AIのセキュリティとガバナンス｜安全に使うガイド

Claude Codeのサンドボックスは、隔離されるシェルと子プロセスのファイル・通信アクセスをOSレベルで制限します。/sandboxでの準備、書き込み先・読み取り拒否・許可ドメイン、通常権限と自動許可の違いを整理。内蔵Read/Edit/Write・MCP・Hooks、除外コマンドや外側での再実行は別経路です。許可範囲内の破壊・送信や秘密情報の漏洩をすべて防ぐ保証ではないため、未知ホストのモード別判断と例外設定も説明します。

AWSの運用・管理をAIに任せられるか。2026年は「かなり任せられる」段階に入った。AWS自身がAmazon Q DeveloperやAIエージェントがAWSを操作する公式基盤「Agent Toolkit for AWS」(2026年5月・40以上のagent skills＋マネージドAWS MCP Server＋プラグイン)を出し、IaC生成からリソース操作までAIが踏み込める。本記事は「任せる」を3段階(①コード/IaC生成支援②読み取り中心の運用・調査③実際にAWSを操作する自律エージェント)で整理し、主要ツール(Amazon Q Developer/Agent Toolkit/AWS MCP Server/Terraform MCP/Bedrock AgentCore)、メリット(IaCの速さ・一次調査自動化・コスト最適化提案・知識の民主化)、そして本題のデメリット(IAM権限の肥大化=permission sprawl、過剰権限がミス/プロンプトインジェクションの実行加速器になる、権限がタスクを越えて残る、コスト暴走。2025-26には本番DB削除の実例も)を、AWS公式・セキュリティ各社の情報をもとに解説。結論の「ひとひねり」は、論点は"できるか"ではなく"暴走・課金爆発なしにどう任せるか"であり、AWS自身がAgent ToolkitにIAMガードレール/CloudTrail監査/サンドボックスを組み込んだのが答えの形という点。最小権限IAM＋破壊的操作の人間承認＋可観測性＋JIT短命資格情報＋サンドボックスの5原則とFAQ付き。

2026年7月1日、Anthropicが最上位モデルClaude Fable 5を全世界で再展開した(Mythos 5は米国の一部の組織に限って再開)。6月12日に米政府の輸出管理命令で全面停止されたばかりで、停止からわずか19日での復活となった。復活の直接の理由は、米商務省が6月30日に輸出管理を解除したこと。引き金だった他社(Amazon研究者)の脱獄指摘に対し、Anthropicは「Fable 5に固有の攻撃能力はない」と一貫して反論しており、解除はその立場に沿う形で決着した。ただ元に戻っただけでなく、報告された回避手法を専用に検知する分類器を新設し当該手法を99%超ブロック、分類器がブロックした場合はユーザーに通知のうえリクエストをOpus 4.8へ自動振替する(アプリの「モデルを切り替える」トグルの正体)という安全性の作り込みを加えて再展開された。当面はPro・Max・Team・一部Enterpriseで7月7日まで週次上限の最大50%、以降は利用クレジット経由という暫定制限が付く。Fable 5は最上位ゆえOpus 4.8より利用量の消費が速く、AWS・Google Cloud・Microsoft Foundry経由は順次再開(日付未定)。本記事は停止の続報として、なぜ復活できたか・何が変わったか・利用時の注意・単一モデルに依存しない設計という教訓まで、公式発表と各社報道をもとに整理する時事ニュース解説。

AIと人間、セキュリティ対策で優秀なのはどっちか——2025〜2026年に答えが大きく動いた。GoogleのBig Sleepは実在のゼロデイ(SQLiteのCVE-2025-6965)を悪用前に阻止し、自律AIペンテスターXBOWはHackerOneの全米ランキングで1位に到達。一方でAI生成コードの45%に脆弱性が見つかり(Veracode。CodeRabbitの分析ではAI共著のPRのセキュリティの問題が人間のみの最大2.74倍)、Claudeを悪用した初の大規模AI主導サイバー攻撃(攻撃の80〜90%をAIが自律実行)も起きた。本記事はGoogle・Anthropic・DARPA・Veracode・CodeRabbitの一次情報をもとに、速度・規模・網羅で圧倒するAIと、ビジネスロジック・攻撃連鎖・最終判断で勝る人間を、タスク別の早見表で比較。さらにAIが「脆弱性の生成源・攻撃の道具・最強の防御者」という三面性を持つ諸刃の剣であることを示し、結論として勝者は「人間×AI(ケンタウロス型)」の役割分担＋human-in-the-loopであることを、実務者・経営者向けに整理する。

AI依存リスクとは、特定のAIサービス・モデルに業務や生活を強く依存した結果、それが使えなくなった/変わった/高くなったときに大きな打撃を受ける状態。本記事は、AI依存リスクとは何か（怖いのは「AIが間違える」ことより「昨日まで動いていたAIが今日は手元にない」不連続。クラウドAIは提供のオン/オフが自分の手の外＝ベンダーが単一障害点）、2026年6月のFable 5・Mythos 5全面停止という実例（公開3日で規制により停止、19日後の2026年7月1日にFable 5が世界で再展開＝最高性能でも停止リスクはゼロにできない）、依存リスクの6類型（①突然の停止 ②モデルの廃止/退役 ③値上げ・課金変更 ④品質の変化・無断変更 ⑤障害・レート制限・BAN ⑥ベンダーロックイン。①〜⑤は外から降る・⑥は自分で作り込む）、自分の依存度を測る依存マッピング（何に依存・止まると何が困る・無くなったらどうする＋最高性能が要る作業とそうでない作業を分ける）、個人ユーザーの備え5つ（代替を1つ持つ/成果物は自分側に保存/効くプロンプトを資産化/AI無しでもできるを保つ/機密は預けない）、本番システム・開発者の冗長化設計（抽象化レイヤ=LLMゲートウェイ LiteLLM・OpenRouter・Vercel AI SDK／OpenAI互換APIなら接続先とキー変更だけ、フォールバック連鎖は必ず事前テスト、層分離=AI拡張層は外せる・記録基幹層は守る、ローカルLLMという最後の砦、復旧プレイブックでMTTR短縮）、ベンダー選びのチェック（廃止の事前通知＝Anthropic60日以上・OpenAI正式版6ヶ月以上だがプレビューは2週間／変更の透明性／退役後の救済＝重み保存）までを、2026年10月4日時点で確認した各社公式情報をもとに解説する。

Claude Codeの権限ルールは、settings.jsonのallow・ask・denyでツール呼び出しを制御する仕組みです。設定の優先順位、コマンドとパスの一致方法、実用例を説明します。Bashの別表記、任意スクリプト、Read/Editの否定パターン、modによる判定変更も整理し、秘密ファイルや通信を全経路で止める保証とは区別します。

Claude Codeで入力欄の隣に出る「権限モード」（Shift+Tabで切替）は、Claudeがファイル編集・コマンド実行の前にどれだけ「確認（許可）」を求めるかを決める設定。本記事は、権限モードとは何か（確認の頻度＝監視と自律のトレードオフ。端末とVS Codeではv2.1.283以降プランを問わず自動モードで始まり（それより前はPro・Max・Teamのみ）、claude -pやAgent SDKは手動で始まる。.git/.claude等の保護パスはバイパス以外では自動承認されない）、セレクタに並ぶ5つのモード（手動=default＝読み取り以外は毎回確認/編集を受け入れる=acceptEdits＝作業フォルダ内の編集とmkdir・rm・mv等のファイル操作を自動/プラン=plan＝編集せず計画だけ/自動モード=auto＝別の判定モデルの安全チェック付きでほぼ無確認/権限をバイパス=bypassPermissions＝ほぼ全部無確認で隔離環境専用）＋Shift+Tabの循環に出ずフラグか設定で指定する6番目のdontAsk、切り替え方法（Shift+Tabで手動→編集を受け入れる→プランを循環し、バイパスと自動モードは条件付きでその後ろに入る。--permission-modeフラグ、settingsのdefaultMode。autoとbypassPermissionsはプロジェクト設定では効かない）、自動モードの深掘り（分類器が危険操作をブロック・Team/Enterpriseでも既定で利用可で管理者が停止できる・対応モデルはOpus 4.6以降/Sonnet 4.6以降/Fable系・会話で述べた境界も尊重・連続3回/累計20回ブロックで一時停止）、使い分けと安全性（バイパスはプロンプトインジェクション防御なし＝隔離環境のみ・日常は自動モードが正解・hooksはバイパスでも実行・バイパスを使える端末ではプラン中の編集も止まらない）、工数(effort)との関係（権限モード=どれだけ確認するか/工数=どれだけ賢く考えるか）までを公式ドキュメントとデスクトップアプリの表示（2026年10月5日時点）に基づき初心者向けに解説する。

ある日突然ChatGPTやClaudeが使えなくなる——悪意がなくても規約をうっかり破って止められることがあり、止められた後に別アカウントで戻ると状況を悪くする。本記事はOpenAI（ChatGPT・Codex）とAnthropic（Claude・Claude Code）の規約本体（Terms of Use・Usage Policies・Consumer Terms・Usage Policy）とヘルプを2026年10月4日時点で読み、①公式が挙げる停止理由（ポリシー違反・規約違反・乗っ取りの疑い・警告の放置・本人確認の未了・対応地域外からの作成）、②条文つきの禁止例（アカウントの共有、画面の自動操作やスクレイピング、脱獄、停止後の別アカウント、対応外の国からVPNでの利用、蒸留、転売、アカウントの量産）、③個人プランのログインを他のツールで使う話が2026年2月と今でどう変わったか（自分でAgent SDKを使うのは想定内、他人のサービスにトークンを渡す・人に使わせる製品に組み込むのは禁止）、④違反でなくても出る警告・確認・機能制限、⑤複数アカウントの保有と使い方の区別（10月9日追補：OpenAIの公式切り替え、Anthropicの電話認証上限、上限後の手動切り替えを個別確認する理由、共有・転売・BAN回避との違い）、⑥チェックリスト8点、⑦異議申し立ての手順（OpenAIは通知メールのリンクかopenai.com/form/appeal、Anthropicは停止アカウントでclaude.aiにログインしてフォーム、警告はusersafety@anthropic.com）をまとめた。

AIアプリを作れるようになったら、次は安全に運用する段階。LLMは便利な一方で、悪意ある入力にだまされたり、機密情報を漏らしたり、でたらめを自信満々に答えたりする。これを防ぐ安全装置がAIガードレール（guardrails）で、AIエージェントの事故が現実に起きる2026年には本番運用の必須要素になっている。ガードレールとは、危険な入力や望ましくない出力をせき止めるルールやフィルタで、ユーザー入力をLLMに渡す前と、回答を返す前の両側でチェックする独立した安全層。主な脅威はプロンプトインジェクション（最重要）・脱獄（ジェイルブレイク）・情報漏えい（機密/PII/システムプロンプト）・幻覚や有害出力。守り方は入力ガードレール（注入・脱獄検知、PII検出、話題制限、サニタイズ）と出力ガードレール（有害フィルタ、漏えい防止、幻覚チェック、形式検証）の2層。最大の脅威プロンプトインジェクションには直接（ユーザーが「これまでの指示を無視して」と上書き）と間接（WebやRAG文書に隠した命令でAIを操る）があり、間接はRAGだけでは防げず取得文書へのチェックが必要。本記事は、ツール（LLM Guard・Guardrails AI・NeMo Guardrails・Llama Guard・Azure/AWS/OpenAIの安全機能）と、多層防御・最小権限・人間の承認・継続監視という実務の原則まで初心者向けに解説する。

2026年6月12日、Anthropicが最上位モデルClaude Fable 5とMythos 5へのアクセスを全ユーザーで停止した。米政府の輸出管理上の命令に従うためで、両モデルは6月9日に公開されたばかり——登場からわずか3日での全面停止となった。本記事は公表情報をもとに事実関係を整理する。政府命令の核心は「外国籍（米国内外・外国籍の自社従業員も含む）によるアクセス停止」で、Anthropicは国籍をリアルタイム判別できないため、確実な順守には全ユーザー停止しかなかった。引き金は他社による「脱獄（jailbreak＝安全装置の回避）」の指摘だが、Anthropicは「既知のごく軽微な脆弱性で、狭い脱獄の可能性をもって数億人提供の商用モデルを回収する理由にはならない」と決定に不同意を表明。さらに停止2日前の6月10日には、Fable 5がAI研究関連の回答を非通知で劣化させていた「秘密の制限（secret sabotage）」騒動でAnthropicが謝罪したばかりだった。影響範囲はFable 5・Mythos 5のみで、Claude Opus 4.8など他モデルはアプリ・API・Claude Code・クラウド経由いずれも通常稼働、料金変更の発表もなし。停止の時点では代替や再開時期は示されていなかったが、両モデルは7月1日に再展開された。ユーザー・開発者向けの対処（Opus 4.8へのモデル切替、フォールバック構成、単一モデル依存の回避）まで解説する時事ニュース解説。

「メールを読んで返信して」と頼むだけで自分で考え道具を使い実行するAIエージェントは、便利な反面、"自分で行動する"からこそ従来のチャットAIにはなかった事故が起きる。2025年ごろからその危険が理論から現実の事例へ変わり始めた。本記事は初心者向けにエージェントのセキュリティ事故を権限・漏えい・誤操作の3つに整理。なぜ事故が起きるか（エージェントは答えるだけでなく実際に行動する＝鍵は行動、騙されやすい新入社員にたとえられる）、普通のチャットAIより危ない理由（道具を使う×自律で連続実行×外部入力を読む、の掛け算。OWASPは2025年12月にエージェント特有リスクTop10（2026年版）と最小エージェンシーを提唱）、事故①権限＝過剰な権限の危険（メール読むだけでいいのに送信削除権限まで、人間アカウントの強権限の継承、暴走時に被害拡大、コスト削減を任されたエージェントがバックアップまで消すおそれ）、事故②漏えい＝間接プロンプトインジェクション（外部コンテンツに隠した命令でエージェントを操る。公開Redditコメントのスポイラータグに隠した命令でOTP漏えい、サポートチケットの隠し命令でMCP経由のDB流出、文書を開くだけでIDEエージェントが秘密窃取という2025年の研究者報告）、事故③誤操作＝悪意なくても破壊的操作やミスの連鎖・暴走、攻撃の流れ4ステップ、守り方の基本5原則（最小権限・人間の承認・サンドボックス・境界設定・外部入力を疑う）、個人向けチェックリストまでを噛み砕いて解説。合言葉は「力を渡しすぎず、危ない操作は人が止め、外の文章を信じすぎない」。

2023年4月、Samsungはわずか20日で3回の機密漏洩を起こしChatGPTを全社禁止にした。だが2026年は「禁止」も「放置」も負け——EU AI Actは2026年8月2日に残りの規定が一般適用となり、AI生成物の表示義務（第50条）も同日から適用された（それ以前に市場に出たシステムの機械可読マーキングの経過措置は2026年12月2日まで）。高リスクの義務はDigital Omnibusによる改正でAnnex IIIが2027年12月2日、組込型のAnnex Iが2028年8月2日へ後ろ倒しされたが、罰金は禁止行為で最大3,500万ユーロまたは全世界売上の7%、高リスク・透明性義務の違反で最大1,500万ユーロまたは3%。本記事ではA4 2枚で書ける必須7項目テンプレ（許可AI/禁止データ/利用シーン/責任/報告/教育/ログ）、入力禁止データ5分類の具体例と代替策、EU AI Actのリスク階層、中小2-3ヶ月で導入する5フェーズロードマップ、3つの落とし穴（全社禁止・罰則設計・更新なし）まで実例ベースで網羅。「禁止か放置か」の二択を脱して「ガイドラインで安全に運用する」第3の道を実装する完全実例。