Claude Code セキュリティ完全ガイド｜プロンプトインジェクション対策・権限設計・機密情報保護・監査ログ

Claude Codeはファイルの読み書き・Bashコマンドの実行・ネットワークへのアクセスなど、強力な操作権限を持ちます。その分、適切なセキュリティ設定なしに使うとリスクが生じます。悪意あるWebページを読み込ませてコマンドを実行させる「プロンプトインジェクション」攻撃、誤って.envファイルやAPIキーを読み取られるリスク、チームメンバーが意図せず本番環境を変更してしまうリスクなどが実在します。

この記事では、Claude Codeのセキュリティ機能を体系的に解説します。権限設定の詳細は権限・パーミッション設定完全ガイドを、Hooksの詳細はHooks完全ガイドを、Docker隔離環境の構築はDev Containers完全ガイドも参照してください。

プロンプトインジェクション攻撃とは

プロンプトインジェクションとは、Claude Codeが処理するデータの中に悪意ある指示を埋め込み、意図しない操作を実行させる攻撃です。

主な攻撃ベクトル

Claude Codeの組み込み保護機構

Claude Codeには以下の保護機構が組み込まれています。

• コンテキスト分析：悪意ある指示をリクエスト全体の文脈から検知
• WebFetchの隔離：外部コンテンツは専用のコンテキストウィンドウで処理し、メインセッションへの混入を制限
• コマンドインジェクション検知：疑わしいBashコマンドは事前許可があっても手動承認を要求
• Fail-closed：パターンにマッチしないコマンドはデフォルトで手動承認が必要
• 新MCPサーバーの信頼確認：初回接続時に確認ダイアログを表示（非インタラクティブ実行時は自動ブロック）

ユーザーがとれる対策

• 外部APIのレスポンスやWebコンテンツを直接パイプで処理させない（curl | claudeは避ける）
• WebFetchを特定ドメインに制限する（後述の権限設定参照）
• Bashコマンドの提案は実行前に必ずレビューする
• VM・コンテナ内で実行して被害をホストOSに及ばないようにする

権限設計：deny-firstアプローチで最小権限を実現

権限設定の評価順序はdeny → ask → allowです。denyに一致した時点でブロックされるため、「まず危険なものをすべてdenyし、必要なものだけallowする」という設計が安全です。

基本的なdeny-first設計例

{
  "permissions": {
    "deny": [
      "Bash(git push *)",
      "Bash(rm -rf *)",
      "Bash(sudo *)",
      "Bash(curl * | bash)",
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(~/secrets/**)"
    ],
    "ask": [
      "Bash(rm *)",
      "Bash(git reset *)"
    ],
    "allow": [
      "Bash(npm run *)",
      "Bash(npm test)",
      "Bash(git add *)",
      "Bash(git commit *)",
      "Bash(git status)",
      "Bash(git diff *)",
      "Read(**)",
      "Edit(src/**)",
      "Edit(tests/**)"
    ]
  }
}

WebFetchの制限

WebFetchは特定ドメインのみに制限することで、意図しない外部サービスへのアクセスを防げます。

{
  "permissions": {
    "allow": [
      "WebFetch(domain:github.com)",
      "WebFetch(domain:docs.anthropic.com)",
      "WebFetch(domain:npmjs.com)"
    ],
    "deny": [
      "WebFetch(domain:pastebin.com)",
      "WebFetch(domain:ngrok.io)"
    ]
  }
}

ファイルシステムのパス形式

Read/Editルールのパスはgitignore形式で指定します。絶対パスと相対パスの扱いに注意してください。

機密情報・シークレットの保護

.envファイルとシークレットをdenyする

.envファイルや秘密鍵などの機密情報は、permissions.denyで明示的に読み取りを禁止してください。gitignoreで除外していてもClaude Codeからは読み取れるため、別途denyルールが必要です。

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./.env.local)",
      "Read(./.env.*.local)",
      "Read(./secrets/**)",
      "Read(~/secrets/**)",
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(~/.config/gcloud/**)"
    ]
  }
}

bypassPermissionsModeの制限

bypassPermissionsモード（Shift+Tabで選択可能）はほぼすべての操作を確認なしで実行します。企業環境でこのモードを禁止したい場合はdisableBypassPermissionsModeを設定します。

{
  "disableBypassPermissionsMode": "disable"
}

サンドボックスによるファイルシステム・ネットワーク隔離

Claude Codeにはサンドボックス機能があり、Bashコマンドの実行を隔離された環境に閉じ込めることができます。Bashのdenyルールより強力な隔離を提供します。

サンドボックスの有効化

サンドボックスは/sandboxコマンドでインタラクティブに設定するか、settings.jsonで有効化できます。有効化するとClaude Codeのバージョンごとに許可済みのファイルパスやネットワークドメインが制御されます。

# インタラクティブメニューでオン/オフを切り替え
/sandbox

{
  "sandbox": true
}

MCPサーバーのセキュリティリスクと対策

MCPサーバーはClaude Codeの能力を拡張しますが、信頼できないMCPサーバーはセキュリティリスクになります。AnthropicはMCPサーバーの内容を審査・管理していません。

MCPサーバー選定時のチェックポイント

• 公式レジストリまたは信頼できる提供元のリポジトリから取得しているか
• 要求する権限が用途に対して適切か（不要なファイルアクセス・ネットワーク権限を要求していないか）
• 定期的なメンテナンス・セキュリティパッチが提供されているか
• オープンソースでコードが確認できるか

enableAllProjectMcpServersのリスク

{
  "enabledMcpjsonServers": ["github", "filesystem", "postgresql"],
  "disabledMcpjsonServers": ["untrusted-server"]
}

企業環境でのMCPサーバー管理

{
  "allowManagedMcpServersOnly": true,
  "allowedMcpServers": [
    "github",
    "internal-db-server"
  ]
}

Hooksによる監査ログと危険コマンドのブロック

Claude Codeのフック機能を使って、ツール実行を記録したり危険なコマンドを事前にブロックしたりできます。フックの詳細はHooks完全ガイドを参照してください。

PostToolUseフックで監査ログを記録する

{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Bash|Edit|Write",
        "hooks": [
          {
            "type": "command",
            "command": "jq -c --arg ts $(date -u +%Y-%m-%dT%H:%M:%SZ) '{timestamp: $ts, tool: .tool_name, input: .tool_input}' >> ~/claude-audit.log"
          }
        ]
      }
    ]
  }
}

PreToolUseフックで危険なコマンドをブロックする

PreToolUseフックでツール実行前にチェックを行い、危険なパターンを検知したら実行を中止できます。フックのexit codeが2の場合、ツールの実行がブロックされます。

#!/bin/bash
# stdin からツール情報を受け取る
INPUT=$(cat)
TOOL=$(echo "$INPUT" | jq -r '.tool_name')
CMD=$(echo "$INPUT" | jq -r '.tool_input.command // empty')

# 危険なパターンのリスト
BLOCKED=(
  "rm -rf /"
  "drop table"
  "curl.*|.*bash"
  "wget.*|.*sh"
  "> /dev/sda"
)

for pattern in "${BLOCKED[@]}"; do
  if echo "$CMD" | grep -iE "$pattern" > /dev/null 2>&1; then
    echo "BLOCKED: コマンドが危険なパターンにマッチしました: $pattern" >&2
    exit 2  # exit 2 = ブロック
  fi
done

exit 0  # 許可

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "$CLAUDE_PROJECT_DIR/.claude/hooks/security-filter.sh"
          }
        ]
      }
    ]
  }
}

企業向け：Managed settingsでセキュリティポリシーを強制する

Claude Teams/Enterpriseプランでは、管理者がManaged settingsでセキュリティポリシーをチーム全員に強制できます。ユーザーはManaged settingsを上書きできません。

Managed settings専用のセキュリティフィールド

{
  "allowManagedPermissionRulesOnly": true,
  "allowManagedHooksOnly": true,
  "allowManagedMcpServersOnly": true,
  "disableBypassPermissionsMode": "disable",
  "permissions": {
    "deny": [
      "Read(./.env*)",
      "Read(~/secrets/**)",
      "Bash(curl * | bash)",
      "Bash(wget * | sh)"
    ]
  },
  "allowedMcpServers": [
    "github",
    "internal-tools"
  ]
}

Managed settingsの配布方法

セキュリティ設定チェックリスト

個人開発者向け

• ~/.claude/settings.jsonにホームディレクトリの機密ファイル（~/.ssh/・~/.aws/credentials）のdenyルールを設定
• プロジェクトの.claude/settings.jsonに.env系ファイルのdenyルールを設定
• WebFetchを必要なドメインのみに制限
• MCPサーバーはenabledMcpjsonServersで個別に許可（enableAllProjectMcpServersを使わない）
• Bashコマンドの提案は実行前にレビューする習慣をつける

チーム・企業向け

• .claude/settings.jsonをGitにコミットしてチームで共有
• Teams/EnterpriseプランではManaged settingsでdenyルールを全員に強制
• disableBypassPermissionsMode: "disable"でバイパスモードを禁止
• allowManagedMcpServersOnlyでMCPサーバーをホワイトリスト管理
• PostToolUseフックで監査ログを記録
• PreToolUseフックで危険コマンドをブロック
• 本番環境の操作はDev Containers（ファイアウォール付き）内で実行

よくある質問