証済みセッションをクラウド側に預けることです。パスワードがモデルに渡らないことは公式に明記されていますが、それはセッションで開いた領域の安全を保証するものではありません。Enterprise / Edu ではそもそもサイトへのサインインが使えず、監査ログもすべての操作を記録する保証がない、という制約も踏まえる必要があります。

導入するなら、権限を絞ったアカウントで、Always ask のまま、巻き戻せる作業から。この3点を守れば、リスクを抑えつつ効果を確かめられます。

• 機能の全体像から確認したい方 →「ChatGPT Workとは？Codex統合の業務AIエージェント」
• リスク管理を体系的に固めたい方 →「AIエージェントのセキュリティ対策｜リスクの全体像と実務チェックリスト」
• 情報漏洩リスク全般を押さえたい方 →「生成AIのセキュリティリスクとは？」

主な参照元

• OpenAI Help Center: Using cloud browser in ChatGPT
• ChatGPT Learn（OpenAI公式ドキュメント）: Browser / ChatGPT Work cloud security
• OpenAI: Premium seats are coming to ChatGPT Business
• ITmedia NEWS（2026-08-26）: ChatGPT Work、ログイン必要なサイトも操作可能に
• 窓の杜（2026-08-25）: AIエージェント「ChatGPT Work」がサインインを要するWebサイトの操作も実行可能に
• MacStories: Hands-On with ChatGPT Work's New Cloud Browser Feature
• Decrypt: Red Flag? OpenAI's Agentic ChatGPT Work Signs Into Your Accounts Without You
• TFTC: OpenAI's ChatGPT Work Holds Your Authenticated Sessions on Its Servers