Claude Codeのエージェント権限設計：ブラックリスト戦略と決定論的強制（フック・サンドボックス）による安全性の確保
本記事は、AIエージェント「Claude Code」に与えるべき適切な権限管理の設計方針として、「やってはいけないことだけを定義し、それ以外はすべて許可する」というブラックリスト方式を提唱している。従来のホワイトリスト方式では、必要な作業が無限であるため、許可リストの作成が困難であり、エージェントの自律性を損なう問題がある。
Claude Codeの権限管理において、モデル（推論）とハーネス（実行・強制）の役割分離は安全性の基盤となっている。この構造を利用し、禁止事項を決定論的に強制する仕組みが重要となる。初期段階では、`settings.json`の`deny`ルール（静的なグロブパターン）や、`PreToolUse`フック（文脈依存の複雑な条件）を用いることが推奨される。
しかし、これらの方法は「コマンド文字列を読んで弾く」方式であるため、正規表現による変形や難読化といった攻撃には原理的に弱いという限界を持つ。したがって、真に安全性を確保するためには、「能力そのものを奪う」OSレベルのサンドボックス（第4の層）を最終的な防御策として重ねることが不可欠である。
結論として、エージェントの自律性と堅牢なセキュリティの両立のためには、①ブラックリスト方式を採用し、②`deny`ルールやフックで決定論的にチェックを行い、③最後にOSレベルのサンドボックスによるプロセス隔離を組み合わせる多層的な防御構造が必要であると解説している。
背景
AIエージェントが実環境（ファイルシステムやシェル）にアクセスする際、「どこまで権限を与えるか」という問題は、自律性と安全性のトレードオフとなる。本記事は、この課題に対し、単なる許可/禁止リストではなく、実行プロセス自体を制御・隔離する多層的なセキュリティ設計の必要性を論じている。
重要用語解説
- ハーネス（harness）: LLM本体を取り囲み、その出力を受け取ってパーミッション検査やツール実行を行うインフラ層。推論と強制を分離し安全性を高める役割を持つ。
- ブラックリスト方式: 「やってはいけないこと」だけを列挙して禁止するアプローチ。必要な作業が無限であるエージェントの自律性維持に優れる。
- PreToolUseフック: Claude Codeがツール呼び出しを行う直前に必ず発火する仕組み。実行されるコマンドの内容を検査し、決定論的に許可・拒否判断を下すことができる。
今後の影響
本記事で提唱された多層的なセキュリティ設計（ブラックリスト＋フック＋サンドボックス）は、AIエージェントの実用化における信頼性を飛躍的に向上させる。これにより、企業が機密性の高い業務プロセスにエージェントを導入する際の技術的根拠となり、より安全な自動化システムの構築が進むと予想される。