ClaudeCodeのセキュリティは大丈夫？安全性と危険性を徹底解説

laude Codeのセキュリティを調べていて、AIにシェル実行やファイル編集を任せて大丈夫なのか、自分のコードが学習に使われないか、.envや鍵ファイルを勝手に読まれないか――こうした不安を抱える方は多いのではないでしょうか。

本記事では権限管理・サンドボックス・データの学習利用・安全な設定・実際のCVEを、公式ドキュメントをもとに整理しました。

Claude Code Securityとは｜安全性の基本

Claude Codeの安全性で重要なのは、AIモデルの良し悪しではなく、Claude Codeにどこまで操作を許可するかです。

権限ベースで動くセキュリティ設計

中核は権限システムです。AIが何でも実行できるわけではなく、操作ごとに許可・確認・禁止が判定されます。

この判定はAIモデルではなくClaude Code本体が行います。だからプロンプトインジェクション（悪意ある指示の注入）でモデルが騙されても、権限ルール自体は書き換わりません。

守られる範囲と自己責任の範囲

Claude Codeには、自動で効く防御と、ユーザーが設定して初めて効く防御があります。

区分	内容
自動で守られる	読み取り専用がデフォルト／書き込みは起動フォルダ内／rm -rf /にサーキットブレーカー
設定が必要	.env・~/.ssh・~/.awsの読み取り禁止（denyRead）／キャッシュ保持期間の短縮
完全な自己責任	untrustedリポジトリを開かない／bypassモードを通常PCで使わない

Claude Codeの権限管理とセキュリティ機能

Claude Codeのセキュリティの要は権限管理です。デフォルトでは読み取り中心に制限され、編集やコマンド実行には明示的な承認が必要です。

読み取り専用がデフォルトの権限設計

Claude Codeは起動直後、厳格な読み取り専用モードで動きます。ls・cat・git statusなどの読み取りコマンドはプロンプトなしで動きますが、編集や実行はすべて明示承認が必要です。

つまりデフォルト設定では、いきなりファイルが書き換わったりコマンドが勝手に走ったりしません。

allow / ask / denyの3ルールと優先順位

権限は3種類のルールで制御されます。この3つと評価順を理解しておくことが安全運用の前提です。

ルール	動作
Allow	承認なしで実行
Ask	実行のたびに確認
Deny	実行を禁止

パーミッションモードとbypassの注意点

Claude Codeにはパーミッションモードがあり、IDE拡張では Shift+Tab で切り替えられます。承認の厳しさを用途に応じて変えられます。

モード	動作
Ask before edits	編集のたびに承認を求める（標準）
Edit automatically	選択範囲やファイル全体を自動で編集する
Plan mode	編集せずコードを調べ、計画だけを提示する
Auto mode	タスクごとに最適な権限モードを自動で選ぶ

これら4つとは別に、すべての承認をスキップする--dangerously-skip-permissions（内部名bypassPermissions）があります。rm -rf /などの破壊的コマンドにはサーキットブレーカーが残りますが、それ以外の確認はすべて飛びます。

書き込みが許される範囲（write制限）

見落とされがちなのが、書き込みと読み取りで守備範囲が違う点です。

書き込みが起動フォルダ内に閉じているのは安心材料ですが、読み取りは広く効くため、機密ファイルの保護は別途設定が必要です。

Claude Codeのサンドボックスと安全性

サンドボックスは、Claude Codeの操作をOSレベルで隔離する仕組みです。権限プロンプトを減らしつつ安全性を保てますが、入れれば完全に安全ではありません。

サンドボックスの仕組み（Seatbelt / bubblewrap）

実装はOSによって異なります。導入の手間も対応環境も変わるので、まず自分の環境を確認しておきましょう。

OS	実装	必要なもの
macOS	Seatbelt	追加インストール不要
Linux / WSL2	bubblewrap	bubblewrap + socat が必要
ネイティブWindows	非対応	WSL2上で動かす

書き込みは作業ディレクトリとセッション用tempに限定されます。ネットワークも事前許可ドメインがなく、初回アクセス時に承認プロンプトが出ます。

公式のプロンプトインジェクション対策

Claude Codeは、外部から悪意ある指示を紛れ込ませる攻撃（プロンプトインジェクション）に対し、複数の防御を重ねています。

公式は「これらでリスクは大きく下がるが、どんなシステムも全攻撃に完全免疫ではない」と注記しています。

サンドボックスの限界（過信は危険）

サンドボックスは強力ですが、完全な隔離境界ではありません。公式自身がこの点を認めています。

Claude Codeにコードは学習されるか｜データの扱い

会社のコードをClaude Codeに食わせて学習されないか、という不安はよく聞かれます。結論はプランで明確に分かれ、商用プランは標準で学習に使われません。

プラン別の学習利用とデータ保持期間

プロンプトと出力は、コンシューマー・商用どちらもAnthropicに送信されます（TLSで暗号化）。違いは「学習に使うか」と「保持期間」です。

プラン	学習利用	データ保持
コンシューマー（Free/Pro/Max）	選択制（ONにすると対象）	許可で5年／不許可で30日
商用（Team/Enterprise/API）	デフォルトで使わない	標準30日

商用利用の安全性を上司やセキュリティ部門に説明する材料として、公式の条文がそのまま使えます。

> Anthropic does not train generative models using code or prompts sent to Claude Code under commercial terms.

例外はDevelopment Partner Programにopt-inした場合のみで、Bedrock/Vertex経由は対象外です。

ZDRの誤解（Enterpriseでも標準では付かない）

ZDR（Zero Data Retention＝データを保持しない設定）は、Enterpriseなら自動で付くと誤解されがちですが、そうではありません。

「Enterprise契約だからデータは残らない」と思い込まず、契約時にZDRの適用可否を確認することが重要です。

意図せずコードを送ってしまう経路

学習利用とは別に、自分の操作でうっかりコードを送ってしまう経路があります。ここが盲点になりやすいポイントです。

これらの送信では既知のAPIキー・トークンはマスクされますが、ソースコード本体はそのまま送られます。なお認証情報は、macOSではKeychain、Windows/Linuxではファイルパーミッションで保護されます。コンプライアンス面ではSOC 2 Type 2とISO 27001を取得済みです。

Claude Codeを安全に使う設定と運用

ここまでの仕様を、実際の設定と運用に落とし込みます。ポイントは機密ファイルの読み取り禁止と、危険なモードを避けることの2点です。

denyすべきファイル（.env・鍵など）の設定

読み取りはデフォルトで作業ディレクトリの外まで効くため、機密ファイルを明示的にdenyするのが第一歩です。

避けるべきモード・運用パターン

次のパターンは通常環境では避けることをおすすめします。

安全に使うためのチェックリスト

日常的に確認したい項目をまとめます。

Claude Codeの危険性とCVE・事故事例

Claude Codeにも、実際に公表された脆弱性（CVE）があります。ただし共通原因を見ると、設計の根本的な欠陥ではなく特定の運用パターンに起因しています。

実際に公表された主なCVE

過去のCVEは、いずれも攻撃経路と修正バージョンが公開されています。最新版を使っていれば、これらはすでに対策済みです。

CVE	内容	修正
CVE-2025-59536	untrustedリポジトリの設定内Hooks/MCPが信頼ダイアログ前に実行されRCE	2025-08-26に信頼プロンプトの厳格化で修正
CVE-2026-21852	MCP consent bypass＋ANTHROPIC_BASE_URL改ざんでAPIキーが平文流出	2025-12-28修正（公開2026-01-21）
CVE-2026-24887	コマンド解析エラーでfind経由で確認プロンプトをバイパスし任意コマンド実行	v2.0.72で修正（CVSS v4 7.7）

このほか、GitHub ActionでissueやPRに隠した指示からCI/CDのシークレットが漏れる手口もMicrosoftが警告しています。

また--dangerously-skip-permissionsでの運用中にrm -rfがホームディレクトリまで巻き込んだ事例も、2025年12月に報告されています。

共通原因と教訓

横断して見ると、実害のほとんどは「信頼できないリポジトリをクローンして開く」「bypassを通常PCで使う」という運用に起因しています。

まとめ｜Claude Codeは線引きを理解すれば安全に使える

Claude Codeは線引きさえ理解すれば業務でも安全に使えます。最後にこの記事の要点をまとめます。

まずは.env・~/.ssh・~/.awsをdenyReadに追加し、Claude Codeを最新版に保つことから始めましょう。bypassモードは隔離環境専用と割り切るのが安全です。

本記事は2026年6月時点の情報です。最新はClaude Code公式ドキュメントを確認してください。