Claude Code自動モード時代の安全設計とガードレール

人間の承認に頼る安全設計の限界

Claude Codeが2025年8月14日から自動モードをデフォルト化した。コマンド実行のたびに「Yes」を押す作業がなくなり、AIエージェントが数時間かかるタスクを自律的に進められるようになったClaude Code、承認ボタンを何度も押さなくていい「自動モード」がデフォルトに。

この変更の裏には、人間の承認がもはや安全機構として当てにならないという実測結果がある。Anthropicが1,053人のテスターに危険なコマンドを見抜けるか試したところ、正答率はわずか13.6%だった。しかも承認プロンプトを50回以上処理した後には、検知率が約17%から約5%まで下がった。疲れた人間は、危険なコマンドほど見逃す。自動モードの分類器はセッションの長さに関係なく検知率を保ち、同じテストで危険コマンドの89%を捕まえた。

承認の代わりに何が安全を守るのか

自動モードでは全ツール呼び出しが分類器を通り、危険な操作は検知・ブロックされる。分類器によるチェックにかかるトークン消費は無料化された。第三者機関によるプロンプトインジェクションテストでは、自動モードのClaude(Fable 5、Opus 5、Sonnet 5)が720件の攻撃を全てブロックした一方、OpenAIのCodex(GPT-5.6 Sol)は成功率5.83%を記録しているClaude Code、承認ボタンを何度も押さなくていい「自動モード」がデフォルトに。

この発想は「ハーネスエンジニアリング」と呼ばれる設計思想と地続きだ。ハーネスは基盤モデルを取り巻き、計画・ツール利用・コンテキスト管理・成果物保存・結果評価を統制する仕組みで、Claude CodeやCodexはその実装例に位置づけられるHarness engineering for self-improvement。従来のエージェントフレームワークと違うのは、ワークフロー設計・評価・権限制御・永続状態管理までを含む点だ。都度承認ではなく、実行可能なコマンドの範囲を最初に絞り、実行ログを永続化して事後検証できる状態を作る。承認ボタンではなく設計そのものがガードレールになる。

プログラミング未経験者の10日間が示すこと

アイドルの宮本佳林さんは2025年8月1日、10時間のYouTube生配信を支えるシステムをClaude Codeで自作した経緯をブログで公開した。プログラミング経験はなく、コードは一行も書いていないという「コードは一行も書いていない」　アイドルの宮本佳林さん、AIで配信システムを丸ごと構築　“技術ブログ”が話題。

注目すべきは技術的な役割分担の作り方だ。視聴者のハッシュタグ投稿数に応じて演出を変える企画のため、ゲージや投稿数の集計にはCloudflare WorkersとWorkers KVを使い、動画を比較採点するAI処理は手元のPCで実行した。共有すべき状態はクラウド、重い処理はローカルという分離だ。自動処理が失敗した場合は手動で数字を更新できる仕組みも用意した。開発期間は10日間。承認の有無ではなく、失敗時に何が壊れて何が守られるかを先に設計している点が、自律実行時代のガードレールと同じ発想と言える。

自動モードは誰が使うべきで、誰が慎重になるべきか

導入に向くのは、実行環境を切り分けられるエンジニアだ。本番データベースへの直接アクセス権を与えず、テスト環境やサンドボックス内でのみコマンド実行を許可する。CI/CDのテストゲートを通過しない変更はマージされない構成にしておけば、分類器のブロックをすり抜けた操作があっても被害は限定できる。

慎重になるべきは、単一のセッションに広範な権限をまとめて与えている場合だ。長時間タスクを自律実行させるほど、権限分離とログ保存の設計が甘いと復旧コストが跳ね上がる。承認プロンプトを外す前に、「何が壊れたら誰が困るか」を洗い出す作業は省略できない。

自動モードはセッションの長さに関わらず、危険なコマンドの検知率を一定に維持した

まとめ

承認プロンプトは疲労で精度が落ちる仕組みだった。自動モード時代の安全性は、都度確認ではなく分類器・権限分離・テストゲートという設計側の仕込みで担保する。まず自分の開発環境でコマンド実行範囲とロールバック手順を洗い出すことが、自動モードを使い始める前の最初の一歩になる。