Claude Codeのセキュリティは安全？最初にやる4つの設定

手元のパソコンでファイルを書き換え、コマンドまで実行するAIと聞くと、勝手に何かを消されないか、社内のコードが外に出ないかと不安になります。

結論から言うと、Claude Codeは操作の前に確認を求める権限の仕組みを土台にしており、設定しだいで安全性を高められます。ただし、承認した操作の責任は利用者に残ります。

この記事では、公式が説明する守りの仕組みから、起こりうるリスク、学習の扱い、最初にやる4つの設定までを順に整理します。読み終えるころには、自分の環境で何を設定すればよいかが決まります。

Claude Codeのセキュリティは確認してから動く設計が土台

Claude Codeのセキュリティは、ファイルの変更やコマンドの実行の前に、何を確認なしで進めてよいかを利用者と組織が決める権限の仕組みが土台です。そのうえで、承認する前に中身を確かめる責任は利用者にあると、Claude Codeの公式セキュリティページは明記しています。

同じページでは、セッションの権限モードが「Claudeが事前に確認せずに実行できる操作」を決めると説明されています。どこまで任せるかを、利用者や組織が自分で選べる設計です。

Manualモードではファイルを変える前に確認を求める

Claude Codeの公式セキュリティページによると、Manualモードでは読み取り専用の権限で始まります。ファイルの編集やテストの実行、コマンドの実行が必要になると、まず利用者に確認を求めます。

確認の画面では、1回だけ許可するか、以降は常に許可するかを選べます。lsやgit statusのような読み取り専用のコマンドは、確認なしで実行されます。

起動したフォルダの外を読み書きするときも、ファイルの操作の前に確認が出ます。つまりManualモードでは、承認しない限りファイルの変更やコマンドの実行は進まないのが基本の動きです。モードの切り替え方は、Claude Codeの使い方と権限モードの選び方で手順つきで紹介しています。

autoモードは別のAIが操作を審査する

autoモードは、確認の手間を減らすためのモードです。公式セキュリティページによると、別の分類器モデルが利用者の代わりに操作を審査し、安全でないと判断したものを止めます。

分類器とは、操作の内容を見て「通してよいか」を判定する仕組みのことです。最近のバージョンでは、ターミナルやVS Codeで始めたときの既定がこのモードになっている場合があります。

autoモードでも、利用者が設定した「確認する」「禁止する」のルールはそのまま効きます。組織の管理者は、autoモード自体をオフにすることもできます。

第三者認証の資料はTrust Centerで公開

公式セキュリティページは、Claude CodeがAnthropicのセキュリティプログラムに沿って開発されていると説明しています。外部の監査を受けた資料は、Anthropic Trust Centerで公開されています。

公開されているのは、SOC 2 Type 2のレポートやISO 27001の証明書などです。SOC 2は情報を扱う体制を外部の監査人が確かめる報告書、ISO 27001は情報セキュリティの管理体制の国際規格です。

会社で導入を相談するとき、情報システム部門が確認したがるのはこうした資料です。説明の材料として、最初に押さえておくと話が早く進みます。

Claude Codeのリスクは承認した操作の先で起きる

Claude Codeのリスクは、外部の文章に紛れた悪意のある指示や、利用者が承認したコマンドがそのまま実行されることから生まれます。公式セキュリティページも、保護機能はリスクを大きく減らすものの、どんなシステムもすべての攻撃に完全に強いわけではないと注意しています。

ここでは、仕組みを知っておくと防ぎやすくなる3つのリスクを取り上げます。

プロンプトインジェクションで指示が乗っ取られる

プロンプトインジェクションとは、攻撃者が悪意のある文章を紛れ込ませて、AIへの指示を上書きしたり操ったりする手法です。Webページや他人のファイルに「この指示に従え」といった文が隠れていると、AIがそれを読んでしまうおそれがあります。

公式セキュリティページによると、Claude Codeには次のような対策があります。

• curlなどの通信コマンドは自動で許可しない
• 中身を分析しきれないコマンドは実行前に確認する
• ルールに一致しないコマンドは承認を求める
• 初めて開くフォルダでは信頼の確認を出す

それでも、同じページは信頼できない文章をそのままClaudeに流し込まないことを勧めています。外部のWebサービスとやりとりする作業は、仮想マシンの中で試すのが安全です。

承認したコマンドは作業フォルダの外にも届く

Manualモードの確認は、あくまで「権限の確認画面」です。公式セキュリティページは、利用者が承認したコマンドなら、自分のアカウントで書き込める場所すべてに書き込めると説明しています。

起動したフォルダの外へのファイル操作には確認が出ますが、コマンドを一度許可すると、その中身しだいで別の場所のファイルも変えられます。確認画面に出たコマンドを読まずに許可するのが、いちばん避けたい使い方です。

公式も、提案されたコードやコマンドが安全かを確かめる責任は利用者にあるとしています。意味の分からないコマンドは、その場でClaudeに説明させてから判断しましょう。

MCPサーバーの安全性はAnthropicが監査しない

MCPサーバーは、Claude Codeを外部のツールやサービスにつなぐための接続口です。便利な反面、つないだ先が信頼できるかは利用者が見極める必要があります。

公式セキュリティページによると、Anthropicはディレクトリに載せる前に掲載基準で確認しますが、MCPサーバーのセキュリティ監査や管理は行いません。そのため、自分で作ったものか、信頼できる提供元のものだけを使うよう勧めています。

Claude Codeに入力したコードが学習に使われるかはプランで違う

Claude Codeで送ったコードや指示がAIの学習に使われるかは、プランによって違います。Free・Pro・Maxなどの個人向けプランは利用者が学習への利用を選べ、TeamやEnterpriseなどの法人向けは原則として学習に使われません。

プランの種類	学習への利用	保存期間
個人向け（学習を許可）	使われる	5年
個人向け（学習を許可しない）	使われない	30日
法人向け（Team・Enterprise・API）	原則使われない	30日

学習の扱いや保存期間は改定されることがあるので、導入する前に公式のデータ使用ページで現行の内容を確かめてください。

個人向けプランは学習の設定で保存期間が変わる

Claude Codeのデータ使用ページによると、Free・Pro・Max・Ultraの個人向けプランでは、データをモデルの改善に使うことを許可するか選べます。オンにすると、Claude Codeで送った内容も新しいモデルの学習に使われます。

保存期間も、この設定で変わります。学習を許可していれば5年、許可していなければ30日です。

設定はClaudeのプライバシー設定からいつでも変えられます。仕事のコードを個人プランで扱うなら、使い始める前に確認しておきましょう。

TeamやEnterpriseは原則として学習に使われない

同じページでは、Team・Enterprise・APIなどの法人向けの扱いも説明されています。自分から提供を選んだ場合を除き、Claude Codeに送ったコードやプロンプトは学習に使われません。

保存期間の標準は30日です。条件を満たすEnterpriseのアカウントでは、データを保存しないゼロデータ保持を組織ごとに有効にできます。ただし、これは標準のEnterpriseプランには含まれていません。

手元のパソコンにも会話の記録が30日残る

見落としやすいのが、手元のパソコンに残る記録です。データ使用ページによると、Claude Codeは会話を再開できるように、セッションの記録を既定で30日間、平文のまま手元に保存します。

保存場所はホームフォルダの中の.claude/projectsです。期間はcleanupPeriodDaysという設定で変えられます。共有のパソコンで使うなら、期間を短くしておくと安心です。

送受信の内容はTLS 1.2以上で暗号化されています。/feedbackで不具合を報告するとコードを含む会話の写しが送られ、5年間保存される点も覚えておきましょう。

Claude Codeを安全に使うために最初にやる4つの設定

Claude Codeを安全に使うには、次の4つから始めるのが現実的です。どれも公式ドキュメントで案内されている設定です。

1. 確認を飛ばすモードを使わない
2. 秘密のファイルを読ませない
3. サンドボックスでコマンドの範囲を絞る
4. 許可した内容を定期的に見直す

確認を飛ばすbypassPermissionsは使わない

bypassPermissionsは、権限の確認をすべて飛ばすモードです。Claude Codeの権限設定ページによると、.gitや.claudeのような守られた場所への書き込みも確認なしで進みます。

同じページは、このモードをClaude Codeが損害を起こせないコンテナや仮想マシンの中でだけ使うよう求めています。ふだん使いのパソコンでは選ばないのが基本です。

会社で使う場合は、disableBypassPermissionsModeという設定でこのモード自体を使えなくできます。

.envなど秘密のファイルを読ませない

.envは、APIキーやパスワードをまとめて書いておくことが多いファイルです。権限設定ページによると、Read(./.env) や Read(./secrets/**) のような禁止ルールを設定に書くと、Claude Codeのファイルツールはそのファイルを読めなくなります。

読み取りを禁止したパスは、編集や新規作成もまとめて禁止されます。ルールは禁止、確認、許可の順に判定されるため、一度禁止したファイルは別の許可ルールで開けられません。

大事なのは、CLAUDE.mdに「.envを読まないで」と書くだけでは足りない点です。同じページは、権限のルールはAIではなくClaude Code本体が強制するもので、指示文では許可の範囲は変わらないと説明しています。

サンドボックスでコマンドの範囲を絞る

サンドボックスとは、Claudeが実行するコマンドの周りにOSが設ける囲いのことです。Claude Codeのサンドボックスのページによると、/sandboxでオンにすると、コマンドが書き込める場所は作業フォルダなどに絞られます。

通信は手元のプロキシを経由し、許可したドメインかどうかが照合されます。サンドボックスは最初はオフなので、自分で/sandboxを実行してオンにする必要があります。

ただし、囲いの対象はコマンドだけです。ファイルを読み書きするツールやMCPサーバーは囲いの外で動き、権限のルールに従います。対応するのはmacOS・Linux・WSL2で、Windowsで使うならWSL2の中で動かします。

許可した内容を/permissionsで見直す

使い続けるうちに「常に許可」が増えていくので、定期的な見直しが欠かせません。公式セキュリティページは、/permissionsで権限の設定を定期的に点検することを勧めています。

/permissionsを開くと、今効いているルールと、それぞれがどの設定ファイルから来ているかが一覧で出ます。

Claude Codeに書かせたコード自体が安全かは、/security-reviewで確かめられます。作業中のブランチの変更に対して、セキュリティの観点のチェックをその場で実行するコマンドです。

Claude Codeを会社で使うなら管理者が設定をそろえる

Claude Codeを会社で使うなら、管理者が上書きできない設定を配って、全員の権限をそろえるのが基本です。公式セキュリティページは、許可した設定をバージョン管理で共有し、利用状況を監視し、メンバーに安全な使い方を教えることも勧めています。

管理設定は利用者が上書きできない

managed settingsは、管理者が組織全体に配る設定です。権限設定ページによると、管理設定で禁止したツールは、利用者やプロジェクトの設定では許可できません。

どの段階の設定でも、禁止のルールが許可より先に判定されます。そのため、管理者が.envの読み取りやbypassPermissionsを禁止しておけば、個々の利用者が設定を変えても抜け道になりません。

クラウドセッションは分離された環境で動く

手元ではなくAnthropicのクラウドで動かすクラウドセッションには、別の守りがあります。公式セキュリティページによると、セッションごとに分離された仮想マシンで動き、ネットワークも既定で制限されます。

GitHubの認証情報は暗号化して保存され、作業用の仮想マシンの中には入りません。操作はすべて監査ログに残り、使い終わった仮想マシンは一定時間後に回収されます。クラウドセッションの仕組みは、Claude Codeのクラウドセッションとweb版の違いで詳しく取り上げています。

Claude Codeのセキュリティに関するよくある質問

まとめ：Claude Codeのセキュリティは設定で守りを固める

Claude Codeは、操作の前に確認を求める仕組みを土台に、サンドボックスや権限のルールで守りを重ねられるつくりです。一方で、承認したコマンドの中身や、個人プランでの学習の設定は利用者が確かめる必要があります。

bypassPermissionsを使わず、.envを禁止ルールで守り、サンドボックスをオンにするところから始めましょう。導入の準備は次の記事で確認できます。

• Claude CodeのインストールをOS別に確認する
• Claude Codeを使えるプランと料金を確認する