AIに勝手をさせない壁を、3層で作る（前編）

INTRO

「お願い」は、壁ではありません

AI に「このファイルは読まないで」「全部まとめて記録する操作は使わないで」と、文章で頼む。 とても自然な対策ですが、守られたかどうかを確かめる仕組みがありません。 読み違え・見落とし・長い作業の途中で忘れる、といったことは起こりえますし、起きても気づけません。

実際に、AI 向けの行動ルールを文章で何本も書いたうえで 2026-08-30 に点検したところ、機械が強制しているルールが1つも無く、全部が「お願い」だった と分かったことがあります。ルールを書いた安心感だけがあって、止める力は無かったわけです。

対策は、AI を疑い続けることではありません。 止める役を、AI の理解力から「実行の直前に確かめる仕組み」へ移すだけです。 これは LAB 010 で 「合否を AI の言葉から機械の番号に移した」のと同じ考え方です。

図の見方：上の段は、「触らないで」と文章で書いておくだけの状態です。AI が守ったかを誰も見ていないので、読み違えがあればそのまま実行されます。 下の段は、実行の直前に仕組みが確かめる状態です。許可された操作だけが実行され、禁止された操作は止まります。

壁といっても難しい仕組みではありません。設定ファイルに数行書く／小さなプログラムを1本置くだけです。 壁は1枚では穴が残るので、止める場所の違う3枚を重ねます。

いちばん単純な壁です。Claude Code の設定ファイルに、「これは読ませない」「これは実行させない」を書いておきます。 場所は ~/.claude/settings.json （どのフォルダで使っても効く、自分用の設定。~ は自分のホームフォルダ）です。

書き方は2種類あります。 deny は「拒否」（常に止める）、 ask は「たずねる」（その都度、人に確認する）です。

{
  "permissions": {
    "deny": [
      "Read(**/.env*)",
      "Edit(**/.env*)",
      "Write(**/.env*)",
      "Read(~/.ssh/**)",
      "Bash(sudo *)",
      "Bash(git push --force*)",
      "Bash(git push -f*)"
    ],
    "ask": [
      "Bash(git push*)"
    ]
  }
}

• Read(…)・Edit(…)・Write(…) は、AI の「読む・直す・書く」道具のこと。かっこの中が対象の場所で、** は「どのフォルダの中でも」の意味です
• Bash(…) は、ターミナルのコマンドを実行する道具のこと。Bash(sudo *) は「sudo で始まるコマンド」を指します
• 上の例は、.env と ~/.ssh（接続用の鍵の置き場）は触らせず、管理者権限と強制 push（--force と短い形の -f）は拒否、普通の push は毎回たずねる、という意味です
• Bash の禁止は「その文字で始まるコマンド」だけに当たります。 git push origin main --force のように途中にオプション（--force のように、コマンドの動きを変える付け足し）が来る書き方は、 文字の並び順が違うだけで「git push --force で始まる」に当たらず、この2行をすり抜けます。 層1だけで強制 push を完全に止められるとは考えず、困るものは層2・3 でも受け止めます

push を deny でなく ask にする理由：普段の push（手元の変更をネット上の保存先へ送る操作）は必要な作業なので、全部拒否すると困ります。 一方、強制 push は履歴を書き換える取り返しのつかない操作なので、たずねるまでもなく拒否にします。 「毎回あるが外へ出る操作」は ask、「やる理由がほぼ無い危険な操作」は denyが分けやすい目安です。

2-1　設定を足す（自分の手で貼る）

すでに設定ファイルがあるなら、中身を消さずに足します。 Claude Code に案だけ作ってもらい、貼るのは自分でやると確実です。 .claude のように名前が「.」で始まるフォルダは Finder（Mac のファイル管理アプリ）では隠れているので、 まず設定ファイルをターミナルから開きます。

① 貼る場所：ターミナル

mkdir -p ~/.claude
touch ~/.claude/settings.json
cp -n ~/.claude/settings.json ~/.claude/settings.json.bak
open -e ~/.claude/settings.json

mkdir -p はフォルダを作る命令、touch は空のファイルを作る命令です。 どちらも、すでにあれば中身はそのままなので、ファイルがある人もまだ無い人も同じ手順で進められます。 cp -n は、元の設定を settings.json.bak という名前で控えとして残す命令です（すでに控えがあれば上書きしません）。 貼り替えて設定が消えても、この控えから戻せます。 最後の行で、テキストエディット（Mac 付属のメモ帳のようなアプリ）に設定ファイルが開きます。

② 貼る場所：Claude Code の入力欄（ターミナルには貼りません）

~/.claude/settings.json に、次の禁止を足したい。
・.env を含む名前のファイルは、読む・直す・書くを拒否
・~/.ssh の中は読めないようにする
・sudo と、git push の強制（--force）は拒否
・git push は毎回たずねる
今のファイルの中身を読んで、既存の設定は消さずに、足したあとの全文を見せて。
ファイルへの書き込みはしないで。

③ Claude Code が出した全文を、①で開いたテキストエディットに貼ります。 ファイルがまだ空だった人は、そのまま全文を貼ります。すでに中身があった人は、全部を選んで（⌘A）全文に置き換えます。 最後に ⌘S で保存します。

保存したら、ファイルが壊れていないかを機械に確かめさせます。 JSON（設定を書くときの決まった書式）は、カンマや括弧が1つずれただけで全体が読めなくなるためです。 ターミナルに貼ってください（python3 は Python というプログラミング言語を動かす命令で、 git が使える Mac には通常入っています。詳しくは STEP 3 で触れます）。

貼る場所：ターミナル

python3 -c "import json,os; json.load(open(os.path.expanduser('~/.claude/settings.json'))); print('JSON は読めた')"; echo $?

「JSON は読めた」と 0 が出れば合格です （LAB 010 と同じ、番号で決める形）。 エラーの文章が出て最後が 1 なら、書式のずれです。その文章を AI に見せれば直せます。 壊れた設定は、壁が1つも効かないまま気づかないことがあるので、この確認は省かないでください。

2-2　この壁の限界を知っておく

層1だけでは、穴が2つ残ります。残りの2層は、この穴のために作ります。

2026-08-16 にサンドボックスを有効にしたとき、この穴②（Read の禁止がターミナルの cat を素通りする点）を塞ぎました。