Claude Code に制限モードが入った。自作スキル47本が0本になった

Claude Code 2.1.248で--restrictedというフラグが追加された。公式説明は「共有マシンでの自動実行時に、コマンド実行とWebFetchを制限し、ファイル操作を作業ディレクトリに限定する」というものだ。CI環境やサンドボックスでAIを走らせるときのセキュリティモードである。

実測結果は想像以上に厳しい。使えるツールが42から23に減る（45%の削減）。Bash、PowerShell、WebFetchが消えるのは予想通りだが、公式説明にない制限も多い。Workflow、Monitor、LSPといったツール、そしてMCPサーバー8個も消える。ただし読み取り専用になるわけではない。Read、Edit、Write、Agent、WebSearchは残る。つまり目的は「外部コマンドを実行させない」ことであって、ファイル操作能力そのものの制限ではない。

最も影響を受けるのは、スキルやサブエージェントを多く積んでいるユーザーだ。ユーザー設定を読まない仕様のため、~/.claude/配下に置かれたすべてのカスタム資産が参照されなくなる。計測環境では自作スキル47本がゼロになった。Skillツール自体は残っているが、呼び出す先がない状態である。この仕様は正しく、CI環境では必要な制約だ。

ただし「安全になる」という説明より「手元の資産がすべて消える」と理解しておくほうが実用的だ。中小企業の観点では、自動実行環境では確かに必須だが、通常開発には不向き。未信頼のコード分析、検証環境での固定挙動確認といった限定的な用途に限定し、日常的な開発では使わない。