Seguridad de Cowork en la empresa: qué revisar antes de activarlo

Cowork no se limita a contestar: lee archivos, usa los conectores de la empresa, navega por internet, ejecuta código y puede dejar tareas programadas que corren solas. Por eso la revisión de seguridad no es la misma que la del chat. Anthropic lo resume en dos preguntas: qué puede leer Claude y qué puede hacer. Un ataque solo funciona si Claude lee contenido de un tercero y además tiene permiso para actuar con él. Activar Cowork con criterio es acotar las dos cosas.

Esta guía recoge los ajustes de los planes Team y Enterprise y las recomendaciones de Anthropic, verificados en su centro de ayuda a 26 de octubre de 2026. Cowork cambia rápido; revisa los valores por defecto antes de activarlo.

Dónde se ejecuta Cowork

Es lo primero que pregunta un área de seguridad, y la respuesta tiene dos versiones:

Dos matices que conviene llevar a la reunión de seguridad:

• Las credenciales de los conectores no entran en el entorno aislado. Las llamadas a Gmail, Drive o Microsoft 365 se hacen desde el servidor, y el entorno solo recibe credenciales de esa sesión que caducan en horas.
• Las herramientas de detección en el equipo (EDR) no ven lo que pasa dentro. No pueden inspeccionar la máquina virtual local ni, por supuesto, una sesión en la nube. Si tu modelo de seguridad depende de esa visibilidad, necesitas otra fuente: los registros de la propia plataforma.

Los ajustes por defecto no son iguales en Team y en Enterprise

Enterprise arranca más cerrado. Antes de activarlo, comprueba en qué estado queda cada ajuste en tu plan:

El ajuste de los conectores merece una explicación. Con "Permitir siempre" desactivado, cada herramienta que puede escribir, como enviar un correo o crear un evento, pide aprobación en cada tarea. Solo quedan libres las herramientas que el conector declara de solo lectura, y la mayoría de conectores propios no lo declaran. Es un buen valor por defecto: déjalo así salvo que tengas un motivo concreto.

La lista de comprobación antes de activarlo

• Decide quién lo usa primero. En Enterprise, actívalo para un grupo piloto con roles personalizados en lugar de para toda la plantilla. En Team el interruptor es para todos o para nadie.
• Decide si habrá sesiones en la nube. Si las activas, puedes exigir que el equipo esté registrado como dispositivo de confianza y que el inicio de sesión sea reciente.
• Fija la salida de red. Lo prudente es permitir solo los dominios que el trabajo necesita. Los cambios se aplican a las sesiones nuevas, no a las que ya están abiertas.
• Revisa la búsqueda web por separado. Las reglas de salida de red no cubren la búsqueda web, la lectura de páginas ni los conectores MCP, incluido Claude en Chrome. Si no quieres que Cowork lea internet, desactiva la búsqueda web en los ajustes de capacidades y Claude en Chrome en su propio ajuste.
• Decide el modo de aprobación. En "Aprobar automáticamente" Claude revisa cada acción y bloquea las que considera inseguras; en "Omitir todas las aprobaciones" no revisa nada. Para el arranque, mejor que las tareas nuevas empiecen pidiendo aprobación.
• Controla los plugins. Un plugin junta skills, conectores y subagentes, así que una sola instalación puede ampliar mucho lo que Claude alcanza. Los propietarios pueden marcarlos como obligatorios, disponibles o no disponibles, y en Enterprise activar el análisis de skills y plugins para detectar contenido malicioso al instalarlos.
• En equipos gestionados, cierra los servidores locales. Con la gestión de dispositivos (MDM), la clave isLocalDevMcpEnabled en false desactiva los servidores MCP locales y los que traen los plugins, e isDesktopExtensionEnabled en false bloquea las extensiones de escritorio.
• Conecta los registros. Antes del piloto, no después (ver la sección siguiente).

Qué queda registrado y qué no

• Compliance API (Enterprise): recoge la actividad de Cowork desde la web, la app de escritorio y el móvil, incluidas las sesiones remotas.
• Historial local: las sesiones locales se guardan en el ordenador de cada persona, fuera de la política de retención de Anthropic, y el administrador no puede borrarlo de forma centralizada. En Enterprise se puede recuperar por la Compliance API, con un máximo de los últimos 30 días.
• OpenTelemetry (Team y Enterprise): envía a tu SIEM las llamadas a herramientas, los accesos a archivos y las decisiones de aprobación. Da visibilidad al equipo de seguridad, pero Anthropic avisa de que no sustituye a un registro de auditoría de cumplimiento.

Si tu empresa necesita conservar o borrar evidencias por obligación legal, la combinación que funciona hoy es Enterprise con la Compliance API, y sesiones en la nube en lugar de locales.

El riesgo que no se apaga con un ajuste: la inyección de instrucciones

Un correo, una página web o un documento pueden esconder instrucciones dirigidas a Claude para que haga algo que nadie le pidió. Anthropic entrena al modelo para rechazarlas y usa clasificadores que las detectan, pero reconoce que el riesgo no es cero. La defensa práctica es la de las dos preguntas del principio: que Claude no lea contenido no fiable en la misma tarea en la que tiene permiso para enviar, borrar o publicar.

Las normas para la plantilla

Los ajustes cubren la mitad. La otra mitad son hábitos, y conviene escribirlos en la política de uso de IA de la empresa:

• Conectar una carpeta de trabajo dedicada, no la carpeta personal entera, y nunca carpetas con credenciales, nóminas o datos financieros.
• Aprobar a mano las acciones irreversibles: enviar mensajes, publicar, comprar o borrar. Claude pide permiso explícito antes de borrar un archivo de forma permanente, en cualquier modo.
• No programar tareas que envíen mensajes, toquen archivos sensibles o hagan compras: corren en la nube aunque el ordenador esté apagado y nadie las ve en directo. Revisar el resultado de cada ejecución.
• Usar el navegador solo en sitios de confianza y no en webs con sesión iniciada que manejen dinero o datos personales.
• Tratar el uso del ordenador con más cuidado que todo lo demás: Claude hace clic y escribe directamente, sin entorno aislado y sin las comprobaciones de permisos del resto de herramientas. Bloquear las apps sensibles, como banca o salud.
• Parar la tarea y avisar si Claude abre archivos o sitios que nadie mencionó.

La responsabilidad de lo que Cowork hace en nombre de una persona sigue siendo de esa persona y de la empresa: los mensajes enviados, los datos modificados y lo que hagan las tareas programadas. Para la parte de contratos, retención y RGPD, la guía complementaria es Claude y los datos de tu empresa.