「AIエージェントに在庫表の整理を任せたいが、どこまで触らせてよいのか決められない」
このページでは、Claude Code（Anthropic 社が提供するAIエージェント）を例に、AIエージェントに与える権限を、許可ルール、権限モード、フック、作業フォルダとサンドボックスで決める方法を説明します。5つの問いのうち 権限 を扱います。
- AIエージェントに与える権限は狭く始め、止まるべき操作が止まることを確かめてから広げてください。
- プロンプトや CLAUDE.md に書いた禁止は、AIモデルが守らない場合があります。必ず止めたい操作は、フックで実行前に止めてください。
- 許可ルールは拒否が最優先です。取り返しのつかない操作は拒否に、戻しにくい操作は確認に置きます。
- 迷ったら、権限モードを Manual で使ってください。
このページで出てくる言葉の意味は用語一覧で確認できます。
業務でどう使うか
- 見積書、請求書、SNS投稿の下書きなど、業務ごとにフォルダを分け、そのフォルダで起動する
- 初めての仕事は、AIエージェントに計画だけを出させ、読んでから進める
- チームで同じ線引きを使うときは、許可ルールをプロジェクト設定に書いて共有する
- デスクトップ全体で起動し、顧客名簿や契約書まで確認なしで読める状態にする
- CLAUDE.md に「削除しない」と書いただけで、設定での止め方を用意しない
- 確認が面倒だからと、業務PCで確認をすべて飛ばすモードを使う
権限を決める5つの手段
AIエージェントの権限は、プロンプトで頼むより、ハーネスの設定で決めるほうが強く効きます。
下の手段ほど、AIモデルの判断に頼らずに効きます。
Claude Code が起動時に読み込む設定は、次のとおりです。権限の線引きは、主に settings.json に書きます。
- 管理者設定と、起動時のオプション
.claude/settings.local.json、.claude/settings.json、~/.claude/settings.json- CLAUDE.md
- MCP の設定を書いた
~/.claude.jsonと.mcp.json - スキルとプラグイン
何を許可し、何を止めるかを決めるのは経営者です。設定ファイルの記述は、詳しい人に頼んで構いません。
許可ルールの3段階
許可ルールは、拒否、確認、許可の順に照合され、最初に当てはまったものが使われます。
- 許可
- 確認なしで実行させる操作です。見積書や在庫表を読むなど、戻せる操作に向きます。
- 確認
- 毎回、人に確認させる操作です。問い合わせへの返信の送信やSNSへの投稿など、戻しにくい操作に置きます。
- 拒否
- 頼まれても実行させない操作です。顧客名簿や請求書のファイルの削除など、取り返しのつかない操作に置きます。
同じ操作を許可と拒否の両方に書くと、拒否が優先されます。許可ルールを書く場所は、次の3つです。
- ユーザー設定の
~/.claude/settings.json。すべてのプロジェクトで効きます。 - プロジェクト設定の
.claude/settings.json。プロジェクトのフォルダと一緒にチームで共有します。 - ローカル設定の
.claude/settings.local.json。そのプロジェクトで、自分だけに効きます。
複数の場所に書いた場合は、管理者設定、起動時のオプション、ローカル設定、プロジェクト設定、ユーザー設定の順に優先されます。
許可ルールは、AIエージェントが実行しようとするコマンドの文字列と照合します。同じ操作でも別の書き方をすると、一致せずに止まらないことがあります。守りたい範囲は、サンドボックスと組み合わせてください。
関連：『現時点の仕様』の『許可と安全の仕組み』
権限モードの選び方
迷ったら、権限モードを Manual で使ってください。
権限モードは、許可ルールに当てはまらない操作を、人に確認するか自動で進めるかを決める基本の設定です。主なモードは4つです。
| モード | 動き方 | 向く場面 |
|---|---|---|
| Manual | ファイル編集とコマンドのたびに確認する | 慣れないうち、慎重に扱う業務 |
| Accept edits | 編集は自動で進め、コマンドは確認する | 内容を見ながら作り込む仕事 |
| Plan | 読むだけで、変更しない | 大きな変更の前、初めての仕事 |
| Auto | 自動で進め、危険な操作だけ止める | 長い作業。安全の保証ではない |
権限は、次の順に広げてください。どこまで任せるかは、AIモデルの性能ではなく、失敗したときに元に戻せるかで決めます。
上の段階から順に試してください。下の段階ほど取り返しのつきにくい操作を含むため、人の確認を残します。
Auto は、頼まれた範囲を基準に操作を判断します。「全部片付けて」のように頼み方が広いと、その範囲の中の操作は止まらないことがあります。送信や公開には、確認のルールを置いてください。
フックで必ず止める操作
必ず止めたい操作は、フックで実行前に止めます。
フックは、ハーネスが決まったタイミングで実行するシェルコマンドです。AIモデルの外で動くため、AIモデルの判断に関係なく毎回実行されます。AIエージェントがツールを使う直前に動くフックが「止める」という結果を返すと、その操作は実行されません。
フックに向くのは、毎回やらせたい確認、記録、停止です。
- 顧客名簿のフォルダを消すコマンドを、実行前に止める
- ファイルを編集するたびに、検査を実行する
- AIエージェントが実行した操作を、記録に残す
請求書の下書きを Claude Code に任せる場合、金額を含むファイルを保存するたびに、合計が明細と一致するかを検査するフックを置きます。合わなければ作業が止まるので、止まった箇所だけを確認すれば済みます。
フックは、許可ルールと同じ3つの場所に書けます。要らなくなったフックは消してください。残すと意図しない場面で動き、作業が止まったときに原因が分かりにくくなります。
作業フォルダとサンドボックス
触れられる範囲そのものは、作業フォルダとサンドボックスで狭めます。
Claude Code は、起動したフォルダの中のファイルを確認なしで読めます。デスクトップ全体で起動すると、その全部が読める範囲に入ります。業務ごとにフォルダを分け、その仕事に要るファイルだけを置いてください。
サンドボックスは、AIエージェントが実行するコマンドの読み書きの範囲と通信先を、OSの機能で制限する仕組みです。読み込んだ文書の中の指示に誘導されても、制限の外には触れられません。
その仕事に要る分だけの権限を渡す考え方を、最小権限と呼びます。Webやアプリの安全対策の手引きを出す国際的な非営利団体の OWASP は、AIに必要以上の権限を与える過剰な権限を、主要な危険の1つに挙げています。
ブラウザの操作を AIエージェントに任せると、ログイン済みのサービスに、使う人の権限で入れます。画面に表示された文章に仕込まれた指示に従うプロンプトインジェクションも、その権限の範囲で起こりえます。ログイン中のサービスを把握していないブラウザは、使わせないでください。
関連：『外部サービスとの接続』
まとめ
- AIエージェントに与える権限は狭く始め、止まるべき操作が止まることを確かめてから広げます。
- プロンプトと CLAUDE.md は助言です。必ず止めたい操作は、フックで実行前に止めてください。
- 許可ルールは拒否が最優先です。戻しにくい操作は確認に、取り返しのつかない操作は拒否に置きます。
- 迷ったら、権限モードを Manual で使ってください。
- 業務ごとにフォルダを分け、送信、公開、支払い、削除の最後の操作は人が行います。