AIエージェントのセキュリティとは？許可設定・denyリスト・サンドボックスをやさしく解説

AIエージェントに「全部許可」していませんか？便利な反面、知らないうちにファイルが操作されるリスクも生まれます。denyリストやサンドボックスの仕組みを、非エンジニアにもわかりやすく解説します。

AIエージェントが「許可を求めてくる」理由

Claude CodeなどのAIエージェントを使っていると、作業フォルダの外のファイルを読もうとしたときや、ファイルを編集・実行しようとしたときに「許可しますか？」という確認画面が表示されることがあります。「なぜこんなに確認が多いのか」と感じた方も多いのではないでしょうか。

Claude Codeはファイルの「読み取り（Read）」「編集（Edit）」「書き込み（Write）」をそれぞれ別の操作として扱っており、許可リストに登録がなければ毎回確認を求める設計になっています。これは面倒に感じるかもしれませんが、裏を返せば「知らないうちにファイルが変更・削除される」リスクを防ぐための安全装置です。

設定ファイル（settings.json）に Read(*)・Edit(*) を追加すれば確認回数を大幅に減らすことができます。ただし、これは「玄関の鍵を開けたまま外出する」ことと同じです。利便性が上がる分、新しいリスクが生まれます。

許可を広げると何が起きるのか

AIエージェントへの許可を広げるほど、技術的なブロックは薄くなります。つまり、作業指示（CLAUDE.md）に「このフォルダ外は触らないでください」と書いてあっても、それはAIへの「お願い」であり、システムが強制するルールではありません。

2026年現在、AIエージェントのセキュリティリスクとして特に注目されているのが「プロンプトインジェクション」です。これは、外部のウェブサイトや文書の中に悪意ある指示が埋め込まれており、AIがそれを読み込んだ際に意図しない操作を実行してしまう攻撃手法です。本番環境に導入されたAIの7割以上で、プロンプトインジェクションにつながる弱点が見つかったという調査もあり（Cisco「State of AI Security 2026」）、決して他人事ではありません。

個人・小規模での利用においても、「重要なファイルが誤って上書きされる」「機密フォルダの内容が作業ログに含まれる」といったリスクは現実的です。

denyリストとは何か

こうしたリスクへの対策として有効なのが「denyリスト」です。settings.jsonに特定のフォルダパスを登録することで、AIエージェントがシステムレベルでアクセスを強制ブロックする仕組みです。

設定例は以下の通りです。

"permissions": {
  "deny": [
    "Read(//Users/username/Desktop/重要書類/**)",
    "Edit(//Users/username/Desktop/重要書類/**)"
  ]
}

ここで注意が必要です。パスの先頭は「/」を1つではなく「//」と2つ重ねてください。「/」が1つだけだと絶対パスとして認識されず、意図したフォルダを守れません。また、ファイルの書き込み制御は Write ではなく Edit のルールで行います（Write にパスを指定しても機能しません）。

「deny（デナイ）」はセキュリティ業界全般で使われる言葉で、ファイアウォールやウイルス対策ソフトでも同じ概念が使われています。Claude Code固有の言葉ではなく、「このアクセスを拒否する」という意味です。

重要な注意点として、denyリストはフォルダ名・パスが変わると無効になります。守りたいフォルダの名前は固定しておくことが必要です（例：「重要書類_名前変更禁止」のようにフォルダ名自体に注意書きを入れるのも有効な方法です）。

denyリストとサンドボックスの違い

より強固な保護が必要な場合は「サンドボックス」という仕組みがあります。denyリストとサンドボックスは役割が異なります。

	denyリスト	サンドボックス
イメージ	特定の部屋に入れない	箱の外に出られない
強さ	中程度	強い（OSレベルで強制）
導入難易度	簡単（設定ファイルに数行）	簡単（macOSは追加インストール不要。`/sandbox` で設定）
適した用途	個人・小規模利用	個人利用でも推奨。特に外部サイトを読ませる作業

ただし、denyリストにも限界があります。denyリストはAIエージェントの内蔵ツール（Read・Edit）や、cat・sed などClaude Codeが認識できるBashコマンドには効きますが、PythonやNodeのスクリプトがファイルを開くような間接的な操作までは止められません。また、denyルールがあっても迂回される可能性がゼロではないことが、セキュリティ研究者によって指摘されています。完全な防護を求めるならサンドボックス環境の構築が必要ですが、個人・小規模での利用であればdenyリストだけでも十分な抑止力になります。

AIエージェントのセキュリティで大切な考え方

セキュリティの原則として「最小権限の原則（Principle of Least Privilege）」という考え方があります。必要な操作にだけ許可を与え、それ以外はブロックする、という発想です。

AIエージェントが高度化するほど、できることが増える分、リスクも増えます。2026年3月に改定された「AI事業者ガイドライン（第1.2版）」では、AIエージェントが自律的に外部へ働きかける場合の人による確認（Human-in-the-Loop）が重視されるようになりました。これはもはや大企業だけの話ではなく、AIを使ってホームページ制作や業務自動化を行う小規模事業者にも関係する話です。

「便利だから全部許可」ではなく、「必要な範囲だけ許可し、守りたいものは明示的にブロックする」という意識を持つことが、AIエージェントを安全に使い続けるための第一歩です。まずはdenyリストへの登録から始めてみてください。