Claude Code公式ガイドから考える企業のAIセキュリティ

生成AIの企業利用が、「質問に答えてもらう」段階から大きく変わり始めています。

その象徴の一つがAnthropicの「Claude Code」です。

Claude Codeは、単にコードを提案するだけではありません。開発者のコードベースを読み取り、ファイルを書き換え、テストを実行し、シェルコマンドを動かしながら開発作業を進められるAIコーディングエージェントです。

非常に便利な一方で、企業のDX担当者や情報システム担当者にとって重要なのは、

「Claude Codeに何ができるか」が増えるほど、「もし誤動作・侵害された場合に何ができてしまうか」も大きくなる

という点です。

Anthropic自身も、Claude Codeのセキュリティについて、権限確認だけに頼るのではなく、サンドボックス、ファイルシステム分離、ネットワーク制限などによって「AIが実行できる範囲そのものを制限する」方向へ対策を強化しています。

本記事ではAnthropic公式情報をもとに、企業がClaude Codeを導入する前に確認すべき10のセキュリティ項目を整理します。

1．Claude Codeは「チャットAI」ではない｜ファイル・Shell・ネットワーク権限を理解する

最初に理解したいのは、Claude Codeと通常のClaudeチャットではリスクの性質が異なることです。

Claude Codeは開発環境で、

  • コードやファイルを読む
  • ファイルを書き換える
  • Shellコマンドを実行する
  • テストを実行する
  • Gitを操作する
  • 外部ネットワークへ接続する

といった作業が可能です。

つまり、AIに与える権限次第では、開発者本人に近い操作能力を持つ可能性があります。

企業導入では「Claude Codeを使うかどうか」だけではなく、「どの端末で、どのリポジトリに、どの権限で使わせるか」まで設計する必要があります。

参考： Anthropic「Making Claude Code more secure and autonomous with sandboxing」

2．Claude Codeではサンドボックスを使い、AIが触れる範囲を制限する

AnthropicがClaude Codeの安全性向上で特に重視しているのが「サンドボックス」です。

Claude Codeのサンドボックスでは、大きく2つの境界を設けます。

  • ファイルシステムの分離：アクセス・変更可能なディレクトリを限定する
  • ネットワークの分離：接続可能な外部ホストを限定する

Anthropicは、この2つを組み合わせることが重要だと説明しています。

たとえばファイルだけ制限しても、自由に外部ネットワークへ通信できれば、読み取った情報を外へ送信される可能性があります。

逆にネットワークだけ制限しても、SSHキーや重要な設定ファイルを自由に読み取れる状態では十分とはいえません。

「AIを信用する」のではなく、「AIが間違えても被害が広がらない環境を作る」という考え方が重要です。

3．Claude Codeの「–dangerously-skip-permissions」を安易に使わない

Claude Codeでは通常、危険性のある操作を行う際にユーザーへ許可を求めます。

一方で、権限確認を省略できるモードや設定も存在します。

Anthropicは、すべての許可確認を無効化する「–dangerously-skip-permissions」について、多くの環境では安全ではないと明確に説明しています。

企業では、

  • 本番サーバー
  • 共有開発環境
  • 顧客データを扱う環境
  • クラウド管理権限を持つ端末

などで、権限確認を一括して無効化する運用は特に慎重に考える必要があります。

利便性のために安全機能を外すのではなく、サンドボックスや限定的なAllowルールによって、安全に自動化できる範囲を広げる方が望ましいでしょう。

4．Claude Codeでは「許可疲れ」もセキュリティリスクになる

一方、すべての操作で人間に確認を求めれば安全になるとも限りません。

Anthropicが公表したデータでは、Claude Code利用者は権限確認の約93％を承認していました。

許可ダイアログが多くなるほど、人間が内容を十分に確認せず「許可」を押してしまう、いわゆるApproval Fatigue（承認疲れ）が生じる可能性があります。

Anthropicはこの問題を受け、安全な操作について自動判断するAuto Modeやサンドボックスを強化しています。

「人間が全部確認するから安全」という設計だけに依存しないことも、AIエージェント時代には重要です。

参考： Anthropic「How we built Claude Code auto mode」

5．Claude Codeのプロンプトインジェクションを前提に設計する

AIエージェント特有のリスクとして重要なのが「プロンプトインジェクション」です。

たとえばClaude Codeが外部から取得したREADME、Webページ、コード、Issueなどに攻撃者が意図的な指示を埋め込んでいた場合、AIがそれを命令として解釈してしまう可能性があります。

Claude Codeは単なる文章生成AIではなく、Shellやファイルへアクセスできるため、プロンプトインジェクションが実際の操作につながる可能性があります。

だからこそ、

  • 外部リポジトリを信頼しすぎない
  • ネットワーク通信を制限する
  • 機密情報へのアクセスを分離する
  • 書き込み範囲を限定する

ことが重要になります。

6．Claude Codeの実例｜「信頼しますか？」と聞く前にコードが実行された脆弱性

この問題は理論上の話だけではありません。

Anthropicは2026年5月に公開した技術記事の中で、2025年から2026年1月にかけてClaude Codeで報告された脆弱性について説明しています。

その一例では、攻撃者が用意したリポジトリ内の設定ファイルが、ユーザーへ「このフォルダを信頼しますか？」と確認する前に処理され、コードが実行される可能性がありました。

Anthropicは修正後、信頼確認が完了するまでプロジェクト固有の設定処理を遅延させる仕組みに変更しています。

この事例から企業が学ぶべきなのは、

「AIエージェントだから新しいリスクだけを考えればよい」のではなく、従来型のソフトウェア脆弱性とAI特有のリスクが重なる

という点です。

参考： Anthropic「How we contain Claude across products」

7．Claude CodeからSSHキー・APIキー・クラウド認証情報を分離する

企業利用で特に注意したいのが認証情報です。

開発者のPCには、

  • GitHubトークン
  • AWS・Azure・Google Cloudの認証情報
  • SSH秘密鍵
  • データベース認証情報
  • APIキー
  • 本番環境へのアクセス情報

などが保存されている場合があります。

Claude Codeがこれらへ自由にアクセスできる状態では、プロンプトインジェクションや誤操作が起きた場合の影響範囲が大きくなります。

Anthropic自身も、Claude Code on the webでは重要なGit認証情報や署名キーをサンドボックス内部へ直接置かず、プロキシ経由で限定的な資格情報を利用する設計を採用しています。

企業でも「AIから認証情報を見えなくする」設計を検討することが重要です。

8．Claude Codeに本番環境へ直接デプロイさせない

AIエージェントが高度化すると、

「コードを書いて、そのままGitへPushし、本番環境へデプロイしてほしい」

という使い方も技術的には可能になります。

しかし企業利用では、AIが生成したコードをそのまま本番へ反映できる状態は慎重に考える必要があります。

AnthropicのAuto Modeでも、共有インフラへの直接Pushや本番デプロイなど、他人へ影響する可能性のある操作を重要な境界として扱っています。

そのため、

  • AI → 作業ブランチ
  • 自動テスト
  • 人間によるコードレビュー
  • CI/CD
  • 承認後に本番反映

というプロセスを維持する方が安全です。

9．Claude Code導入ではコードレビューをなくさない

AIが高品質なコードを書くようになると、「AIが作ったコードだから大丈夫」と考えたくなるかもしれません。

しかしAnthropic自身も、Claude Code Securityによる脆弱性検出では、発見結果や修正案を最終的に人間がレビューする仕組みを採用しています。

Claude Code Securityは、従来のルールベース型セキュリティスキャンでは発見しにくい複雑な脆弱性をAIで検出し、修正案を提示する仕組みです。

ただし、その修正を自動的に無条件で本番へ適用するのではなく、分析結果を開発者が確認します。

AIで開発速度を上げても、レビューという統制までなくす必要はありません。

参考： Anthropic「Claude Code Security」

10．Claude Codeの「Blast Radius（被害範囲）」を導入前に決める

AnthropicがAIエージェントのセキュリティについて繰り返し使っている重要な考え方が「Blast Radius」です。

直訳すれば「爆発半径」、つまり事故が起きた場合にどこまで被害が広がるのかという考え方です。

Claude Codeに、

  • 全社ファイル
  • 本番サーバー
  • 顧客データ
  • クラウド管理者権限
  • GitHub全リポジトリ

へのアクセスを与えれば、一つの事故による影響範囲も大きくなります。

逆にアクセス可能なディレクトリ、ネットワーク、認証情報、Gitブランチなどを限定すれば、仮にAIが誤動作しても被害を限定できます。

企業のClaude Code導入では「Claudeをどれだけ賢くするか」だけではなく、「最悪の場合でもどこまでしか壊せない状態にするか」を設計することが重要です。

ERP / DX SUPPORT

AIエージェント導入とセキュリティを
別々に考えていませんか？

Claude CodeなどAIエージェントの活用が進むほど、ファイルアクセス、Shell権限、APIキー、ネットワーク接続、個人情報の管理は重要になります。AI導入だけでなく、権限設計・端末管理・ガバナンスまで含めたDX推進について、現状の課題整理からご相談いただけます。

企業のClaude Code導入でセキュリティコンサルに何を依頼すべきか

Claude Code導入で外部のセキュリティコンサルへ依頼する場合は、「Claude Codeを使っても大丈夫ですか？」という質問だけでは十分ではありません。

少なくとも以下を確認してもらうことをおすすめします。

  • Claude Codeを利用する端末・開発環境の棚卸し
  • AIがアクセス可能なディレクトリの設計
  • ネットワークアクセス先の制限
  • SSHキー・APIキー・クラウド認証情報の分離
  • GitHub・GitLabの権限設計
  • 本番環境へのアクセス制御
  • サンドボックス設定
  • プロンプトインジェクション対策
  • AI生成コードのレビュー基準
  • 事故時のセッション停止・資格情報ローテーション

特に重要なのは、 セキュリティ製品だけを見るのではなく、「Claude Codeが実際にどの業務を行い、どのシステムまで操作できるのか」を理解したうえでリスク評価してもらうこと です。

Claude Code導入でDX担当者が最初に確認したいチェックリスト

  • Claude Codeを利用する社員を把握できているか
  • 私物PCでの業務利用を許可するのか
  • サンドボックスを有効化しているか
  • アクセス可能なファイル範囲を制限しているか
  • 外部ネットワーク接続を制限しているか
  • SSHキー・APIキーへアクセスできない設計になっているか
  • 本番環境へ直接アクセスできないようにしているか
  • AI生成コードを人間がレビューしているか
  • 外部リポジトリを信頼するルールがあるか
  • 事故時に認証情報を即時失効できるか

この中で即答できない項目が多い場合は、Claude Codeを全社展開する前に、一度セキュリティ設計を整理する価値があります。

まとめ｜Claude Code導入では「AIを信用する」のではなく「AIを安全な範囲で働かせる」

Claude Codeは、企業のソフトウェア開発を大きく効率化する可能性を持っています。

一方で、通常の生成AIとは異なり、コード、ファイル、Shell、Git、ネットワークへアクセスできるため、DX担当者が考えるべきセキュリティ範囲も広くなります。

Anthropic自身も、Claude Codeの安全性を高めるため、

  • 権限管理
  • サンドボックス
  • ファイルシステム分離
  • ネットワーク制御
  • Auto Mode
  • 人間によるレビュー

などを組み合わせています。

企業が学ぶべきなのは、「AIだから間違えない」という前提ではなく、「AIも間違える、攻撃される、想定外の行動をする可能性がある」という前提で設計することです。

これからAIエージェントが企業システムへ深く入り込むほど、

「AIに何ができるか」以上に、「AIに何をさせないか」を設計する能力

がDX担当者に求められるようになるでしょう。

Claude Code公式ガイド・参考情報

ChatGPT は間違えることがあります。重要な情報は確認してください。
Post Views: 0