Claude Code 無人自律運用における安全設計：askに頼らず機構で防御する多層防御戦略

本記事は、AIコーディングエージェント「Claude Code」を夜間バッチや定期処理といった無人環境で運用する際の、高度な権限設計とセキュリティ対策について詳細に解説しています。従来のガイドが「人が承認（ask）」することを前提としていたのに対し、この記事では人間が介入しない状況での安全確保を目指します。

結論として、単一の機構に頼るのではなく、「allow/deny/hook/sandbox」といった静的な境界を多層的に重ね合わせることが不可欠です。特に重要なのは、従来の「確認ダイアログ（ask）」に依存するのではなく、「拒否（deny）」という仕組みを利用し、安全網を保ちながらプロンプト出力をゼロにすることです。

無人運用では、単なる `--dangerously-skip-permissions` で全権限をスキップするのは危険であり、代わりに `dontAsk` モードを使用します。これにより、許可された操作は通常通り実行され、それ以外は「拒否（deny）」として即座にエージェントに返されます。この拒否が単なる停止ではなく、「壁」となり、エージェント自身が自動的に正しい書き方へ自己修正するループを形成することが安全性の核となります。

さらに、この仕組みの上に以下の多層防御を構築します：

1. **PreToolUse hook（層1）**: ツール実行前にコマンド文字列を静的に判定し、危険な操作を早期に阻止します。ただし、ラッパーやエンバイロメント変数による回避経路が存在するため、単独では不十分です。

2. **sandbox/container（層2）**: OSレベルでプロセスを隔離・封じ込めますが、これもbypassの事例があるため、万能ではありません。

3. **backup（層3）**: 最終防衛線として機能します。特にGit管理外の本番データや履歴破壊など、他の機構では戻せない「不可逆な外部作用」からシステムを守ります。

記事は、脅威を「①不可逆な外部作用」「②秘密漏洩」「③git外のデータ破壊」などの6類型に分類し、それぞれの脅威に対して最適な防御層（deny, backupなど）を割り当てる地図を提供しています。これにより、「全部Gitで戻せるから大丈夫」という誤った前提を排除し、真に必要な安全対策を設計することが可能となります。

---

背景

AIコーディングエージェントの高度化に伴い、開発環境での自動化・無人運用が一般化しています。しかし、これらのエージェントは広範な権限を持つため、誤作動や悪意ある動作によるデータ破壊（特にGit管理外の外部システム）のリスクが高まっています。本記事は、このリスクを最小化するための「機構的」な防御設計指針を提供しています。

重要用語解説

• Claude Code: AIコーディングエージェントの一種で、コード生成や修正を行うツール。権限設定（settings.jsonなど）を通じて動作が制御される。
• dontAsk: Claude Codeのパーミッションモードの一つ。実行時にユーザーへの確認ダイアログ（ask）を出す代わりに、許可されていない操作を即座に拒否（deny）するモード。
• PreToolUse hook: ツールが実際に使用される直前に外部スクリプトを実行できる仕組み。コマンド文字列を事前にチェックし、危険な動作を阻止するための第一の防御層となる。

今後の影響

本記事で提唱された多層防御モデルは、AIエージェントの信頼性を飛躍的に向上させます。企業が自動化プロセスを導入する際、単なる権限付与ではなく、この「機構による静的境界設定」を必須要件とすることで、重大なデータ漏洩やシステム破壊のリスクを構造的に低減できます。