何が明らかになったか
Simon Willisonは、ChatGPT Workを実際に使い倒したうえで「極めて分かりにくく、そして極めて強力な製品」と評しました。まず整理すべきは、ChatGPT Workが1つの製品ではなく2つある点です。chatgpt.comやモバイルアプリから使うクラウド版（記事では便宜的に「Work Cloud」）と、旧Codexであるデスクトップアプリ上で動き、手元のPCのファイルにアクセスしプログラムを実行できるローカル版（「Work Local」）です。後者は、非エンジニアに怖がられないようCodexを塗り替えたものだ、というのが彼の見立てです。記事の更新では、デスクトップアプリの「Where should this chat run?」ドロップダウンからWork Cloudも選べることが追記されています。
利用条件は明確で、月20ドル以上のプランのみ。無料ユーザーと月8ドルのGoユーザーは使えません。UI上はChatと並ぶタブとして提示されます。
「用途」ではなく「機能」で語られていない問題
OpenAIの公式ガイダンスは「答え・説明・ブレスト・短い下書きが欲しいときはChat、ブリーフやデッキ、分析、定期更新、ワークフロー、レビューして使えるファイルなど明確な成果物が欲しいときはWork」という説明です。Willisonはこれを「ほぼ役に立たない」と切り捨てます。理由は単純で、彼はそれらのタスクを何年も通常のChatでこなしてきたからです。
そこで彼が行ったのは、用途ではなく機能の差分を特定する作業でした。WorkにあってChatにないものとして、SolのかわりにLuna・Terraを選べること、インターネットに出られるコード実行環境、ヘッドレスChromeブラウザ、セッション間で共有される永続ファイルシステム、ChatGPT Sitesの公開、Sol/Luna/Terraによるサブエージェント実行、そして定期実行プロンプト（これはChatにもある模様）を挙げています。
モデル選択も別体系です。WorkではGPT-5.6のSol/Luna/Terraを、Light・Medium・High・Extra High・Max・Ultraの6段階の推論レベルで、加えてGPT-5.5を4段階で選べます。これらはOpenAI APIで提供されているものと同じに見える、とのこと。一方Chatは5.6のInstant・Medium・High・Extra High・Proという別構成で、Extra HighとProは月100ドル以上、月20ドルはHigh止まり。しかもChat側はそれがSolなのかLunaなのかTerraなのかを説明しません。5.6 ProはChat専用でWorkに相当品がありません。彼の推測では、WorkのセッションはCodex枠、Chatは別枠で課金されており、それがモデル差の背景ではないかとしています。なおCodexの経験から、Ultraはサブエージェントへの委譲をより積極的に行う特別モードだと理解している、と述べています。
本丸は「外に出られるコード実行環境」
Willisonが最も興奮したのは、コード実行環境がインターネットに接続できる点です。2023年にOpenAIが切り拓いたCode Interpreterパターンの長年の支持者としての評価です。現在のChatGPT Chatはこれができず、追加パッケージのインストールも外部サイト・APIへのアクセスもコンテナのプロキシに遮断されます（1月に一度パッケージインストールができるようになったが、今は動かないようだ、変更履歴をきちんと公開してほしい、とも書いています）。
比較対象として挙がるのがClaudeのコンテナで、昨年9月のローンチ時から制限付きのインターネット接続を許し、PyPIやNPMからのインストール、GitHubのクローンができますが、許可ドメインのリストは非常に短い。対してChatGPT Workは許可ドメインを指定して構成できるものの、デフォルトは全開放に見え、リポジトリのクローンから依存関係のインストール、そしてそれらを使ったWeb操作まで通ります。
ブラウザツールも実物のヘッドレスChromeを起動し、サイト読み込み・フォーム入力・スクリーンショットに対応します。ログインが必要なサイトでは、モデルを経由させずにユーザー本人にパスワードや2FAコードの入力を引き渡せます。読み込んだページのDOMに対してJavaScriptを実行することもでき、彼が「simonwillison.netを開いて見出しをJavaScriptで抽出して」と指示すると、Workはtab.playwright.evaluateでh1〜h6を走査するPlaywrightコードを実行しました。自作のshot-scraper javascriptツールがスマホから使えるようになったようなものだ、という感想です。
永続ファイルシステムとサイト構築
Chatはセッションごとに新品のファイルシステムが与えられ、他セッションからは触れません。Workは各セッションが /workspace/scratch/e00a0a017944 のような固有のスクラッチフォルダを持ち、それがセッションを跨いで残ります。彼の環境には171個のフォルダが溜まっているそうです。しかも/workspaceボリュームは実行中の全Workセッションにマウントされているらしく、あるセッションのファイル編集が他から即座に見えます。ただしプロセス空間は共有されず、片方で立��たlocalhostサーバーには他方からアクセスできません。
さらにCloudflare Workers上に、HTML・JavaScriptに加えD1やR2を使ったステートフルな機能まで含むサイトを構築・デプロイできます。彼は「ロンドン中の『pelican in her piety』の場所を全部調べてJSONにし、それについてのChatGPT Sitesのサイトを作って」というプロンプトから london-pelicans-in-her-piety.simonw.chatgpt.site を生成しました。ChatGPT Sitesは既定では作成者のみの非公開で、公開設定やチームプランでの個人指定共有も可能です。
サブエージェントはChatにはなくWorkにのみあり、複数エージェントの並列実行が効く複雑なプロジェクト向けのパワーユーザー機能と位置づけられています。定期実行プロンプトは「毎日8時にWaymoがHalf Moon Bayのローンチ日を発表したか検索して」のような使い方ができ、何も起きていなければ黙り、新情報があれば通知します。これ自体はChatでも動くものの、Work専用機能と組み合わせて「1時間ごとにChatGPT Sitesを更新する」といった使い方ができる点が違いです。
223のツールと44のスキル、そして安全性
公開後、彼は新規Workセッションに「自分の全ツールをカテゴリ分けして列挙し、引数とツール説明をできる限り正確に複製したサイトを、技術ドキュメント調の最小装飾で作れ」と指示しました。出来上がったサイトには223個の登録ツールが載り、うち6個はdatasette-mcp経由の彼自身のMCP由来でした。ところがブラウザ関連はweb.run（検索・URLオープン・リンククリック）しか出てこず、何かが抜けていると疑った彼は「全スキルの完全な写しを個別ページとして追加しろ」と指示。結果、ChatGPT Workが44のスキルを使っていることが判明します。
そのうちcontrol-browserスキルには、ブラウザのセットアップコードはNode REPLのjsツール（呼び出しIDは通常 mcp__node_repl__js）経由で走ること、ブラウザ操作はbrowser-clientランタイムの agent.browsers.* API で公開されており、触る前に await browser.documentation() の全文を一度に出力して読まねばならないことが書かれていました。彼はその出力全体を /skills/control-browser ページ末尾に追記させ、今は誰でも読める状態です。他にも documents（.docx作成）、imagegen（image_genのコツ）、pdf（読み取りとレンダリング）、Spreadsheets（.xlsx/.xls/.csv/.tsv操作）、sites:sites-building、openai-docs（自分自身についての質問に答える）、data-analytics:build-dashboard などが並びます。
最後に彼は安全性を未解決の論点として提示します。自身の「lethal trifecta（致命的な三要素）」モデル——プライベートデータへのアクセス、信頼できないコンテンツへの露出、盗んだ情報を攻撃者へ送り返す経路、この3つが揃うと危険——を挙げ、ChatGPT Workは3つすべてを兼ね備えていると指摘。プロンプトインジェクション対策についてOpenAIからもっと説明が欲しい、おそらく答えはCodexと同じ自動レビュー機構だろう、と述べています。混乱の原因として彼が挙げるのは2点。OpenAIがWorkを「何をするものか」ではなく「何のためのものか」で説明していること、そしてシステムプロンプトとツール説明を今なお隠していること。「ドキュメントに正確なシステムプロンプトとツール説明が載っていれば、この記事を書く必要はなかった」というのが結論です。
💼 事業会社視点：これは自社にどう効くか
経営判断として押さえるべきは3点です。第一に課金設計の変化。Workは月20ドル以上の契約者限定で、月8ドルのGo枠では触れません。全社にGo相当の安価プランを配って「AI導入済み」としている日本企業は、Workが本命機能である以上、部署単位で20ドル以上の枠を切り直す必要があります。しかもWorkはCodex枠を消費するとみられ、エンジニア部門とビジネス部門で同じ枠を食い合う可能性があります。
第二にセキュリティ設計の前倒し。デフォルトで外部ネットワークが開いたコード実行環境と、ログイン済みブラウザ操作が同居する構成は、Willisonのlethal trifecta（私有データ・非信頼コンテンツ・外部送信経路）をそのまま満たします。ECや受託開発で顧客データを扱う立場なら、許可ドメインの限定設定を「使ってよい条件」として先に規定すべきです。/workspaceが実行中セッション間で共有される点も、部門横断で使う際の情報分離に直結します。
第三に内製ツールの見直し。ヘッドレスChromeでのフォーム入力・スクレイピング、Cloudflare Workers＋D1/R2でのサイト構築、1時間ごとの自動更新まで標準機能に入りました。競合価格の巡回収集、社内ダッシュボード、簡易LPといった「見積り30万円の小規模案件」は、発注側が自分で作れる領域に入ります。受託開発・制作会社は、実装単価ではなく設計・監査・運用責任で稼ぐ形へ、いま提案書のテンプレートごと組み替える時期です。