Claude Codeのhook、守ってくれない10のケース——15個を実運用して踏んだ制限集

Claude Code のhook機能は「AIに100%守らせたいルール」を機械的に強制するための仕組みだが、実運用では守ってくれないケースが多い。exit 2 は一部ツールに効きず、Windows では同じコードが Mac では効いても素通りする。PostToolUse の stderr がモデルに届かない環境もあり、「ブロックしたつもりが実行されていた」は確率の問題ではなく構造の問題だ。サブエージェント経由の呼び出しには hook が適用されない前提で、制約は各エージェント側のプロンプトに再宣言する必要がある。テキスト指示だけでは確率的にしか効かないので、機械的強制に頼る側も限界を知らねばならない。 見た目の危険策も無効化されやすい。rm -rf ~ をブロックしても、末尾リダイレクトを足した rm -rf ~ 2>/dev/null は正規表現型フィルタを素通りする。deny-list は「操作意図」で設計し直し、それでも完全には防げない前提を持つべきだ。設定の解釈も思わぬ場所で逆転する。Bash(*) の広い許可があると個別の ask が無視され、defaultMode: acceptEdits はパス別の ask を静かに上書きする。「守っているつもり」の穴は具体的に検出できる。 それでも hook をやめるべきではない。テキスト指示（CLAUDE.md）が確率的にしか効かない中で、機械的強制の hook は依然として最強の防御層である。制限を正確に知った上で使えば、deny ベースの統一＋導入前の破り実測＋最後の砦を git 復元可能性で用意することで、かなりの信頼性が出る。hook と git のコンボは、今日も最強の門番だ。你のチーム環境で hook が無効化されたケースがあれば、それを記録に残す価値がある。