AIのセキュリティとガバナンス｜安全に使うガイド

1つのリポジトリに複数のサイトを入れ、サイトごとのフォルダにCLAUDE.mdやAGENTS.mdを置いても、その決まりが作業の前に必ず読まれるとは限りません。Claude Codeは起動したフォルダより下のCLAUDE.mdを、そのフォルダのファイルを読む・書く・編集したときに読み込み、Codexはプロジェクトの一番上から起動したフォルダまでのAGENTS.mdだけを、1回の実行の最初に読みます。この記事では、両ツールの読み込みと、読まれたかの確かめ方（/contextに出るのは起動時に読んだものだけ）を同じ項目で比べ、担当のフォルダの外を変えたらリリースが止まる確認と、書き込みを止めるツールの設定をまとめます。あわせて、名前の似たリポジトリをremoteのURLと最初のコミットで見分ける方法と、環境変数を名前だけ見るコマンドも紹介します（2026年11月1日確認）。

CLIだけでなく、Codexアプリ・IDE、Claude Desktop・VS Code・Web・スマホで調査専用にする操作を整理。read-onlyとPlanの違い、設定の適用・保存範囲、ツール限定、そのまま使える依頼文、差分の確認が分かります。

Codexの秘密ファイル対策を、読み取り拒否・作業環境の分離・承認・通信の違いから解説。Permission profilesの設定例、.envの名前と階層、環境変数、OSごとの制約、ダミーで拒否を確かめる手順が分かります。

Codex Securityを選ぶ前に、ローカルプラグイン・GitHubに接続するCloud・単体CLIの違いを整理。Cloudの通常枠とは別の課金、条件付きの無料スキャン用クレジット、初回の設定と依頼文、StandardとDeepの負担、検査範囲と再現証拠の読み方、修正後の確認を公式文書で解説します。単体CLIで環境内のAPIキーが選ばれる条件と、推定コスト制限の使い方も分かります。

Claude Code の mods（Claude Mods）は、2026年10月1日の v2.1.287 で正式に入った、JavaScript か TypeScript の関数を Claude Code の中で動かすプラグインです。この記事では、3つのファイルでできた mod の仕組みと、settings.json に書く従来の hooks・スキル・MCP との違い、画面にパネルを描く・待たずに動くコマンドを作る・ツールの呼び出しを止めて尋ねるといったできること、実行時間などの上限を、同年10月5日に確認した公式ドキュメントの原文で解説します。mod はあなたの権限でサンドボックスの外で動き、権限の判定も上書きできます。Team・Enterprise か管理設定のある端末では deny ルールが守られますが、個人のプランでは deny ルールで拒否した呼び出しまで承認できることを、表で整理しました。あわせて、Anthropic の公式サンプル3本のコードを読み、どの API を使っているかを数えた結果、入れる前の claude plugin validate の読み方、試し方・Claude に作らせる方法・止め方、動く場所と組み込みの mod、入れる前のチェックリストを紹介します。

Claude Code のクラウドセッションは、GitHub の非公開リポジトリに置き、Claude の GitHub App をそのリポジトリだけに入れ、本番のサーバーには読み取り専用の Deploy key で取りに行かせるだけにすれば、本番への入口を増やさずに開発を任せられます。この記事は、筆者が2026年10月4日に別の開発プロジェクトで使い始めたときの記録を、同日時点の公式ドキュメントの原文で確かめたものです。GitHub なしの claude --cloud ではすべてのブランチの履歴と管理下のファイルの未コミットの変更が送られること（Windows は名前に関係なく送られる）、別の GitHub アカウントにつながっていたときの直し方、「Only select repositories」と公開リポジトリが一覧に出る理由、環境変数は環境を使う人なら誰でも読めるので環境をプロジェクトごとに作ること、手元のファイルが見えないこと、クラウドの Accept edits はコマンドのたびに止まり Auto なら進むことを解説し、始める前のチェックリストにまとめます。あわせて、1回の指示で自律に走らせ、途中で「止めて」と指示して止めるまでに期間限定のクレジット $226 を使った実例と、減り方の理由、減らすための工夫も紹介します。

個人Proでも、ChatGPT・Codexの会話やコードは既定で学習に使われます。ChatGPTの設定1つでCodexの新しいタスクも止められること、環境の学習は別設定であること、入力しないほうがよい情報、入力してしまったときの対応、削除や評価の例外までを整理します。

Claude Code でのやり取りが AI の学習に使われるかは、プランとアカウントの設定で決まります。Free・Pro・Max の個人プランでは、claude.ai のプライバシー設定でモデルの改善への利用をオンにしているときだけ学習に使われ（保存は5年）、オフにすれば止まります（保存は30日）。設定はアカウントにあり、Claude Code を動かす PC の設定ファイルを変える必要はありません。この記事では、2026年10月4日時点の Claude Code 公式ドキュメント「Data usage」、Anthropic のプライバシーセンター、Claude Platform の「API and data retention」の原文をもとに、設定の場所と手順、オフにしても過去の学習からは取り除かれないこと、👍👎 の評価・/feedback・規約違反と判定された会話の扱い、Team・Enterprise・API・Bedrock などプラン別の学習と保存期間を整理します。API の入出力は既定で学習に使われず30日以内に削除されること、ZDR の範囲と、Fable などの Covered Models に30日の保存が必要なこと、学習とは別に送られる利用状況・エラー報告を止める環境変数、手元の PC に平文で残る会話の記録、機密情報を扱うときの選び方もまとめます。

Claude Codeで「API Error: Opus 5.5's safeguards flagged this message」や「safeguards flagged this session」と出たら、モデルに付いた安全対策の分類器が会話の内容に反応し、そのモデルでの応答を止めた状態です。Issueの題では「Message flagged by safeguards」とも書かれます。分類器はサーバー側にあり、最後の1文だけでなく会話全体・読み込んだファイル・CLAUDE.mdまで見るので、「hi」のような普通のメッセージでも止まることがあり、公式も誤検知を認めています。公式エラーリファレンス・モデル設定ドキュメント・APIのRefusals and fallback・ヘルプセンターをもとに、Details欄のcyber・bio・reasoning_extraction・general_harms・frontier_llmの意味、別のモデルへ自動で切り替わる場合と止まる場合、Esc2回での巻き戻し・/clear・/model・--safe-mode・/feedbackの使い方、2026年10月6日に3段階になったCVPがOpus 5.5とSonnet 5.5も対象にしたこと、止められたリクエストの課金を整理しました。9月22日以降のGitHubの報告は、公式の説明と分けて確定していない事例として扱います。

2026年8月2日に EU AI Act の残りの規定が一般適用となり、「AIで書いた記事に表示を付けないと違法になるらしい」という話が急に増えました。結論から言うと、多くの個人発信者・企業ブログに表示義務は発生しません。第50条4項には、そのコンテンツが人によるレビューまたは編集上のコントロールを経ており、誰かが編集責任を負っているなら開示義務は適用されない、と明記されているからです。条文の要件はここまでで、第50条の実務ガイドは「レビューは実質的でなければならず、表面的な事柄や形だけの承認に留まってはならない」としており、読まずに自動投稿する運用は免除に該当しにくいと考えられます。本記事では、提供者（provider）と利用者（deployer）で義務がまったく違うこと、AI生成テキストの開示が「話題」ではなく「公開の目的」で決まること、ディープフェイクの開示義務と芸術・風刺作品の軽減規定、チャットボットの告知、機械可読マーキング（C2PA Content Credentials）が提供者の義務であること、そして2026年12月2日・2027年2月2日という期限までを、条文と欧州委員会の資料で確認できた範囲だけで整理します。

「AIに直接いじらせるなら管理画面は要らないのでは」という問いに、一般論では答えが出ない。同じ「管理画面」という言葉が性質の違う機能の寄せ集めを指しているからだ。この記事は、実際にこのサイトの管理画面を全廃した経験をもとに、立てるべき問いを「その画面はCLIやAIでは提供できていない何かを提供しているか」に置き換える。全廃してみて分かったのは、消した機能の多くが「使っていなかった」のではなく「構造的に機能していなかった」ということだった。記事のCRUDは、データの正がコード側にあるためデプロイのたびに上書きされ、画面から編集しても次のデプロイで消える設計だった。コメント承認キューは投稿時に承認済みとする実装のため、未承認コメントが生まれず常に空だった。使われない機能は、壊れていることすら気づかれない。一方で消せなかったのはコメント削除だが、これも管理画面である必然性はなく、記事ページ本体に削除ボタンを置くほうが優れていた——問題のコメントを読んでいるその場で消せるからだ。判断は6つの問いに落ちる。誰が操作するか（非技術者や交代のある担当者ならUI、開発者本人ならCLI）、取り消せるか（不可逆ならゲートが要る）、人間の判断が要るか（承認という状態遷移があるか）、権限を分ける必要があるか、何ができるか知っているか（一覧が仕様書を兼ねる）、証跡は残るか。とくに権限と証跡は個人開発では不要に見えて、人が増えた瞬間に最初に必要になる。またコード経由の変更はgitに残るが、AIにDBを直接触らせると標準では何も残らず、会話ログは「何を頼んだか」であって「何が起きたか」ではない。6軸のうち可逆性だけは重みが違う。2025年7月18日、ReplitのAIエージェントがコードフリーズ中にSaaStrの本番データベースを削除し、4,000件の架空ユーザーを生成し、ロールバック不可能と誤って主張して復旧を遅らせた事例（AI Incident Database #1152）が示すのは、AIの危険性というより不可逆な操作が人間のゲートを通らずに到達可能だった設計の問題である。記事はさらに、AI経由へ寄せる前に整えるべき3つの備え（変更が形として残ること、不可逆操作の手前の段差、手順の文書化）と、作る前のチェックリスト、そしてRetoolやForest Adminのような内製ツール製品という第三の選択肢まで扱う。

ディスパッチ（Dispatch）は、スマホから指示を出すとその作業をあなたのPC上でClaudeが実行する機能だ（ベータ・Pro/Max）。クラウドで動くのではなく実機が動く点が、この機能の価値と危険の両方を生んでいる。公式ヘルプは「Dispatchを使えば、スマホからClaudeにメッセージを送り、デスクトップのコンピューター上で作業させられる」と説明し、Cowork ですでに設定済みのコネクタ・プラグイン・ファイルアクセスをそのまま使うとしている。動作にはPCが起きていてデスクトップアプリが開いていることが必要で、コンピュータ操作の対応はmacOSとWindowsのみ、Linuxにはない。仕組みは3段の優先順位で、コネクタが使えるならコネクタ、無ければブラウザ操作、最後の手段として画面の直接操作となる。安全性の評価はここから先だ。止まる場所は設計されている——コンピュータ操作は既定でオフ（設定→一般で有効化）、新しいアプリへのアクセスはアプリごとに毎回許可を求める、ファイルの完全削除には明示的な許可が要る、投資・取引プラットフォームと暗号資産のアプリは既定で対象外。一方で止まらない場所がある。許可済みアプリの中での個々の操作には確認が入らず、公式は「Claudeは画面を直接クリック・入力・遷移し、他のCoworkツールにかかる権限チェックを経ない」と明記している。さらに「コンピュータ操作にはClaudeと画面に映っているものとの間にサンドボックスが存在しない」「あるアプリで取った操作が別のアプリに影響しうる」ともある。最大のリスクはプロンプトインジェクションで、Anthropic自身が「操作された指示、予期しないコマンド、あるいはブラウザで開かれたフィッシングリンクが、取り消しが困難あるいは不可能な操作へと連鎖しうる」と書いている。対策としてモデル内部の活性を自動スキャンするとされるが、利用者側の線引きを不要にするものではない。公式は名指しで「機微なアプリ（銀行、医療、行政など）にコンピュータ操作の権限を与えないこと」とし、金融口座・法務文書・医療情報・個人データの取り扱いを避けるよう求めている。スマホ側のリスクも扱う——紛失時に漏れるのはスマホ内のデータではなく「PCに指示を出せる立場」と「続いている会話の中身」であり、被害の大きさはPC側で何を許しているかに比例する。ディスパッチの公式ヘルプには端末の解除や紛失時の手順が記載されていないため、対処はアカウント側の機能（アクティブなセッションの個別終了、全端末の一括ログアウト）とPC側の遮断（アプリを閉じる・スリープ）で行うことになる。一括ログアウトはモバイルアプリからは実行できずWebブラウザが要る点も押さえておきたい。本記事はこれらを一次情報から整理し、ディスパッチとコンピュータ操作が別のスイッチであること、Claude Codeのagent view（公式が同じくdispatchと呼ぶ別機能）との区別、そして取り返しのつく仕事から始めるという実務的な線引きまで扱う。