セキュリティ設計と点検 Claude Code｜権限・サンドボックス・MCP・秘密情報を試して確かめる

本コースにはAIの使用が含まれています。

【設定したつもり、になっていませんか】

Claude Code には、権限のルール、サンドボックス、管理者設定、フックと、守りの仕組みがいくつもあります。ただ、設定を書いたことと、実際に守られていることは別の話です。守ったのが設定なのか、たまたまモデルが断っただけなのかは、試してみないと分かりません。

本コースでは、守りの設計を学ぶだけでなく、自分で攻撃して、設定が本当に効いているかを確かめるところまで進めます。攻撃はすべて無害なもので、点検のサンプル一式を配ります。

【収録中に実測して分かったこと】

2026年9月、Windows 11 と WSL2（Ubuntu 24.04）で、Claude Code 2.1.251 と 2.1.278 を使って、同じ攻撃を設定ごとに3回ずつ試しました。

・作業フォルダの外への書き込みと外部との通信は、守りの無い設定では3回とも通り、WSL2 でサンドボックスを有効にすると3回とも OS のレベルで止まりました

・一方、作業フォルダの中の .env は、サンドボックスを有効にしても3回とも読めました。.env には拒否のルールが別に要ります

・curl を拒否するルールを書いても、置き場所を丸ごと書いた curl は3回中1回通りました。公式も、Bash の拒否ルールはセキュリティ境界ではないと書いています

・Read を拒否するルールは、Bash の cat にも効きました

・サンドボックスを有効にしただけでは、認証情報のファイルは読めました。認証情報の指定を足すと止まりました

・同じ攻撃でも、回によってモデルが断ったり実行したりしました。1回試しただけでは、何が守ったのかは分かりません

数字は収録環境での実測で、環境や版によって変わります。だからこそ、自分の環境で同じことを測る点検のやり方を身につけます。

【このコースで扱うこと】

・脅威の地図：エージェントが増やす入口、OWASP の LLM アプリ Top 10（2025年版）、公開された CVE と修正版

・権限：6つの権限モード、拒否・確認・許可の判定順、許可の一覧が道具を絞らない理由

・設定の階層と管理者設定：5つの優先順位、安全の項目だけにある例外、チームへの強制

・サンドボックスとコンテナ：2つの層、Windows 単体では守られない理由と WSL2 への移し方、認証情報の塞ぎ方

・秘密情報とデータ：.env の守り方、送られるデータ・保存期間・学習利用のプラン別の違い、利用状況の送信の止め方

・プロンプトインジェクションと MCP：モデルが見抜くことに頼らない設計、MCP サーバーを入れる前の点検

・フック、CI、点検と運用：フックの限界、CI の守り、点検セット、更新への追従、社内ルールとチェックリスト

【注意】

本コースの内容は2026年9月時点の公式ドキュメントと実測に基づきます。Claude Code は頻繁に更新されるため、既定値や設定の名前が変わることがあります。本コースは Anthropic とは関係のない、個人が作成した講座です。

【2027年度からのIPA新試験制度との関係】情報処理推進機構（IPA）が2026年9月30日に公開した基本情報技術者試験の新シラバス案（Ver.0.1・2027年度から適用予定）には、本講座で扱う「プロンプトインジェクション」「ジェイルブレイク」「AIシステムを守るための対策（Security for AI）」が用語として挙げられています。本講座はIPA試験の対策講座ではありませんが、新シラバス案に含まれる範囲を、実際に手を動かしながら学べます。なお、シラバスは案の段階であり、正式版で変更される可能性があります。最新の情報はIPAの公式ページでご確認ください。