Claude Codeの権限設定でハマらないために — settings.jsonの適用範囲と、クレデンシャル漏洩をDenyで止める多層防御

Claude Code のようなAIコーディングエージェントを毎日使っていると、権限プロンプト（「このコマンドを実行していいですか？」という確認）に何十回も遭遇します。最初は安心に感じますが、git status を打つたび、npm build を走らせるたびに聞かれると、やがて「自動承認に切り替えてしまいたい」という誘惑に駆られます。しかし、そこが罠です。全部素通しにしたら、今度はクレデンシャル漏洩という恐怖が待っています。エージェントが ~/.aws/credentials を開いてチャットログに流してしまったり、.env ファイルをコミットに混ぜてしまったり。こうした「些細に見える手入れ違え」が、本番環境の秘密鍵を公開してしまう時代です。

AIの鬼の視点として重要なのは、settings.json の設定ファイル仕様が「分からない前提」で実務が成り立っていないことです。記事が指摘する「起動ディレクトリ」の落とし穴はその典型です。複数プロジェクトを並行開発しているなら、起動したディレクトリの .claude/ だけが読まれるのに、実際に作業しているサブディレクトリの settings.json に設定を書き続けても、永遠に反映されません。再起動しても効かない、なぜだろう、というハマり方は、設定ファイルの階層構造を図で見なければ、本当に分かりません。実装の落とし穴とは、しばしば「公式ドキュメントには書いてあるが、実務の流れに沿うと気付かない」という形をしているのです。

中小企業がAIエージェントを導入するとき、「何ができるか」ばかり見がちですが、むしろ「何を守るか」の設定に時間を割くべきです。クレデンシャルの deny リストを先に設計し、その後で allow を足す。この逆転した思考が、AI時代のセキュリティ文化を作ります。