アンディ・ン氏、完成品出力型デスクトップAI「OpenWorker」公開

Andrew Ng氏が、会話ではなく「完成した成果物」を生成するオープンソースのデスクトップエージェント「OpenWorker」を発表しました。このツールはユーザーにプロンプトを入力させるのではなく、「どのような結果を得たいか」を問います。具体的には、洗練されたドキュメントの作成や、実際の数値を含むSlackへの返信、カレンダーの更新、メールインボックスの整理などです。その後、目標達成に必要なステップを分解し、ローカルファイルや接続されたアプリを横断して作業を進め、重要な変更を加える前にユーザーに確認を取ります。

このアーキテクチャは4層構造で、すべてがユーザーのローカルマシン上で動作します。

リポジトリには、coworker/ ディレクトリ下に119個のPythonファイル（約3万2,400行）、surfaces/gui/ ディレクトリ下に149個のTypeScript/TSXファイル、そして78個のバックエンドテストモジュールが含まれています。

スタックの詳細は以下の通りです。

• デスクトップシェル：React 18 UIを包むTauri 2ネイティブウィンドウ。バンドルIDはcom.openworker.desktopで、Pythonサーバー自体を管理します。
• ローカルエージェントサーバー：FastAPIとuvicorn上のPython 3.10以上。デフォルトでは127.0.0.1:8765にバインドされます。設定例では、1回のターンにおけるモデルimageツールの反復回数を制限しています。
• 機能とコネクタ層：ファイル操作、Git、ripgrepを活用した検索、シェル実行、TODO管理といった検証済みのローカルツールに加え、ホスト型統合やMCP（Model Context Protocol）をサポートします。
• モデルルーター：ネイティブ、OpenAI互換、リセラー、ローカルプロバイダーなど、多様なLLMプロバイダを統一的なインターフェースで扱います。

このエンジンは、Andrew Ng氏が開発したプロバイダ非依存のLLMライブラリ「aisuite」を基盤に構築されています。

自分で選んだモデルを使えるよう、厳選されたリストから選択

OpenWorker には推論サービスがありません。ユーザーは API キーを貼り付けるか、ローカル実行環境を指すだけで利用できます。

厳選されたモデル行列には正確に 30 のエントリが含まれています。ネイティブプロバイダーとしては OpenAI（GPT-5.6 Sol/Terra/Luna および GPT-5.5）、Anthropic（Claude Fable 5、Opus 4.8、Sonnet 4.6、Haiku 4.5）、Google（Gemini 3.1 Pro、3.6 Flash、2.5 Pro、2.5 Flash）をカバーしています。OpenAI 互換ベンダーからは GLM-5.2、DeepSeek V4、Kimi K2.6、MiniMax M2.5、Qwen3 Max、Grok 4.3、Mistral Large が利用可能です。Together AI と Fireworks を通じてオープンウェイトモデルが提供され、Ollama を介して完全なローカルモデルも利用できます。Ollama の場合は API キーは不要です。

権限管理エンジンこそが、実際のエンジニアリングの核心です

デスクトップエージェントプロジェクトの多くでは、承認機能は UI 上の後付けとして扱われがちです。しかし OpenWorker では、これを型付きのレイヤーとして設計しています。

すべてのツール呼び出しは、4 つのリスククラスに分類されます。"read"（副作用なし）、"write_local"（ワークスペースを変更するパススコープ）、"exec"（コマンド実行）、そして "external"（マシン外での副作用）です。

これらに基づき、5 つの権限モードが動作を決定します。「discuss」と「plan」は読み取り専用です。デフォルトの「interactive」では、書き込みや外部アクションの実行前にユーザーに確認を求めます。「auto」はパススコープを維持しつつすべての操作を許可します。また、「custom」では、ユーザーがリストアップした特定のツールのみを自動承認します。

この設計には2 つの特徴的な判断があります。

1 つ目は、無人モード（unattended mode）が自律性の上限を引き上げるわけではないという点です。これは人間との接点をどこにするかを変えるだけです。本来ならインラインで表示されるプロンプトは「Inbox」にルーティングされ、回答があるまでセッションは一時停止されます。

2 つ目は、タスクスコープの恒久ルールが外部リスクにのみ限定されているという点です。シェルコマンドの実行については、設計上、常に確認を求め続ける仕組みになっています。

組み込みのオペレーション担当ペルソナ（ops persona）は、ツールやログ、Web 上のコンテンツ、ファイル、着信メッセージからのデータを「指示」としてではなく、「信頼できないデータ」として扱うようモデルに指示します。これは出荷時のペルソナに明記された、プロンプトインジェクションに対する明確な防御姿勢です。

プライバシー：ローカルファースト

モデルへの呼び出しは、マシンから設定されたプロバイダへ直接行われます。会話履歴、コネクタのトークン、モデルキーはすべてローカルに保持され、シークレットストアも設計上、機密情報がモデルのコンテキストやプロンプト、トレースに入ることはありません。

クラウド上に存在するのは、ワンクリックコネクタのための OAuth ハンドシェイクを処理するオプションのブローカーのみです。これは Auth0 の Authorization Code with PKCE を使用しています。コネクタトークンはマシンに直接渡され、クラウド上には一切保存されません。アプリは手動で認証情報を貼り付けることで、サインアウト状態でも完全に機能します。

Key Takeaways

OpenWorker は、チャット回答ではなく完成した成果物を返す、Andrew Ng が公開した MIT ライセンスのデスクトップ AI コワークラーです。

このスタックは、Tauri 2 と React をベースとしたシェル上に、aisuite を基盤とするローカルの Python FastAPI エージェントサーバーを構築しています。

モデルへのアクセスは「持ち込みキー（BYOK）」方式で、30 の厳選されたツール呼び出し対応モデルに加え、Ollama を使った完全なローカル利用も可能です。

型安全なリスクエンジンが、read/write_local/exec/external という 5 つの権限モードを通じて、すべてのアクションを制御します。

GitHub リポジトリ、プロジェクトサイト、および発表記事をチェックしてください。本件の研究に対する全てのクレジットは、このプロジェクトの研究開発者たちにあります。

アンドリュー・エン氏が「OpenWorker」を公開しました。これはチャットではなく、完成した成果物を返すオープンソースのローカルファースト型デスクトップ AI コワーカです。

このツールは MarkTechPost で最初に紹介されました。