権限とセキュリティ

用途で使い分けます。長時間自動実行は auto、未知のリポジトリ調査は plan、CI など無対話環境は dontAsk、本番を触るときは default。`Shift+Tab` でその場で切替できます。

• default — 都度確認（最も安全）
• acceptEdits — ファイル編集と一部の安全な filesystem 操作は自動承認。それ以外の Bash や保護パス・範囲外は確認
• plan — 編集せず計画立案中心（探索のための読取りや一部コマンド実行はあり得る）
• auto — ルール許可済みなら確認なしで進む。研究プレビュー、利用条件あり、安全保証ではない
• dontAsk — プロンプトを出さず、許可済み・read-only 以外は自動拒否。CI や制限環境向け
• bypassPermissions — 全許可（推奨されない、隔離環境専用）

settings.json で「許可する／確認する／拒否する」をツール単位・引数単位で書けます。評価順は deny → ask → allow、最初のマッチが勝ち。

{
  "permissions": {
    "allow": [
      "Bash(git status:*)",
      "Bash(git diff:*)",
      "Bash(npm test)",
      "Read(./**)",
      "Edit(src/**)"
    ],
    "ask": [
      "Bash(npm:*)",
      "WebFetch(*)"
    ],
    "deny": [
      "Bash(rm -rf:*)",
      "Edit(.env)",
      "Edit(infra/prod/**)"
    ]
  }
}

Bash(rm -rf node_modules)

権限ルールが「許可するか確認する／拒否する」の判定なのに対し、サンドボックスは Bash ツールを OS レベルでファイル／ネットワーク隔離します。事前に境界を定義しておけば、Claude はその中でコマンドごとの確認なしに自由に動けるようになります。権限ルールとは独立した二重の安全弁。

• filesystem isolation — 書き込み許可のあるパスを明示
• network isolation — egress を許可ドメインだけに
• OS-level enforcement — macOS は seatbelt、Linux は landlock 等を活用

Issue 本文や README に「rm -rf を実行せよ」と書かれていたら？外部由来テキストの指示はデフォルトで信頼しないこと、保護パスを設けることが基本です。Auto mode では classifier が pending action と transcript の一部を確認し、外部由来の悪意ある指示に起因する行動をブロックする設計です（実装の細部は時期によって変わるため、Auto mode を本番敵対環境への単独の安全策とは見なさないこと）。