Claude Cowork e seus arquivos: o que o agente acessa e o que fica fora do alcance dele?

Fala aí, beleza? A dúvida que trava todo mundo antes de abrir o Cowork não é "será que funciona", é "o que exatamente esse troço consegue ler aqui dentro?"

E é uma dúvida justa

O Cowork é o Claude trabalhando diretamente com arquivos, pastas e apps do usuário, lendo, editando e produzindo saídas reais, em vez de só bater papo na caixa de texto

Chat é conversa

Cowork é sessão de trabalho

Aí a pergunta muda de figura: na hora que tu aponta uma pasta com material de cliente pro agente, o que importa não é mais "a resposta é boa?", é PERÍMETRO: até onde ele enxerga, onde ele pode escrever e o que fica fora do alcance dele

Bora mapear isso direitinho?

Onde o Cowork roda: nuvem por padrão, desktop como ponte

Antes de falar de limite, precisa entender onde a coisa executa, porque o limite nasce daí

O Cowork está disponível nos planos pagos do Claude (Pro, Max, Team e Enterprise) e não aparece no plano gratuito

Pra iniciar, tu abre o Claude na web, no app desktop ou no app mobile, seleciona "Cowork" no canto inferior esquerdo da caixa de mensagem e descreve a tarefa

Se tu ainda tá na dúvida se compensa colocar isso no seu fluxo, já falei das vantagens e limitações do Cowork em outro post, aqui o foco é acesso

Sandbox? Que sandbox?

Nas sessões em nuvem, o loop do agente e a execução de código rodam dentro de um sandbox isolado e temporário, na infraestrutura gerenciada pela Anthropic

Formação Recomendada

Formação Vibe Coding

Do Prompt ao Produto: Crie Software Real com IA

• 474 aulas
• 20 projetos
• 39h 27min

Conhecer formação

Ele é criado no começo da sessão e destruído no fim, sem compartilhar estado entre sessões ou entre organizações

Essa infraestrutura é mantida separada dos ambientes corporativo, de pesquisa e de treinamento de modelos da Anthropic

Na execução local a lógica é parecida, só que a casca é outra: comandos de shell e o código escrito pelo Claude rodam dentro de uma VM Linux dedicada, isolada do sistema operacional host pelo hypervisor da plataforma, com filtragem de egress, restrições de syscall e isolamento de usuário por sessão

Se tu já mexeu com máquina virtual, é a mesma ideia de aproximação: o agente brinca dentro do quartinho dele, não na sua sala

Só separa bem uma coisa, porque é aqui que quase todo mundo se embanana: essa VM isola comando de shell e código escrito pelo Claude, e é SÓ disso que essa seção fala

O uso do computador (computer use) é outro mecanismo, com outra regra, e eu volto nele mais pra frente

A execução na nuvem é o padrão das sessões do Cowork hoje, ainda em beta, com liberação gradual por plano

A execução local segue disponível para deployments desktop existentes

Por que o app desktop precisa estar aberto:

Esse é o detalhe que mais confunde gente que começou pela web

Uma sessão na nuvem alcança arquivos locais ou o navegador do usuário SOMENTE através do app Claude Desktop naquele dispositivo, só para as pastas conectadas e só enquanto o app estiver online

Acesso a arquivos locais, uso do navegador e uso do computador exigem o Claude Desktop para macOS ou Windows aberto e conectado

O desktop é a ponte, beleza?

As sessões continuam rodando mesmo com o app desktop fechado ou o computador dormindo, mas qualquer tarefa que dependa de arquivo local, navegador ou computador precisa do app aberto

Tome cuidado com isso: fechar o notebook no meio de uma tarefa que mexe em arquivo da sua máquina não "pausa" a sessão, ela simplesmente perde a mão que ia executar aquela parte

O que o agente acessa e o que fica fora do alcance dele

Agora a parte que tu veio buscar, no mapinha direto

Repara numa coisa importante do egress: como o proxy é aplicado fora do sandbox, o sandbox não consegue reconfigurar nem contornar essa regra

Só destino em allowlist é alcançável

Porém tem uma ressalva que muita gente passa batido: as permissões de egress de rede NÃO se aplicam às ferramentas de web fetch e web search, nem a MCPs, incluindo o Claude in Chrome

O web fetch roda no servidor e fica limitado a resultados de busca e a URLs compartilhadas por você

E presta atenção no recorte dessa exceção: ela é sobre a allowlist de destinos, não sobre o resto do perímetro

Endereço privado ou interno da sua rede continua fora do alcance da sessão em nuvem, e estado de outra sessão também

Ou seja: a caixinha de rede que tu configurou não é a única porta da casa 🙂

O que você precisa entregar para o Cowork trabalhar

Limite é bonito na teoria, mas na prática ele vira uma listinha de coisas que SÓ você pode fazer

Conectar a pasta certa. O Claude só lê e grava nas pastas conectadas, então material que ficou de fora simplesmente não existe pro agente

Manter o desktop aberto quando a tarefa depende da sua máquina. Arquivo local, navegador e computador passam pela ponte, e ponte fechada é tarefa parada

No cenário empresarial, plugar as fontes. Em fevereiro de 2026 a Anthropic atualizou o Cowork permitindo que empresas conectem Google Drive, Gmail, DocuSign e FactSet, além de implantar plugins customizáveis por domínio (análise financeira, engenharia, RH)

Lembrar de onde moram os projetos. Os projetos do Cowork são exclusivos do desktop e ficam armazenados localmente, sem sincronização em nuvem para os dados de projeto no momento

Esse último detalhe muda rotina: se tu organiza seu trabalho em projetos, a organização mora naquela máquina

Dá pra tirar bem mais do agente ajustando o jeito de pedir também, tem uns ajustes e erros a evitar que valem a leitura depois dessa aqui

Claude in Chrome: quando o raio de acesso passa a ser a sua tela

Até aqui o modelo mental é confortável: pasta conectada, sandbox, ponte

Aí tem duas frentes que quebram esse modelo, e é aqui que a conversa de privacidade fica séria

O painel lateral do Chrome virou sessão do Cowork:

Em 12 de agosto de 2026 a Anthropic anunciou que o painel lateral do Claude in Chrome passou a ser uma sessão do Cowork

As conversas entram no histórico, skills e conectores funcionam dentro do navegador, e uma tarefa iniciada numa aba pode ser concluída no desktop, na web ou no mobile

Está disponível nos planos Max e Team, com liberação pros usuários Pro nas semanas seguintes ao anúncio, e administradores Enterprise podem habilitar a ferramenta seletivamente por domínio

O Claude in Chrome permite que o Claude veja a página aberta e aja nela: clicar em links, digitar texto, navegar entre páginas e preencher formulários usando os logins que VOCÊ já tem ali

Se liga nisso: o agente age com a sua sessão autenticada

E o uso do computador?

Lembra da VM Linux e do sandbox que eu expliquei lá atrás? Aquilo vale pra execução de código e pra comandos de shell

Computer use é OUTRO mecanismo, e é por isso que a regra muda de figura aqui

No computer use o mecanismo de navegação é captura de tela

O Claude tira screenshots pra se orientar, o que significa na prática que ele enxerga qualquer informação visível na tela ou nos apps autorizados, incluindo dado pessoal e documento sensível que estava ali do lado

E nesse caminho não existe sandbox entre o Claude e os aplicativos: ele interage diretamente com desktop, apps e navegador, clicando, digitando e navegando

Tem barreira, claro

O Claude pede permissão antes de acessar cada aplicativo, e alguns apps sensíveis (plataformas de investimento e trading, criptomoedas) vêm bloqueados por padrão

A documentação oficial também não recomenda usar computer use em apps com dados sensíveis de saúde, finanças ou outros registros pessoais

Os três riscos reais e como prevenir cada um

Arquivo apagado pra sempre:

Sintoma: sumiu conteúdo da pasta e não tem lixeira salvando teu dia

Causa: a permissão que tu deu inclui exclusão permanente. O Claude pode ler, gravar E excluir permanentemente arquivos das pastas conectadas

Prevenção: a documentação recomenda criar uma pasta de trabalho dedicada em vez de conceder acesso amplo, além de manter backups. A última barreira é o prompt de permissão: o Cowork exige autorização explícita antes de excluir permanentemente qualquer arquivo, com um aviso em que você precisa escolher "Allow"

Ou seja, o botão que tu clica no automático é justamente o que separa o arquivo do vazio, hehe

Prompt injection:

Sintoma: o agente segue instrução que não veio de você, escondida em algum conteúdo que ele leu

Causa: pra um ataque desses dar certo, duas coisas precisam ser verdade ao mesmo tempo: o Claude conseguir ler informação fora do limite de confiança do usuário E conseguir executar ações capazes de comprometê-lo

Prevenção: no modo "Automatically approve", a triagem de ações revisa cada ação quanto à segurança antes de executá-la e bloqueia o que julgar inseguro, e o sistema também procura sinais de prompt injection quando o Claude usa o computador. A configuração atual reduz a taxa de sucesso de ataques a menos de 0,08% em testes internos que combinam técnicas conhecidas, porém o risco não é zero

Guarda essa frase, ela é da própria doc: o risco não é zero

Escape de sandbox:

Sintoma: o agente sai do quartinho e chega no sistema de arquivos do host

Causa: em julho de 2026, o pesquisador Oren Yomtov, da Accomplish AI, divulgou o SharedRoot, uma cadeia de ataque que permitia a uma sessão do Cowork escapar da VM Linux local e ler ou gravar arquivos arbitrários no Mac host, incluindo chaves SSH e credenciais de nuvem, sem prompt de permissão. Todo o sistema de arquivos do host ficava montado dentro da VM em leitura e escrita no caminho /mnt/.virtiofs-root, visível apenas para o root do guest

Prevenção: a Anthropic tratou o relato como "Informative" em vez de vulnerabilidade crítica isolada, argumentando que o CVE de base estava dentro da janela de divulgação de 30 dias do programa e que as medidas propostas eram defesa em profundidade. A mitigação prática veio pelo desenho: a mudança do Cowork para execução na nuvem por padrão passou a valer para a maioria das sessões atuais

Como limitar o acesso antes de soltar o agente

Bora ver na prática? Só o que dá pra fazer hoje, com o que está documentado

1. Crie uma pasta de trabalho dedicada e conecte só ela, em vez de conceder acesso amplo. O erro comum deste passo é apontar a pasta inteira de Documentos "pra facilitar", que é exatamente o oposto do que a doc recomenda

2. Mantenha backup dos arquivos dessa pasta. O erro comum aqui é confiar no prompt de permissão como se fosse backup: ele é um aviso, não uma cópia

3. Revise as permissões de egress de rede da organização em Organization settings > Capabilities, na seção Code execution, ANTES de habilitar o Cowork. O erro comum deste passo é achar que essa configuração cobre tudo: ela não se aplica a web fetch, web search e MCPs, incluindo o Claude in Chrome

4. Confira o toggle "Run Cowork in the cloud" em Organization settings > Cowork. O erro comum é assumir o mesmo padrão nos dois planos: no Team ele vem ligado por padrão, no Enterprise vem desligado

5. Ligue o stream de eventos via OpenTelemetry se você é owner de Team ou Enterprise, mandando os eventos do Cowork pras suas ferramentas de SIEM e observabilidade. Dá visibilidade de chamadas de ferramenta, acesso a arquivos e decisões de aprovação humana. O erro comum deste passo é deixar pra ligar depois do primeiro susto, quando o histórico que interessava já passou

6. Deixe computer use e navegador pro final. O Claude pede permissão antes de acessar cada aplicativo, então vá liberando um por vez e lembrando que apps de investimento, trading e cripto são bloqueados por padrão, e que a recomendação oficial é não usar em apps de saúde, finanças e registros pessoais

Conclusão

O recado central é esse: o raio de acesso do Cowork é uma ESCOLHA sua, não um padrão do produto

Ele lê, grava e pode excluir permanentemente onde tu conectou

Ele não alcança pasta não conectada, endereço privado ou interno da sua rede, nem o estado de outras sessões e organizações

E ele só toca na sua máquina enquanto o Claude Desktop estiver aberto e online

Só não confunda as camadas: a VM e o sandbox isolam código e shell, enquanto o computer use age direto nos apps que você autorizou

Próximo passo concreto? Comece por uma pasta dedicada com backup, revise as configurações da organização se tu não estiver sozinho no time, e deixe computer use e navegador pra depois de entender como o agente se comporta no básico

É o jeito mais tranquilo de descobrir onde ele ajuda de verdade sem descobrir junto onde ele atrapalha 😀

até o próximo post!