Claude Cowork-beveiligingsrisico's: De gids voor veilige enterprise-implementatie

Binnen 48 uur na de lancering van Claude Cowork in januari 2026 demonstreerden beveiligingsonderzoekers van PromptArmor een volledige aanvalsketen. Een Microsoft Word-document met witte tekst van 1 punt — onzichtbaar voor menselijke beoordelaars — bevatte verborgen prompt injection-instructies waardoor Cowork de financiële documenten van de gebruiker, waaronder bestanden met gedeeltelijke Social Security-nummers, uploadde naar het Anthropic-account van een aanvaller. Geen exploits, geen malware, geen gebruikersinteractie vereist buiten het openen van een bestand.

Dit was geen extreem grensgeval. Het was een demonstratie van het fundamentele beveiligingsmodel van een workstation AI-agent: Cowork verwerkt niet-vertrouwde inhoud als onderdeel van de normale werking, en die inhoud kan het de opdracht geven om actie te ondernemen.

Claude Cowork is de agentic workspace van Anthropic voor gedelegeerde, uit meerdere stappen bestaande taken. Het kan werken met lokale bestanden en verbonden tools, op het web surfen en acties ondernemen namens een gebruiker. Cowork draait nu op desktop, web en mobiel, met functionaliteiten en controls die variëren per implementatiemodus en abonnement.

Deze gids behandelt elk belangrijk Claude Cowork-beveiligingsrisico — wat de aanvalsoppervlakken zijn, waar governance-lacunes bestaan, en wat platform- en beveiligingsteams moeten inrichten voordat ze Cowork binnen hun organisatie inschakelen. Het behandelt ook hoe de AI Gateway en MCP Gateway van TrueFoundry de lacunes in het control plane dichten die de systeemeigen tools van Anthropic open laten.

Beveilig uw AI-agents voordat ze schalen

Beheer MCP-toegang, dwing beleid af en monitor agent-activiteit vanuit een gecentraliseerd platform.

Boek een demo

Claude Cowork-beveiligingsrisico's in één oogopslag

Wat Claude Cowork daadwerkelijk is (en waarom het 't beveiligingsmodel verandert)

De meeste beveiligingsteams beoordelen Cowork alsof het een geavanceerde chatbot is. Het juiste mentale model is een lokaal agent-proces dat op de machine van elke werknemer draait met de volgende mogelijkheden:

• Willekeurige code-execution in een gesandboxte omgeving — met het vermogen om sandbox escapes aan te vragen voor specifieke goedgekeurde taken
• Lokale bestanden lezen en schrijven binnen geconfigureerde mount points — inclusief gevoelige mappen, tenzij expliciet uitgesloten
• Web browsen met behulp van de geauthenticeerde sessiecookies van de gebruiker — niet de eigen geïsoleerde sessie, wat betekent dat Claude de ingelogde identiteit van de gebruiker overneemt op elke site waar deze is geauthenticeerd
• Geplande taken via Anthropic's Dispatch-functie — taken die blijven uitvoeren terwijl de gebruiker niet bij de machine is
• MCP-serververbindingen — met databases, interne API's en SaaS-tools waartoe de gebruiker toegang heeft
• Systeemeigen connectors — Slack, Google Workspace, Microsoft 365, met de permissies van het geauthenticeerde gebruikersaccount
• Computer Use op Pro/Max-abonnementen — volledige muis- en toetsenbordbesturing van de desktop buiten de sandbox

Het dreigingsmodel is wezenlijk anders dan dat van een chatbot. Een succesvolle prompt injection tegen Claude.ai lekt gesprekscontext. Een succesvolle injectie tegen Cowork kan lokale bestanden exfiltreren, shell-commando's uitvoeren, berichten versturen als de gebruiker, persistente geplande taken aanmaken en communiceren met elke service waar de gebruiker is geauthenticeerd, allemaal zonder een enkel expliciet permissiedialoogvenster te activeren als de juiste instellingen niet van kracht zijn.

De zes aanvalsoppervlakken

1. Indirecte prompt injection via bestand- en webinhoud

Prompt injection is de meest ernstige aanvalsvector en de vector met de hoogste waarschijnlijkheid tegen Cowork. Het aanvalspatroon is consistent: een gebruiker vraagt Cowork om een legitieme taak uit te voeren. Tijdens die taak leest Cowork niet-vertrouwde inhoud — een webpagina, een document, een e-mail, een API-respons. Die inhoud bevat ingebedde instructies gericht op de agent. Cowork voert die instructies vervolgens uit, mogelijk zonder dat de gebruiker een bevestigingsvenster ziet.

Aanvalsvectoren voor injectie:

• Office-documenten (Word, Excel, PDF) met onzichtbare tekst, wit-op-wit inhoud of tekens met lettergrootte 1
• Webpagina's met <span style="display:none"> of verborgen <div>-elementen die instructies bevatten
• E-mailteksten en bijlagen in samenvattings-workflows
• API-responsen van externe services die Cowork raadpleegt via MCP-tools
• Databaserecords die worden geretourneerd door SQL-queries, met name in analytics- of rapportageworkflows

De demonstratie van PromptArmor (januari 2026) liet de volledige keten zien: een Word-document met onzichtbare injectietekst → Cowork krijgt de opdracht te zoeken naar financiële documenten → Cowork uploadt gevonden documenten naar het Anthropic-account van een aanvaller met behulp van de API-sleutel van de aanvaller, ingebed in de injectie. Geen gebruikersinteractie vereist buiten het openen van het document.

2. De audit-lacune: Cowork is onzichtbaar voor compliance-tools

Dit is het operationeel meest significante Claude Cowork-beveiligingsrisico voor enterprise-teams. Vanaf medio 2026 is Cowork-activiteit expliciet uitgesloten van alle drie de compliance-mechanismen van Anthropic:

Dit betekent: u kunt geen compliancerapport genereren dat laat zien tot welke bestanden de Cowork-sessie van een gebruiker toegang heeft gehad. U kunt geen DLP-meldingen instellen op data die door Cowork-gesprekken stroomt via de systeemeigen tools van Anthropic. U kunt auditors niet exact aantonen wat Claude op een specifieke machine op een specifiek tijdstip heeft gedaan met behulp van enkel de infrastructuur van Anthropic.

OpenTelemetry biedt een operationele monitoringlaag voor Cowork. Afhankelijk van de configuratie kunnen geëxporteerde gebeurtenissen gevoelige inhoud bevatten, zoals prompts en tool-inputs. Organisaties moeten daarom beleid definiëren voor verzameling, filtering, redactie, toegang en bewaartermijnen voordat ze Cowork-telemetrie naar een SIEM sturen.

Gespreksgeschiedenis wordt lokaal op de machine van de gebruiker opgeslagen. Uw endpoint-beveiligingsstatus — full-disk encryption, EDR, patchbeheer — wordt de data-at-rest beschermingslaag voor Cowork-sessies. Als uw systeemvloot geen FileVault (macOS) of BitLocker (Windows) afdwingt, staat Cowork-gespreksdata onversleuteld op de schijf.

3. Browser agent-risico's: overname van geauthenticeerde sessies

Browsertoegang kan identiteits- en sessie-overnamerisico's creëren wanneer Cowork werkt via een geauthenticeerde browsercontext. Dit betekent dat Claude de ingelogde identiteit overneemt op Google Workspace, Salesforce, interne tools, bankportals en elke site waar de gebruiker is geauthenticeerd in het standaard browserprofiel.

Het risico wordt vergroot door het feit dat prompt injection via webinhoud een gedocumenteerde, reproduceerbare aanval is. Elke webpagina die Cowork ophaalt tijdens een onderzoeks- of samenvattingstaak is een injectie-oppervlak. Een kwaadaardige pagina kan Claude de opdracht geven om:

• Naar een geauthenticeerd intern systeem te navigeren en data te exfiltreren
• Formulieren in te dienen of transacties te starten als de gebruiker
• In de browser gecachte credentials van verbonden services te lezen
• Berichten of e-mails te versturen als de gebruiker via geauthenticeerde webmail-sessies

Het uitschakelen van webzoeken en het beperken van navigatie in de browser tot een allowlist van goedgekeurde domeinen is de belangrijkste mitigatie. Voor teams waar browsertoegang vereist is, configureert u expliciete egress-allowlists in de admin console en leidt u het Cowork-browserverkeer via uw bestaande proxy voor CASB/DLP-zichtbaarheid.

4. Geplande taken en de dispatch-functie

Geplande taken (Dispatch) vormen een persistentievector die de meeste beveiligingsteams onderschatten. Geplande taken kunnen een persistentierisico veroorzaken omdat agent-acties kunnen doorgaan zonder dat de gebruiker elke uitvoering actief controleert. Het exacte uitvoeringsgedrag hangt af van de vraag of de taak lokaal draait of in de cloudomgeving van Cowork.

De aanvalsketen ziet er als volgt uit: de gebruiker vraagt Cowork om een reeks documenten te verwerken → één document bevat injectie-instructies → de injectie maakt een Dispatch-taak aan die elke nacht draait → de taak leest gevoelige bestanden en stuurt ze naar een externe bestemming → dit gaat door totdat de taak handmatig wordt ontdekt en verwijderd.

Het monitoren van het aanmaken van geplande taken als een beveiligingsgebeurtenis met hoge prioriteit is essentieel. Elk aanmaken van een nieuwe Dispatch-taak moet een melding en beoordeling triggeren. Organisaties moeten ook bestaande geplande taken controleren tijdens elke Cowork-beveiligingsbeoordeling; deze kunnen zijn aangemaakt door eerdere injectiepogingen.

5. MCP-servers, plugins en supply chain-risico

Elke MCP-server, plugin en systeemeigen connector waartoe Cowork toegang heeft, vergroot de impact van een succesvolle prompt injection evenredig. Een agent met toegang tot een read-only documentatie-MCP-server heeft een beperkt exfiltratie-oppervlak. Een agent met toegang tot een Slack-connector, een GitHub MCP-server, een databaseconnector en Google Workspace heeft de sleutels van de organisatie in handen.

Systeemeigen connectors (Slack, Google Workspace, M365) erven de volledige permissies van de gebruiker in de verbonden service. Een connector die berichten kan versturen als de gebruiker is een exfiltratiepad als Claude via injectie is gecompromitteerd. Een Slack-connector op admin-niveau betekent dat Claude berichten kan plaatsen in elk kanaal, iedereen een DM kan sturen en elk gesprek kan lezen waartoe de gebruiker toegang heeft.

6. Computer use: geen permissiecontroles

Op de Pro- en Max-abonnementen stelt Cowork's Computer Use-functie Claude in staat om de desktop rechtstreeks te bedienen — klikken, typen, navigeren en communiceren met applicaties volledig buiten de sandbox. Computer Use gaat niet door hetzelfde permissiecontrole-framework dat andere Cowork tool calls reguleert.

Dit betekent dat een prompt injection die Computer Use bereikt, kan communiceren met elke desktopapplicatie, inclusief applicaties die niet via MCP of connectors zijn verbonden — lokale wachtwoordbeheerders, VPN-clients, SSH-terminalen, lokale databasetools of elke applicatie die de gebruiker heeft openstaan. Computer Use moet in enterprise-omgevingen volledig worden uitgeschakeld totdat er een allowlist-functionaliteit per applicatie beschikbaar is.

Claude Cowork-beveiligingsbest practices

Gebruik dit als een uitgangspunt, niet als een universeel beleid. Uw beheerde instellingen moeten de bestanden, tools, connectors en workflows weerspiegelen die elk team daadwerkelijk nodig heeft.

Identiteit: SSO, SCIM en tenant-beperkingen

Voordat u Cowork inschakelt voor een gebruiker, configureert u identiteitscontroles. Dit is het fundament waarop al het andere bouwt.

• Dwing SSO (SAML 2.0 of OIDC) af via de Claude Admin Console. Elke Cowork-gebruiker authenticeert zich via uw IdP. MFA wordt automatisch overgenomen.
• Configureer SCIM-provisioning zodat de-provisioning automatisch verloopt — uitdienstgetreden werknemers verliezen Cowork-toegang zodra hun IdP-account wordt gedeprovisioneerd, zonder handmatige tussenkomst.
• Stel tenant-beperkingen in op de netwerklaag door de anthropic-allowed-org-ids HTTP-header in te voegen bij uw proxy of firewall. Dit voorkomt dat gebruikers op beheerde apparaten zich authenticeren bij persoonlijke Claude-accounts en uw governance-controls volledig omzeilen.
• Schakel domeinregistratie in zodat zakelijke e-mailadressen altijd naar de enterprise-workspace worden geleid, zelfs als een gebruiker een persoonlijk account probeert aan te maken.

Beheerde instellingen: vergrendel vóór de lancering

Het bestand managed-settings.json dat via MDM wordt geïmplementeerd, is het primaire afdwingingsmechanisme voor Cowork op beheerde apparaten. Instellingen op het systeemniveau kunnen niet door gebruikers worden overschreven. Implementeer dit voordat u Cowork inschakelt voor uw pilotgroep:

Web browsen en netwerkeffecten

Webzoeken en browsen is de belangrijkste prompt injection-vector voor Cowork. Elke pagina die de agent ophaalt, is een injectie-oppervlak. Configureer deze controls in de admin console:

• Schakel webzoeken uit voor gebruikers die dit niet nodig hebben. Dit is de enkele maatregel met de hoogste impact voor het verminderen van blootstelling aan injecties.
• Configureer egress-allowlists voor teams die browsertoegang nodig hebben. Begin met de minimale set vereiste domeinen en breid uit op verzoek.
• Leid Cowork-verkeer via uw bestaande proxy. Dit geeft uw CASB/DLP zichtbaarheid in welke domeinen Claude bereikt, zelfs als het de besluitvorming van de agent niet kan inspecteren.
• Beperk de mount points waartoe Cowork toegang heeft op het lokale bestandssysteem. Sluit ~/.ssh, ~/.aws, credential stores en elke map die geheimen bevat uit.

Connector- en MCP-governance

Pas de minimale noodzakelijke scope toe op elke connector. Standaard connector-configuraties vragen vaak om ruimere permissies dan een specifieke use case vereist.

Leid alle MCP-servertoegang via de TrueFoundry MCP Gateway. Dit geeft uw team role-based access control op tool-niveau, pre-execution guardrails en een volledige audit trail van elke tool-invocatie, onafhankelijk van wat de systeemeigen controls van Cowork vastleggen.

Geplande taken en dispatch

• Behandel het aanmaken van geplande taken als een beveiligingssignaal met hoge prioriteit. Elk nieuw aanmaken van een Dispatch-taak moet een melding triggeren en beoordeling vereisen.
• Controleer bestaande geplande taken tijdens uw Cowork-beveiligingsbeoordeling — eerdere injectiepogingen kunnen persistente taken hebben achtergelaten.
• Schakel Dispatch standaard uit en schakel het alleen in voor teams met een gedocumenteerde use case en een beoordelingsproces voor het aanmaken van taken.
• Monitor taak-uitvoeringspatronen. Langlopende of onverwacht frequente Dispatch-taken kunnen wijzen op een geïnjecteerde instructie die herhaaldelijk wordt uitgevoerd.

Vergelijking van beveiliging per abonnementsvorm

Enterprise is het enige niveau dat een redelijk beveiligingsuitgangspunt biedt. Team biedt elementaire admin-controls maar wordt geleverd met ruime standaardinstellingen — Chrome aan, connectors wijd open — die onmiddellijke remediëring vereisen. Pro- en Max-abonnementen hebben in feite geen organisatorische beveiligingscontrols. Als werknemers persoonlijke Claude Pro-abonnementen gebruiken voor werkgerelateerde taken, heeft u geen enkel governance-oppervlak.

Claude Cowork monitoren op beveiligingsbedreigingen

Omdat geen enkele telemetriebron elk agent security-signaal levert, moeten organisaties Compliance API-records, OpenTelemetry-gebeurtenissen, endpoint-telemetrie, netwerk-controls en logs op tool-niveau combineren.

Wat te monitoren via OpenTelemetry

Schakel gedetailleerde OpenTelemetry-logging in en leid vanaf dag één naar uw SIEM:

TrueFoundry AI Gateway biedt de model-call-laag van deze monitoring — elk LLM-verzoek van elke Cowork-sessie met volledige attributie, exporteerbaar naar elke OTEL-compatibele SIEM. TrueFoundry MCP Gateway biedt de tool-call-laag — elke MCP-invocatie gelogd met gebruikersidentiteit, payload en respons. Samen geven ze u de observability-basis die door de systeemeigen audit-uitsluiting van Cowork onmogelijk is op te bouwen met enkel de tools van Anthropic.

Zie de TrueFoundry OpenTelemetry-exportdocumentatie voor het instellen van SIEM-integratie.

Waarom enterprises een ai control plane introduceren

De uitdaging met het beveiliging van Claude Cowork is niet uniek voor Anthropic. Naarmate organisaties AI-coderingsassistenten, AI-agents, met MCP verbonden tools en meerdere modelproviders omarmen, raakt governance gefragmenteerd. Elk platform biedt zijn eigen permissiemodel, logging-framework, connector-ecosysteem en beveiligingscontrols.

Beveiligingsteams merken snel dat ze afzonderlijk beleid beheren voor Claude Cowork, Claude Code, Cursor, interne AI-agents, door OpenAI aangedreven applicaties en MCP servers. Zelfs wanneer individuele producten sterke native beheerselementen bieden, ontbreekt het organisaties nog steeds aan een gecentraliseerde laag voor het afdwingen van consistente governance over de gehele AI-stack.

Dit is waarom veel enterprises een AI control plane introduceren tussen gebruikers, modellen en tools.

Een gecentraliseerde AI control plane biedt:

• Geüniformeerde modelgovernance over Claude, OpenAI, Gemini en andere providers
• Consistente toegangsbeheerpolicys voor AI-applicaties en agents
• Gecentraliseerde observability en audit logging
• Budgetbeheer, rate limiting en kostenallocatie
• Toolgovernance voor MCP servers, connectors en enterprise-integraties
• Beleidsafdwinging onafhankelijk van individuele leveranciersimplementaties

Voor workstation agents zoals Claude Cowork wordt deze laag bijzonder belangrijk omdat governance zich moet uitstrekken voorbij de applicatie zelf naar de modellen die deze aanspreekt, de tools die deze aanroept en de gegevens waar deze toegang toe heeft. In plaats van te vertrouwen op afzonderlijke beheerselementen binnen elk AI-product, kunnen organisaties één enkele set beveiligings-, compliance- en operationele policys toepassen op hun gehele AI-ecosysteem.

Hoe TrueFoundry een extra controlelaag toevoegt voor Claude Cowork

Anthropic's native Cowork-beheerselementen regelen wat gebruikers kunnen configureren in de admin console. Ze regelen niet de modelaanroep-laag, de MCP tool-aanroep-laag, en bieden niet de gecentraliseerde observability die de Cowork audit-gap creëert.

TrueFoundry's AI Gateway bevindt zich tussen Cowork en de modelproviders, waardoor platformteams controle krijgen op request-niveau:

• Elke LLM-call van elke Cowork-sessie wordt gelogd met gebruikersattributie, modelselectie, token-aantallen en kosten - wat de observability gap opvult die Cowork's audit-uitsluiting veroorzaakt
• Budgetlimieten en rate limits voorkomen dat individuele Cowork-sessies onbeperkte token-capaciteit verbruiken tijdens lange agentic runs
• Model toegangsbeheer zorgt ervoor dat Cowork-sessies alleen toegang hebben tot goedgekeurde modellen, en blokkeert niet-goedgekeurde modellen met hoge kosten of hoge capaciteiten
• Guardrails op request-niveau passen inhoudsfiltering en PII-detectie toe op infrastructuurniveau, onafhankelijk van wat de instellingen op de applicatielaag van Cowork toestaan

TrueFoundry's MCP Gateway beheert elke tool-call die Cowork maakt:

• Gecentraliseerd MCP server-register - alleen goedgekeurde servers zijn bereikbaar via de gateway. Cowork-sessies kunnen geen niet-goedgekeurde MCP endpoints bereiken, ongeacht wat gebruikers lokaal configureren
• Role-based tool-toegang - verschillende teams hebben toegang tot verschillende tool-subsets. De Cowork-sessie van een financieel analist kan geen database-schrijftools aanroepen, zelfs als de MCP server deze technisch aanbiedt
• Pre-execution guardrails - tool-calls worden gecontroleerd vóór uitvoering. Instructies die lijken op door injectie getriggerde acties (bijv. bulk bestandsleesacties gevolgd door API-schrijfacties) kunnen worden gemarkeerd of geblokkeerd
• Volledige tool-aanroep audit trail - elke MCP call wordt gelogd met gebruikersidentiteit, toolnaam, request payload, respons en latentie. Geëxporteerd via OpenTelemetry naar uw SIEM

Samen vullen deze de drie kritieke hiaten op die de native tools van Anthropic niet adresseren: AI observability op request-niveau, MCP governance en gecentraliseerde beleidsafdwinging over alle Cowork-sessies heen.

Welke Claude-producten kan TrueFoundry beheren?

Zie TrueFoundry enterprise security voor Claude en MCP Gateway documentatie voor architectuurdetails.

Beveilig elke model- en tool-call met TrueFoundry

Voeg gecentraliseerd toegangsbeheer, guardrails en observability toe aan enterprise AI agents.

Meld u aan

Referentiearchitectuur voor veilige Claude Cowork-implementaties

De meest effectieve manier om Claude Cowork in enterprise-omgevingen te implementeren, is door het te behandelen als onderdeel van een bredere AI-infrastructuurstack in plaats van als een standalone desktopapplicatie. Beveiligings-, governance- en observability-beheerselementen moeten onafhankelijk van Cowork zelf bestaan, zodat policys consistent blijven over AI-assistenten, agents en toekomstige AI-workloads.

Werknemers 

↓ 

Claude Cowork 

↓

TrueFoundry AI Gateway 

↓

Policy Enforcement Layer 

↓

Goedgekeurde Model Providers (Claude, OpenAI, Gemini, etc.) Claude Cowork 

↓

TrueFoundry MCP Gateway 

↓

Goedgekeurde MCP Servers 

↓

Enterprise Systemen (Slack, GitHub, Databases, Google Workspace) 

   ↘ OpenTelemetry 

↓ 

SIEM

Model governance-laag

TrueFoundry AI Gateway bevindt zich tussen Cowork en modelproviders, waardoor een gecentraliseerd controlepunt ontstaat voor alle modelinteracties.

Dit stelt organisaties in staat om:

• Elk model-request te loggen met gebruikersattributie
• Token-verbruik en kosten bij te houden
• Model toegangs-policys af te dwingen
• Rate limits en budgetbeheer toe te passen
• Guardrails op request-niveau te implementeren
• Zichtbaarheid te behouden over alle Cowork-sessies

In plaats van uitsluitend te vertrouwen op leveranciersspecifieke beheerselementen, krijgen platformteams een consistente governancelaag over elke AI-applicatie en assistent.

MCP governance-laag

TrueFoundry MCP Gateway biedt gecentraliseerde controle over de tools en systemen waar Cowork toegang toe heeft.

Dit stelt beveiligingsteams in staat om:

• Een register van goedgekeurde MCP servers te onderhouden
• Toegang tot specifieke tools te beperken op basis van rol
• Niet-goedgekeurde MCP endpoints te blokkeren
• Elke tool-aanroep te auditen
• Beleidscontroles toe te passen vóór uitvoering
• De 'blast radius' van prompt injection-aanvallen te verkleinen

Omdat MCP servers vaak toegang bieden tot gevoelige enterprise-systemen, is het beheren van tool-toegang net zo belangrijk als het beheren van model-toegang.

Enterprise observability

Native Cowork-beheerselementen bieden beperkte zichtbaarheid in agent-activiteit. Door verkeer via TrueFoundry te routeren, krijgen organisaties gecentraliseerde observability over model-calls, MCP-interacties en beleidsbeslissingen.

Deze telemetrie kan via OpenTelemetry worden geëxporteerd naar bestaande SIEM-platfoms, wat het volgende mogelijk maakt:

• Security monitoring
• Incidentonderzoeken
• Compliance-rapportage
• Kostenattributie
• Operationele analytics

Geüniformeerde AI governance

De meeste organisaties implementeren uiteindelijk meer dan één AI-assistent. Claude Cowork bestaat vaak naast Claude Code, Cursor, Windsurf, interne AI agents en aangepaste AI-applicaties.

Een gecentraliseerde AI control plane zorgt ervoor dat governancepolicys consistent blijven over al deze toepassingen. In plaats van afzonderlijke beheerselementen te implementeren voor elk AI-product, kunnen organisaties één enkele set beveiligings-, compliance- en operationele policys afdwingen via TrueFoundry's AI Gateway en MCP Gateway.

Deze aanpak transformeert Claude Cowork van een standalone desktop agent naar een beheerd onderdeel van het bredere AI-platform van de organisatie.

Claude Cowork beveiligingschecklist

• ☐ Rechten beoordelen: Beperk de toegang van Cowork tot alleen de bestanden, mappen en tools die het nodig heeft.
• ☐ Gevoelige gegevens beschermen: Houd vertrouwelijke bestanden en credentials buiten onnodige Cowork-taken.
• ☐ Connectors beheren: Beoordeel tot welke externe diensten Cowork toegang heeft en schakel ongebruikte connectors uit.
• ☐ Goedkeuringsstappen gebruiken: Vereis bevestiging vóór acties met hoge impact, zoals het wijzigen of verwijderen van bestanden.
• ☐ Enterprise controls toepassen: Gebruik SSO, RBAC, MDM en groepsbeleid waar beschikbaar.
• ☐ Activiteit monitoren: Volg beschikbare logs en controleer agent-acties op ongebruikelijk gedrag.
• ☐ Outputs verifiëren: Beoordeel belangrijke wijzigingen voordat ze worden gecommitted, gedeeld of gebruikt in productie.
• ☐ Policys actueel houden: Herzie rechten en beheerselementen naarmate workflows, tools en gebruikers veranderen.

Conclusie

Claude Cowork valt in een andere categorie enterprise software-risico dan elke SaaS-tool die uw beveiligingsteam eerder heeft geëvalueerd. Het is een AI agent die draait op machines van werknemers met lokale bestandstoegang, overname van browsersessies, shell-uitvoering en verbindingen met uw enterprise-systemen — en de activiteit ervan is expliciet uitgesloten van de compliance-tools waar u voor al het andere op vertrouwt.

De risico's zijn reëel en gedocumenteerd: een werkende keten voor bestandsexfiltratie gedemonstreerd binnen 48 uur na lancering, twee gepubliceerde CVE's en een injectiesuccespercentage van 1% dat opschaalt naar een statistische zekerheid over duizenden dagelijkse sessies. Dit betekent niet dat Cowork niet veilig kan worden geïmplementeerd in enterprise-omgevingen. Het betekent dat de implementatie expliciete beheerselementen vereist die de standaardconfiguratie niet biedt.

De zes aanvalsoppervlakken die in deze gids worden beschreven, hebben elk concrete mitigerende maatregelen. De organisaties die Cowork veilig implementeren, zijn de organisaties die het vanaf het begin behandelen als agent-infrastructuur — met dezelfde striktijd toegepast op identiteit, endpoint-controls, netwerkgovernance en observability als op elk ander bevoorrecht systeem op het netwerk.

TrueFoundry's AI Gateway en MCP Gateway bieden de gecentraliseerde handhavings- en observability-laag die de controlehiaten dicht die de native tools van Anthropic openlaten. Gecombineerd met de MDM-, SSO- en netwerkbeheerselementen die in deze gids worden beschreven, geven ze enterprise-beveiligingsteams een verdedigbare Cowork-positionering — niet alleen voor het dreigingslandschap van vandaag, maar ook voor de uitgebreide agentic mogelijkheden die in toekomstige releases komen.

Wilt u deze beheerselementen in de praktijk brengen? Bekijk hoe TrueFoundry u kan helpen AI agents te beheren, MCP-toegang te controleren en observability centraal te regelen binnen uw enterprise. 

Boek een demo met TrueFoundry.