AIを安全に使うための最低限のルール

はじめに

面倒な作業をAIで自動化できた。
でも、大事なデータが消えてしまった。
—そんな事故を起こしてほしくないので、この記事を書きました。

AIは「使い方を間違えると危険を伴う道具」です。
でも、正しく怖がることができれば、正しく守ることができます。

ここから先は、私自身が実際に自分の設定を掘り返した、生の記録です。
「対策しているつもり」だった私が、いったい何を見落としていたのか？

基礎編（AIをチャットとして使うすべての人へ）

まず、AIをチャットとして使う（Claude Codeなどで自動化まではしていない）人が知っておくべき4つの注意点。

①データ学習の設定を確認する。
Claude（Anthropic）は、個人向けプラン（Free・Pro・Max）はデフォルトで「あなたの入力内容がAIの学習に使われる」設定になっています。
設定 →「プライバシー」→「Claudeの改善にご協力ください」のチェックを外せば、これは止められます。
性能が落ちることはありません。

②非公式のツールを安易に信用しない。
クロードの名前や見た目を似せた非公式ツールが、公式の最新機能であるかのように広まった実例があります。
APIキーの入力や外部アカウントへのログインを求めてくるツールは特に要注意。
「みんな使っているから」は安全の理由になりません。

③出所不明なファイルを安易に読み込ませない。
AIは、人間の目にほとんど見えない小さな文字まで律儀に読み取ります（プロンプトインジェクション）。
実際に2026年2月、Claude Desktopの拡張機能にこの手口が使える深刻な脆弱性（10段階中10点）が見つかり、1万人以上に影響が出ました。
知らない相手から届いたファイルを、確認なしにAIへ丸ごと読み込ませないこと。

④AIに依存しすぎない。
システム障害でAIが突然使えなくなったとき、AIなしでは仕事が止まってしまう状態は危険です。
意識的にAIを使わない時間をつくりましょう。

---

ここから先（実践編）は、Claude Codeなどでファイル操作やコマンド実行を自動化している人向けです。
チャットで相談するだけの使い方なら、ここまでで十分です。

---

実践編：「対策はしてるつもり」だった私が、設定を一つずつ掘り返してみた話

正直、Claude Codeに毎回「これを実行していいですか」と確認されるのは面倒です。
かといって確認を全部飛ばす、いわゆる「デンジャラス・スキップ」の設定は使いたくありませんでした。
実際にこの設定のせいで、ホームディレクトリごと消えてしまったり、数十GB単位のファイルが削除されてしまったりした事例が、Claude Codeの不具合報告として実際に記録されているからです。

そこで私がやっていたのは、「CLAUDE.md」という指示ファイルの中に、どの操作のときは必ず私の許可を求めてほしいか、というポイントを書いておくことでした。
全部の操作をいちいち止めてもらうのではなく、肝心なところだけをピンポイントで指定する。
面倒さと安全性の、ちょうどいい落としどころを見つけたつもりでした。

ところが、これは技術的には「AIへのお願い」でしかない、ということに気づきました。
CLAUDE.mdに書いたルールは、AIが読んで従おうとしてくれるだけで、システムが強制してくれるものではありません。
本当に危険な操作を確実に止めたいなら、Claude Codeの設定ファイル（settings.json）の許可リスト・拒否リストで、コマンドそのものを技術的にブロックしておく必要があります。

実際に確認してもらったら、"守れているもの"と"守れていないもの"がはっきりした

自分の記憶だけで判断せず、ローカルのClaude Codeに、今の許可・拒否設定がどうなっているか、実際に確認してもらいました。

プロジェクト共有の設定には、.envファイルを開けないようにするルールなど、しっかり組まれていました。
過去に機密情報が漏れかけた事故を受けて作った対策で、ここはちゃんと機能していました。

一方で、個人用の設定を見てみると、これまでのセッションでそのつど個別に「これは実行していいよ」と承認してきたコマンドが、そのまま積み上がっているだけでした。
rm -rfや、強制的な上書き（git push --force）、後戻りできない巻き戻し（git reset --hard）のような、汎用的に危険な操作を止める設定は、どこにも存在していませんでした。
機密情報は守れていたのに、ファイルそのものを消してしまう操作には、まったくの無防備だったのです。

「絶対に安全」だと思った瞬間に、穴が見つかった

危険な操作をブロックするルールを追加して、これでようやく安心、と思ったところで、念のため確認しておきたいことがありました。
この拒否ルールは、確認を全部飛ばす「デンジャラス・スキップ」を使っている状態でも、本当に効き続けるのだろうか。

答えは、ノーでした。
スキップモードを使うと、明示的な例外（ルート・ホームディレクトリを狙った削除など、ごく一部）を除いて、拒否ルールごと素通りされてしまうことが分かりました。
つまり、追加した拒否ルールは、普段の確認ありモードでは効くけれど、スキップモードを使った瞬間に、丸ごと無力化されてしまう。
「対策したつもりが、実は一番危ないところに穴が空いていた」というオチです。

最後にかけた、もう一つの鍵

最終的にかけた鍵は、拒否ルールを増やすことではありませんでした。
スキップモードそのものを、そのプロジェクトでは使えなくしてしまうことでした。

公式のドキュメントにも、このスキップモードは、コンテナや仮想環境のような、AIが暴走しても実害が出ない隔離環境でだけ使うように、とはっきり書かれています。
実際の仕事のデータが入っている自分のパソコンで使うようなものではない、ということです。
だから、設定に「スキップモード自体を無効化する」という一行を追加しました。
本当に全自動でAIを走らせたい場面が来たら、そのときは別途、隔離された環境を用意すればいい。

---

あなたも確認してみよう（チェックリスト）

この話は、私だけの特殊な事例ではありません。
同じ手順で、あなた自身の設定も確認できます。

#	確認すること
1	ローカルのAIに「今の許可・拒否設定を見せて」と聞いてみる（設定は自分の記憶より正確）
2	rm -rf・git push --force・git reset --hardのような、取り返しのつかない操作を止めるルールがあるか確認する
3	危険な操作をブロックするルールを、自分専用の設定ではなく、共有の設定（プロジェクト全体）に置く
4	「デンジャラス・スキップ」のような確認省略モードを使っている場合、追加したルールがそのモードでも本当に効くか確認する
5	確認省略モードは、隔離された環境（コンテナ等）以外では使わない、と決めてしまう

「設定したから終わり」ではありません。
設定した対策が、実際にどんな状況でも効くのかを、自分の目で確認し続けること自体が、人間の仕事です。

---

まとめ

大事なのは、AIを怖がって使わないことではなく、「AIに何を任せて、何は自分が握るか」を先に決めておくことです。
これは、AI活用スタートコース第1回の「AIに任せること VS 自分が手放さないこと」と、まったく同じ考え方です。

「クロードは頭がいいから、任せておけば大丈夫」 そう思ってしまう気持ちはよく分かります。
私自身、CLAUDE.mdに書いておけば安心だと、少し前まで本気で思っていました。
けれど、本当に安心できる状態は、AIの賢さを信じることではなく、AIに渡す権限を、自分の手で一つずつ確かめておくことから生まれます。

面倒な作業そのものはAIに丸ごと任せていい。
けれど、どこまでの権限を渡すか、その設定が本当に機能しているかどうかの検証だけは、最後まで人の仕事として残しておいてください。