Ing. Calogero Bono
Anthropicは、ターミナル、VS Code、Claude Desktopからコードを扱うツールであるClaude Codeのバージョン2.1.314を、GitHubで公開しました。最も具体的な変更点は、Claudeが作業フォルダ外のファイルに書き込めないようにする新しい権限設定です。それ以外は、ゲートウェイ、クラウドプロバイダー、集中管理ルールを使って企業内で利用する人向けの修正が長く並んでいます。こうしたセキュリティと管理の細部こそが、ツールをチームに導入するかどうかを左右します。
本題に入る前に用語を確認します。ゲートウェイは、開発者とモデルの間に置かれる中継サーバーで、企業が誰がどのモデルを使うかを管理できるようにします。IdP（identity provider）は、ID とユーザーグループを管理するシステムです。Bedrock、Vertex、Foundryは、Amazon、Google、Microsoftが提供するクラウドサービスで、そこからモデルを利用できます。コンパクションは、長い会話を要約してモデルのメモリを圧迫しないようにする処理です。フックは、たとえばコマンドの実行前など、特定のタイミングで起動するスクリプトです。
フォルダ外への書き込みブロックは何をするのですか？
Claude Codeの公式リポジトリのリリースノートによると、新しい設定の名前はpermissions.blockWritesOutsideWorkingDirectoriesです。有効にすると、Write、Edit、NotebookEditの各ツールは、どの権限モードであっても作業フォルダ外のパスを拒否します。
重要なのは最後の点です。これまでは厳しいルールを設定していても、動作は選択したモードによって変わりました。今回のノートによれば、この拒否はすべてのモードで有効になります。エージェントに多くの自由を与えるモードを選んでいても例外ではありません。オプション名から分かるとおり、この機能は任意の設定で、有効にする必要があります。
サンドボックスに関する修正も同じ流れにあります。sandbox.excludedCommandsの説明では、リストにあるコマンドは常にサンドボックスの外で動くとされていましたが、今回の修正により、1回の呼び出しに含まれる各コマンドがいずれかの項目に一致しなければならないと明記されました。また、claude -p --resumeや--continueで開いたworktreeにはサンドボックスの保護が適用されていませんでしたが、今後は適用されます。さらに、--setting-sourcesで除外した設定ファイルが、自動モードのルールや保存済みの同意など一部の設定を提供し続けていた問題も修正されました。
ゲートウェイと管理者にとって何が変わりますか？
Claudeアプリのゲートウェイには、組織向けの新機能が加わりました。アップストリーム、つまりゲートウェイがリクエストを振り分ける先のそれぞれに、任意のグループリストを設定できるようになりました。リストに指定されたIdPグループの開発者だけが、そのアップストリームに送られます。フェイルオーバー時も同じです。フェイルオーバーとは、障害が起きた際にゲートウェイが代替先へ切り替える仕組みのことです。
Bedrockのアップストリームには、guardrail_traceが追加されました。これは、Amazon Bedrockのガードレールのどのフィルターがリクエストで作動したかを記録する機能です。フィルターを作動させたテキスト自体は保存しません。機密データをログに残さずに、リクエストがなぜブロックされたのかを把握したい場合に役立つ妥協案です。
管理者が設定するオプションに関する修正も複数あります。
- 管理者が定義したTLS設定が、Claude Desktopのセッションに適用されていませんでした。今後は適用されます。
- forceRemoteSettingsRefreshがリモート設定だけに設定されていた場合、期限切れの保存済みコピーが適用されなくなっていました。サーバーに接続できないと、ポリシーなしでセッションが始まることがありました。
- 管理対象プラグインのあるマシンでは、個人のプラグインのマニフェストが壊れていたりダウンロードに失敗したりすると、モデルの切り替えが拒否されていました。
- 管理者がモデルのeffortレベルを制限している場合、Claude Codeはeffortを下げて再試行し、使用しているレベルを表示するようになりました。以前は、すべてのターンでセッションが失敗していました。
また、Vertexのアップストリームでは、Googleのトークンエンドポイントが応答せずに接続を受け付けると、数分間ハングすることがありました。これも修正されています。
Bedrock、Foundry、Vertexに関する修正はどれですか？
このリリースには、Anthropicの API を直接使わない人向けの修正が多く含まれています。
Bedrock
画像を大量に含むBedrockのセッションでは、毎ターン失敗していました。/compactも入力が長すぎるというエラーで失敗していました。今後、Claude Codeは古い画像を削除してからコンパクションを行います。また、BedrockとVertexでモデル更新の案内が、管理設定でモデルがロックされていても起動のたびに表示される問題も修正されました。
Microsoft Foundry
リソースに既定のSonnet、Opus、Haikuモデルのデプロイがないと、セッションが失敗していました。今後、Claude Codeは同じファミリーの古いモデルにフォールバックします。
サードパーティのゲートウェイ
ゲートウェイがツール検索のtool_referenceブロックを受け付けない場合、リクエストは一度だけその機能を外して再送されます。セッションはその結果を記憶します。ゲートウェイやプロバイダーがClaude Codeのベータヘッダーの一つを名指しで拒否した場合も同様に、そのヘッダーを外して再送します。claude-opus-4.8のように、ドットを含むモデルIDは古いモデルとして扱われ、コンテキストウィンドウ、出力上限、effort、推論モード、料金が誤って適用されていました。今後はこの問題は起きません。
証明書に関しては、システムのストアに古い証明書と相互署名された更新版のルート証明書が入っていると、TLS接続がUNABLE_TO_GET_ISSUER_CERTで失敗していました。これも修正されています。
日々の利用では何が変わりますか？
コードを書く人にとって目に見える変化は、VS CodeとClaude Desktopのコードタブでのアイドル時コンパクションです。200Kトークンを超える会話を放置すると要約されます。プロンプトキャッシュの期限が切れていれば、次のメッセージでその要約が使われます。
ターミナルとCIに関する修正も続きます。
- claude -pは、起動に失敗しても終了コード0で出力なしに終了していました。今後はエラーを表示して終了コード1で終わります。スクリプトにとっては重要な変更です。
- CIでターミナルを使うジョブでは、claude ultrareviewとclaude remote-controlがフォルダの信頼確認を求めていました。今後、CI設定があれば、信頼されていないフォルダは直ちに拒否されます。
- PreCompactフックの出力が非常に大きいと、コンパクションが失敗または再試行されていました。今後、各フックの出力は10,000文字に切り詰められます。
- バックグラウンドのdiff更新が、リポジトリのインデックスロックを一時的に取得していました。そのため、同じタイミングで実行されたgitコマンドが失敗することがありました。
- Bashをインターセプトするフックが、Monitorツールから起動されたコマンドで作動していませんでした。今後は作動しますが、それらのコマンドを承認したり書き換えたりはできず、ブロックまたは確認を求めることだけができます。
残りはインターフェースの細かな改善です。markdownの表、vimモード、エージェントの選択、テキストや画像の貼り付け、セッションのタイトル、権限ダイアログなどが対象です。
把握しておくべき限界
手元にあるリリースノートは末尾が切れているため、ほかの項目がある可能性は否定できません。公開日もわからず、書き込み設定についての詳細なドキュメントもありません。この設定が既定で有効かどうかは不明ですが、文面からは無効のようです。作業フォルダの範囲が詳細にどう定義されるのか、たとえばシンボリックリンクやリンクされたリポジトリをどう扱うのかも分かりません。
これらは提供元の説明であり、独立したテストではありません。書き込みツールのブロックは、シェルコマンドができることについては何も保証しません。シェルコマンドはサンドボックスのルールに従います。Monitorでのフックに関する一文も、フックが何を保証できるかを変えるため、慎重に読む必要があります。
デジタル業務に携わる人にとっての変化
チームを管理しているなら、まず一覧を読んで、どの修正があなたのケースに関係するかを確認しましょう。画像を多用するBedrock、一部のデプロイしかないFoundry、企業向けゲートウェイを使っている人には、直接役立つ修正があります。一方、一人で作業していて基本プランを使っている人にとっては、主にアイドル時コンパクションと細かな改善が目に入るでしょう。
制作会社やソフトウェアハウスにとって、書き込みルールはクライアントに説明すべき話題です。エージェントをプロジェクトの中に閉じ込められることを示せるからです。同じコンピューターに複数のリポジトリや設定ファイルがある場合に特に役立ちます。根本的な原則も変わりません。エージェントは、最小限のアクセス権を持つ協力者として扱うべきです。その点は、Cursor上のClaude Codeのトロイの木馬化された拡張機能とSSHバックドアの事例でも確認されています。このケースでは、リスクはツールの周辺から生じていました。
claude -pをCIのスクリプトで使っている場合は、終了コードを再確認してください。以前は成功として通っていたエラーが、今後はパイプラインを止めます。それは正しい動作ですが、驚くかもしれません。自社サーバー上で開発環境を動かしている場合も、マシン自体が重要です。そのため、セキュリティアップデートが適用されるマネージドサーバーが必要になります。
私たちの見解
このリリースは、今のコーディングエージェントがどの段階にあるかを多くを物語っています。新機能は少なく、大部分はエッジケース、プロキシ、証明書、ポリシー、フォールバックに関する修正です。これは、ツールが個々の開発者のノートパソコンを出て、曖昧さが許されない環境に入りつつあることの表れです。
フォルダ外への書き込みブロックは正しい選択ですが、二つの疑問が残ります。一つ目は、任意であることです。有効にするためにその存在を知っていなければならない保護は、主に注意深い人だけを守ることになります。二つ目は、権限の分野でこれほど多くの修正が必要だったことです。有効なままだった除外設定や、作動しなかったフックなどがありました。責められることではありませんが、制御は当然のものとして信じるのではなく、検証すべきだと教えてくれます。
生成されたコードを誰がチェックするのかという問題も残ります。エージェントの制限が強くなっても、人間によるレビューの代わりにはなりません。そのため、GitHubのpull requestとcode reviewの実践や、コードレビュー向けのAIツールは引き続き役立ちます。
よくある質問
permissions.blockWritesOutsideWorkingDirectoriesは何をしますか？
Write、Edit、NotebookEditが作業フォルダ外のパスを拒否するようにします。リリースノートによると、どの権限モードでも有効です。シンボリックリンクのような特殊なケースの扱いについての詳細はわかっていません。
このブロックは既定で有効ですか？
ノートには明記されていません。新しく追加された設定だと説明されているので、ご自身の構成で確認するのが安全です。保護が有効だと思い込む前に、公式ドキュメントを確認してください。
BedrockやFoundryを使っている人はアップデートすべきですか？
説明されている問題に遭遇したことがあるなら、はい。このリリースでは、画像を多用するBedrockのセッションと、既定モデルのデプロイがないFoundryのケースが修正されています。チーム全体のコンピューターを更新する前に、まず一台で試してください。
ゲートウェイのアップストリームにあるグループとは何ですか？
各アップストリームに紐づく、任意のIdPグループのリストです。そのグループの開発者だけがそこに振り分けられ、フェイルオーバー時も同様です。どの利用者がどの送信先を使えるかを分けるための機能です。
アイドル時コンパクションはどこでも使えますか？
いいえ。ノートによると、VS Codeと Claude Desktopのコードタブに追加されました。200Kトークンを超えてアイドル状態になった会話が対象です。要約は、プロンプトキャッシュの期限が切れた場合にのみ使われます。
今後数か月で注目すべき点、権限と企業でのエージェント活用
重要なのは、このリリースそのものではなく、その方向性です。エージェントは今後ますます集中管理された制御を受けることになるため、今から準備しておくとよいでしょう。
- 権限設定を確認し、フォルダ外への書き込みブロックを有効にするかどうかを決めましょう。まずはテスト用のプロジェクトで試すのがおすすめです。
- claude -pを使うCIスクリプトを確認しましょう。起動エラーは終了コード1で終わるようになり、パイプラインを止める可能性があります。
- ゲートウェイやクラウドプロバイダーを使っている場合は、修正の全リストを読み直し、該当するケースがログと一致するかを確認してください。各プロバイダーの料金を理解するには、ClaudeとOpenAIの比較記事も参考になります。また、複数のモデルで発生しているエラーがあなたの環境でも起こりうることを念頭に置いてください。
