【悲報】AIエージェント、確認ボタンの連打で秘密ファイルを全部持ってか…Claude Code利用者が最初にやるべき設定が危険すぎる
【悲報】AIエージェント、確認ボタンの連打で秘密ファイルを全部持ってか…Claude Code利用者が最初にやるべき設定が危険すぎる
AIエージェントを「便利だから」と初期設定のまま使っている人たちに、警鐘が鳴らされ始めた。生成系AIの解説者の実演によれば、対話型エージェントのClaude Codeは、設定を整えないとプロジェクト内の秘密ファイルを確認なしで読み、外部サービスへ通信し、会話ログとして記録を残す。情報の漏れ方も、映画のような派手なサイバー攻撃というより、日常操作の些細な繰り返しが引き金になるパターンが現実には圧倒的に多いとされる。
リスクの現実味を支える背景には3つの扱いがあるとされる。AIの進化サイバー攻撃の形態が代わり、情報漏洩の損害が不可視で重くなっていること。エージェントがファイルの読み書きや外部通信まで自律的に行う構造に変わったこと。そして、開発を任せようとする利用者の側に「確認に慣れすぎる」という人間的な弱点が積み重なっていることだ。1時間を超える解説の結論は、設定を完全に信仰するのではなく、「読ませない・送らせない・残さない・そして自分の目で確認する」という4方向に整理されている。
現実に多い、は4つの事故パターン
まず第1が「.envをそのまま読まれる」だ。.envはパスワードやAPIキーをまとめて書いておく定番フォルダーで、作業フォルダー内に置いてあると、確認なしで読まれてしまう。読んだ値は鍵の値としてそのまま利用され、APIの通信ログにも残る。第2は「grepで秘密が混ざる」だ。grepはファイルの中身を横断検索する機能で、ファイル名を指定しない検索やスクリプト経由の参照は、後述する読み取り禁止のルールでは止まらない。
第3は「読まずに押した1回の承認」だ。確認ダイアログが多すぎると、中身を見ずに承認する癖がつく。設定より先に崩れるのはここだと指摘される。そして第4が「知らないリポジトリーの設定が勝手に動く」だ。リポジトリーはプログラムの設定が同梱されたフォルダーで、その中の設定ファイルがトリガーになり、信頼した瞬間に動き始める。悪意ある何かが入っていれば、利用者が意図しない処理がいきなり実行される。
対策の土台は権限モード。全部許可は便利すぎる代償
Claude Codeには、どこまで確認なしで進めるかを決める「権限モード」がある。一番上は全て許可のバイパスパーミッション。コマンド起動時のオプションで切り替えられ、ほぼ何も聞かれなくなる。利便性は最大、リスクは100%だ。ただし、公式でもあまり推奨されていない。次は自動判定モードで、別のAIモデルが分類器として危険な操作を止めてくれる仕組み。外れていればClaude Codeのアップデートコマンドで追加できる。
さらに「編集だけ自動」は、作業範囲内のファイル編集は自動で、コマンドや通信は確認するモード。普段の開発に向いている。「全て確認」は利便性が低い反面リスクが小さく、席から離れられない運用になる。設定ファイルで扱う4つの言葉は、Deny（禁止）、Ask（確認）、Allow（許可）、Hook（独自ルールの割り込み）。書く場所はいずれも settings.json という設定ファイルだ。
鍵を守る4つの現実解。禁止ルールから会話ログまで
実践寄りの提案は4つにまとまる。まず「読ませない」では、settings.jsonにDenyルールを書き、.envやsecretフォルダー、.sshなどの認証情報を読み取らないよう禁止する。禁止リストに書いてもエージェントは実行自体はできるが、Claude自身が読まない状態を作れるため、リークの入口を塞げる。設定後は専用の権限タブでルールが反映されているかを確認するのが推奨される。
「送らせない・残さない」のために、会話ログの保持期間を短く設定し、送信の窓を絞る。通信先を制限し、取得したファイルの範囲を意図的に絞る取り組みも同時に紹介された。利便性が下がりすぎる設定は逆効果で、リスクと利便性を比べるシミュレーションも含まれていた。機密情報を扱う場合はサンドボックスでの隔離実行、MCP連携時は権限の最小化といった追加処置が有効とされる。
もう一つの現実解は「鍵そのものを小さくする」運用だ。権限が狭いこと、対象を限定したトークン、期限を短く設定すること。APIキーなら1週間限定で発行する方法があり、漏れても被害が1週間で止まる。定期的なローテーション、すぐ無効化できる状態の維持、そして上限金額の設定。決済系キーなら1週間の使用額を100ドル程度に抑えておけば、漏れても被害額が最小限で済む。解説者本人も利便性を下げるセキュリティを可能な限り避け、鍵の交換週間を1週間に1回の運用で回しているという。
ネットの反応
ところどころ、声の調子が変わっていることが気になりました。マイクの不具合？勉強になりました。
確認ダイアログを無意識に「はい」連打してしまった。第3の事故パターン、まさに自分のことだ。
APIキーの上限設定を100ドルにしておく、は本当に実用的。何かあっても被害額がそこで止まるので安心。
「読ませない・送らせない・残さない・目で確認する」の4分割が分かりやすい。設定を全部理解してから選ぶという姿勢が良い。
AIの所感
この解説の強みは、セキュリティを「脅かしの物語」でなく「4つの対策方向」に削り切ったことだ。読ませない、送らせない、残さない、そして自分の目で確認する。設定の属性がどれに対応するのかを判断できれば、迷ったときに優先順位を決めやすくなる。とりわけ「読まずに押す承認」が最も現実的な破れ目であるという指摘は多くの利用者に共感を呼ぶはずだ。保護は全部で考えるより、まず秘密の鍵を小さく限定し、漏れても被害が1週間と100ドルで止まる状態を作る方が現実的であるという結論は、個人でも仕事場でもそのまま取り込める。
さらに、AIエージェントの安全性は保証されるものではなく、コマンドと外部通信の許可がエージェントの利便を直接決める時代になった。毎回・毎プロジェクトの初期設定を「確認なしで動かす範囲をどう絞るか」から始めるのが、生成AIを安全に活用する最初の一歩になっている。（2026年10月20日時点の情報）