2026年版 チーム向け Claude Code セキュリティベストプラクティス

最終更新日: June 28, 2026

リポジトリを読み取り、シェルコマンドを実行し、外部サービスを呼び出すことができる AI コーディングエージェントは、「到達範囲」があるからこそ有用です。しかし、その「到達範囲」がリスクでもあります。誤ったプロンプトの解釈、不十分な allowlist の設定、または信頼できない MCP サーバー一つで、トークンが漏洩したりブランチが消去されたりする可能性があります。本ガイドは、Claude Code を日常業務や CI で活用したいものの、プロダクション環境への鍵を渡したくない開発者やプラットフォームリードのためのものです。

クイックアンサー：チームはどのように Claude Code のセキュリティを維持するか？

エージェントを最小特権（least privilege）で実行し、その動作をレビューすることが重要です。実際には、以下の5点に集約されます。

• 制限的なパーミッションモードから開始し、「常に許可」という包括的な設定ではなく、狭い allowlist を通じてツールを付与する。
• シークレットをモデルのコンテキストから排除する：キーを貼り付けないこと、そして .env やシークレットパスに対して deny ルールを設定すること。
• 接続する前にすべての MCP サーバーを検証する。信頼できないサーバーはデータにアクセスし、あなたの代わりにアクションを実行できるためです。
• フェッチされた web コンテンツを、プロンプトインジェクションの指示を含む「未検証の入力」として扱う。
• CI では、短命で read-scoped のトークンを与え、プロダクション認証情報を決して露出させない。

この記事の残りの部分は、これら各項目を具体的な設定、リスク表、パーミッション参照、そしてコピー可能な CI シナリオに落とし込んで解説します。

パーミッションモードと allowlist は実際にどのように機能するのか？

Claude Code はツールを初めて実行する前に尋ねます。その決定が記憶されるか、スコープ化されるか、スキップされるかをあなたが決定します。パーミッションモードはベースラインを設定します：

• default：各ツールやコマンドの初回使用時にプロンプトが表示されます。
• plan：読み取り専用です。エージェントはファイルを読み取り計画を提案できますが、編集したりコマンドを実行することはできません。レビューに使用してください。
• acceptEdits：ファイル編集は自動的に承認しますが、シェルコマンドについては引き続きプロンプトが表示されます。
• bypassPermissions：すべてのプロンプトをスキップします。サンドボックス専用として扱ってください。

永続的な制御は、.claude/settings.json の permissions 内にあり、allow、ask、および deny ルールで構成されています。ルールはツールとパターンによってスコープ化されるため、タスクが必要とするものだけを正確に付与できます：

{
  "permissions": {
    "allow": ["Read", "Edit", "Bash(npm test:*)", "Bash(git diff:*)"],
    "ask": ["Bash(git push:*)", "WebFetch"],
    "deny": ["Read(./.env)", "Read(./secrets/**)", "Bash(curl:*)", "Bash(rm -rf:*)"]
  }
}

deny ルールは常に allow ルールに優先するため、上記のようにブロードな Read ルールが存在してもシークレットパスは読み取り不能なままになります。Anthropic は、Claude Code の identity and access management docs で完全なルール構文と優先順位を文書化しています。

使い捨てコンテナの外で --dangerously-skip-permissions を使用することは避けてください。これは、悪い rm や予期せぬネットワーク呼び出しをキャッチする唯一の人的チェックポイントを排除してしまいます。リスクなしにスピードが欲しい場合は、タイトな allowlist を好むべきです。そうすれば、定型的なコマンドは人手を介さずに実行され、新しいものはあなたのために一時停止されます。

リスクと軽減策の参照

ほとんどのインシデントは、いくつかのパターンに起因します。エージェントをチーム全体にスケールさせる前に、それぞれに対応する制御策をマッピングしてください。

このフレームワークは、プロンプトインジェクション、安全でない出力処理、過剰なエージェンシーを主要なリスクとして指摘している OWASP Top 10 for LLM Applications に基づいています。

パーミッションとスコープの参照

この表は、私が新しいチームメンバーに渡すチートシートです。単一の実行による「爆発半径」を変更する設定を網羅しています。

MCP サーバーを接続する前の検証

MCP サーバーは、エージェントに新しいツール（データベースクライアント、チケット連携、ブラウザなど）を追加します。追加する一つ一つが、コンテキストを読み取りアクションを実行できるコードです。信頼できないサーバーは、便利なエージェントをデータ漏洩の経路に変えてしまう最も早い方法であるため、接続するための基準は、ネットワークアクセスを持つあらゆる依存関係に適用する基準と同じでなければなりません。

サーバーを追加する前に、以下の5つの質問に答えてください。

1. 誰が公開しているか？ソースはパブリックであり、メンテナンスされているか？
2. どのようなスコープを要求するか：読み取り専用か、書き込みとネットワークか？
3. 接続された後、どのデータが見えるか：このリポジトリのみか、それともマシン全体か？
4. クレデンシャルはスコープ化され短命か、それとも長期間の管理者トークンか？
5. バージョンを固定し、自動アップデートがアクセス範囲を静かに広げることができないようにできるか？

作業に必要な最小限のスコープを持つサーバーを接続し、書き込み可能な、またはプロダクション向けのサーバーは共有設定や CI の設定から外してください。セットアップの仕組みとより深い手順については、Claude Code MCP integration guide を参照してください。Claude Code productivity tips は、スピードを落とさずにフットプリントを小さく保つ方法について解説しています。

シークレットをモデルの届かない場所に保つ

最もクリーンなシークレットとは、モデルが一度も目撃しないものです。API キーをプロンプトに貼り付けたり、「設定からキーを読み取って使用して」とエージェントに依頼したりしないでください。認証情報は環境変数内に存在させ、名前で参照することで、値がトランスクリプトに残るのを防ぎます。

ほとんどのリスクをカバーするのは、以下の3つの習慣です：

• .env、*.pem、および任意の secrets/ ディレクトリに対して deny ルールを追加し、エージェントが誤って読み取れないようにする。
• pre-commit secret scanner（gitleaks や git secrets など）を使用して、漏れたキーが監査ではなくコミットで失敗するようにする。
• 露出してしまったものはすべて直ちにローテーションし、その後ログと履歴を確認する。ローテーションは窓を閉じる唯一の修正策です。

もしキーがすでにトランスクリプトやコミットに到達してしまった場合は、侵害されたものとして扱い、ローテーションを行ってください。git log -S で git 履歴を検索すると、どこに落ちたかを見つけるのに役立ちます。

シナリオ：プロダクション認証情報なしで CI に Claude Code を有効化する

あるチームは、GitHub Actions でプルリクエストのレビューに Claude Code を使いたいと考えています。目標は、デプロイ能力や main ブランチへの書き込み、またはプロダクションデータベースへのアクセスを一切持たない自動レビューコメントです。

ここでは、ジョブを有用に保ちつつも隔離された状態にするための設定を紹介します：

• plan モードで claude -p をヘッドレス実行し、エージェントが diff を読み取りコメントを書き込むようにするが、ファイルを編集したりビルドコマンドを実行したりはしない。
• ワークフローには contents: read と pull-requests: write のみを与える。デプロイジョブやインフラストラクチャのスコープは与えない。
• 個人のトークンではなく、ジョブの短命な GITHUB_TOKEN を使用し、データベースやクラウドのプロダクションキーをそのジョブの環境に絶対に入れない。
• シークレットパスとアウトバウンドの curl に対して deny リストを追加し、PR diff 内でのプロンプトインジェクション試行が何も漏洩させないようにする。
• アクションと Claude Code のバージョンを固定し、デプロイステップは別の人間承認された環境の背後にゲートをかける。

permissions:
  contents: read
  pull-requests: write
steps:
  - run: claude -p "Review the diff for security issues" --permission-mode plan
    env:
      GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

このレビュージョブはコードを見てフィードバックを投稿します。プロダクション認証情報がスコープ内に存在しないため、本番環境には到達できません。Anthropic の Claude Code security overview は、自動およびヘッドレス実行のためのこの最小特権の姿勢を説明しています。

AI コーディングエージェントに決して貼り付けてはいけないものは？

コンテキストウィンドウ内のすべてがエコーバックされたり、ログに記録されたり、アクションの対象となったりする可能性があるため、いくつかの入力はどこにも属してはいけません：

• ライブ API キー、パスワード付きデータベース URL、またはクラウドルート認証情報。
• サポートチケットに入れるべきではない顧客 PII や規制データ。
• プライベートな署名キー、証明書、または .pem ファイル。
• リードレプリカやローカルフィクスチャで十分な場合でも、完全なプロダクション接続文字列。

エージェントが必要とするアクセスがある場合は、シークレット自体ではなく、環境変数を通じてスコープ化された認証情報へのパスを与えるようにしてください。結果は同じですが、爆発半径は遥かに小さくなります。

監査、フック、継続的なレビュー

最小特権が土台を築き、レビューがそれを維持します。リスクのあるステップを承認する前にエージェントの計画を読み、コミットする前に diff を読むようにしてください。より大きな変更の場合、「AI-assisted refactoring」のように、同じ規律が適用されます。一つ巨大な手動なしでの実行よりも、小さくレビュー可能なステップの方が優れています。

フックを使って決定論的なガードレールを追加します。PreToolUse フックはコマンドを検査し、実行される前にブロックすることができます。これは、保護されたパスへの書き込みを拒否するなど、モデルが絶対上書きして