2026年、Claude Codeにデータへのアクセスを許可しても安全でしょうか？

2026年6月末、ある見出しがインターネットを駆け巡りました。「Claude Code内で、ユーザーをスパイする隠しコードが見つかった」。2日間で、著者の研修プログラムに参加していた約10人が、著者にこう連絡してきました。「もう無理、やめたほうがいい？私のプロジェクトを読み取っているの？」

短く答えると、いいえ、やめる必要はありませんし、プロジェクトを読み取ってもいません。詳しい答えが、この分析全体です。一次情報をもとに、事実と見出しを切り分け、事業主にとって本当に重要な点、つまりClaude Codeがあなたについて何を送信するのか、本当の脆弱性はどこにあるのか、安心して眠れるようにアクセスをどう設定するかをまとめます。

詳しい手順はAilootのドキュメントをご覧ください。

Claude Codeで見つかった隠しコードとは何で、何をしたのか？#

大げさに騒がず、順を追って見ていきましょう。プログラムが確認していたのは、リクエストの送信先だけです。通常どおりAnthropicに直接接続してClaude Codeを使っていれば、このコードは一度も動きませんでした。サーバーアドレスを外部プロキシに向けるよう変更した場合に限り（変数ANTHROPIC_BASE_URL）、動作を開始しました。

次に、コードはタイムゾーンとプロキシのアドレスを確認し、コードに埋め込まれたリストと照合して、その結果をサービス文字列Today's date is...の中に隠しました。巧妙な方法で、日付の区切り文字を変え、アポストロフィを別の文字体系にある見た目が同じ文字に置き換えました。通常のコード検索で見つからないよう、リストは意図的に暗号化されていました。仕組みを解明した研究者は、このようなデータの隠し方はマルウェアでよく見られるもので、開発ツールとして奇妙な選択だと指摘しました。

このリストが対象にしていたのは何でしょうか？対象は中国のインフラだけで、ドメイン約100件と中国のAI研究所の名前が十数件（deepseek、moonshot、zhipuなど）でした。当時、Anthropicはモデルのコピーをめぐって中国企業と対立しており、このタグはその争いの一環でした。

7月1日にリリースされたバージョン2.1.197で削除されました。ただし、不愉快な点が一つあります。公式の変更履歴には削除についてまったく記載されていません。信頼を求めるツールに、隠しコードが3か月間含まれ、その後ひっそりと削除されました。これを発見した研究者は、的確にこう述べています。これはマルウェアではありませんが、プロジェクトを預けるツールとしては奇妙な選択です。

Claude Codeはファイルを読んだり、データを盗んだりしたのか？#

ここが重要なポイントで、この節を読む価値がある理由です。複数のメディアが「Claudeがユーザーデータに秘密裏にアクセス」などの刺激的な見出しを掲げ、Alibabaの社内メモまでこれを「バックドア」と呼びました。しかし、研究者が仕組みを一行ずつ調べると、実際の姿はもっと控えめでした。実際に何が起きたのか、そして見出しが何を想像したのかを見てみましょう。

コードを最初に分析した人物は、次の一文に要約しました。

Anthropicの公式アクセスを使っていたなら、このコードは一度も動いていません。サーバーアドレスが変更されていなければ物理的に実行できず、タグも付きません。つまり「Claudeが私のプロジェクトを読んだ」は誤解です。実際にデータが漏れるリスクは別のところにあります。それについては後ほど説明します。

Claude Codeは実際に何を送信するのか？#

ここからは実際の仕組みです。一度理解しておくと役立ちます。以下の内容はすべて、うわさではなくClaude Codeの公式ドキュメントに基づいています。

デフォルトでは、エージェントの権限は厳格な「読み取り専用」です。ファイルの編集、テストの実行、コマンドの実行が必要になるたびに、許可を求めます。

書き込み先は、Claude Codeを起動したフォルダとそのサブフォルダに限られます。別途許可を得ない限り、親フォルダには書き込めません。実際に外部へ出る情報と、手元に残る情報は次のとおりです。

「自分のコードでモデルをトレーニングされるのでは」という別の懸念もあります。ビジネス向けプラン（Team、Enterprise、APIキーによるアクセス）では、そのようなことはありません。

個人向けプラン（Free、Pro、Max）では、あなたが許可を選んだ場合に限り、データがモデルのトレーニングに使われます。設定には専用の切り替え項目があり、デフォルトではオフです。Claude Codeはキーとトークンをシステムの安全なストレージ（MacBookではKeychain）に保存し、プロジェクトの隣にあるテキストファイルには保存しません。

権限は最初の防御層にすぎません。エージェントを完全に管理下に置くシステムを作りたいですか？安全なデータアクセスはコンテキストエンジニアリングの一部です。エージェントに何を見せ、何を見せないかは、あなたが決めます。

データ漏えいにつながる、実際の3つの脆弱性#

こうしたリスクは春に公開されたセキュリティ資料ですでに取り上げられており、それ以降も変化はありません。データ漏えいは派手なスキャンダルからではなく、日常的な見落としによって起きます。危険度の高い順に、主な脆弱性を3つ紹介します。

1. Gitにコミットされたキー。 エージェントが便利だからとキーをコードに直接書き込み、あなたが気づかないままプロジェクトをGitHubにプッシュしてしまったら、それで終わりです。現在、ボットが公開リポジトリをスキャンし、Anthropic、OpenAIなどのサービスキーを探しています。実際のお金が関わっているからです。公開リポジトリに置かれたキーは、数分以内に漏えいするおそれがあります。

2. 他者のコンテンツに隠された悪意ある指示。 これは間接プロンプトインジェクションと呼ばれ、2026年のAIエージェントにとって最大のリスクです。エージェントは、あなたの指示と、読み込んだテキストに隠された指示を常に見分けられるとは限りません。ウェブサイト、ライブラリの説明、サードパーティ製ツールなどに潜んでいる可能性があります。公式ドキュメントも次のように認めています。

3. 審査されていないサードパーティサーバー（MCP）。 エージェントにできることを増やすため、インターネット上の既製ツールを接続します。問題は、こうしたサーバーを誰も審査しないことです。

こうしたサーバーの一つに「読み取ったファイルの内容をすべての応答に追加する」といった隠し指示が入っているかもしれません。エージェントが気づかないうちに、プロジェクトの内容を外部アドレスに漏らす可能性があります。別のガイド「Claude Code用MCPサーバー」で、こうしたサーバーの選び方と接続方法を詳しく説明しています。接続ごとに、何を見て変更できるのかも別途確認するとよいでしょう。

データ漏えいを防ぐClaude Codeの設定：チェックリスト#

難しいことはありません。必要なのは基本的なセキュリティ習慣だけです。上から順にチェックすれば、前の節で述べたリスクの大半をなくせます。原則はシンプルです。権限は最小限に、期間はできるだけ短く、確認済みの情報源だけを使います。

1. 「読み取り専用」の権限をデフォルトのままにする。 エージェントに一度に何でもできる許可を与えないでください。「はい」をクリックする前に、操作とコマンドを一つずつ確認してください。最初の数日は面倒ですが、その後は習慣になります。
2. 「ドライブ全体」ではなく、特定のプロジェクトフォルダで作業する。 すべてのファイルがあるルートフォルダではなく、プロジェクト内でエージェントを起動してください。書き込みできるのはその場所だけになります。
3. Gitへの流出とエージェントからのアクセスを、それぞれ防ぐ。 .envを.gitignoreに追加して、誤って追跡対象にするのを防ぎます。ただし、これはファイルの読み取りを禁止せず、追跡済みファイルはそのまま追跡されます。本番の秘密情報は、プロジェクトだけをマウントしたVMやコンテナの外など、エージェントがアクセスできない環境に保管してください。読み取り権限とコマンドの権限も確認します。本物のキーではなく無害なダミーを使い、Gitからの除外とアクセスの隔離を別々にテストしてください。
4. 支出上限付きの別キーを作成する。 何にでも使えるマスターキーをエージェントに渡さないでください。支出上限付きの別キーは保険になります。漏えいしたりエージェントがループにはまったりしても、損失はその額に限定されます。
5. サンドボックス（/sandbox）を有効にする。 自律的に作業している間、ファイルとネットワークを隔離できます。機密性の高いプロジェクトでは、仮想マシンも追加してください。
6. 外部のコンテンツをそのままエージェントに渡さない。 見慣れないウェブページやツールは、信用できない入力として扱ってください。公式ドキュメントも、審査されていないコンテンツをClaudeに直接渡さないよう明示的に勧めています。
7. サードパーティサーバー（MCP）は、業務委託先と同じように審査する。 自分で作成したもの、または信頼できるプロバイダーが提供するものを選んでください。評価が数個しかない無名のツールには、データを漏らす隠しコードがあるかもしれません。
8. プロジェクトをバックアップする。 メインの保存場所とは別に保管してください。数週間ごとに、使わずに置いてあるだけでなく、実際に復元できるコピーか確認してください。

毎回手作業で確認するのを避けるために、すぐ使えるプロンプトを用意しました。プロジェクトと一緒にClaude Codeに貼り付けると、セキュリティ設定を確認できます。

プロジェクトにデータ漏えいやアクセス上の弱点がないか確認してください。項目を一つずつ確認し、それぞれについて「問題なし／リスクあり／早急に修正」のいずれかで判定してください。

コードやGitの履歴に、外部に露出したキー、トークン、パスワードはありますか？ある場合、どのファイルにあり、どう対処すべきか教えてください。

.envはGitから除外されていますか？過去に追跡されたことはありますか？これとは別に、エージェントや許可済みコマンドは秘密情報のファイルを読み取れますか？本物のキーを開かず、無害なダミーファイルでアクセスをテストしてください。Gitへの流出とエージェントからのアクセスに、それぞれ対策を提案してください。

エージェントに自動で許可したコマンドや権限は何ですか？危険なものはありますか？

サードパーティのMCPサーバーに接続していますか？それらはどの程度入念に審査されていますか？

バックアップはありますか？メインの保存場所とは別に設定されていますか？

リスクごとに、平易な言葉で簡潔に説明し、具体的な対処手順を示してください。私の確認なしにファイルを変更しないでください。

プロジェクトを壊すリスクを避けながら自律的な作業について詳しく知りたい場合は、「Claude Codeが一晩でプロジェクトを壊さないように設定する方法」の分析や、すぐ使える保護スキルのライブラリを紹介する「754のセキュリティスキルのガイド」もご覧ください。

それでも不安なら：オープンモデル#

この節で伝えたいのは「選択肢がある」ということで、すべての利用をやめようという呼びかけではありません。ほとんどのタスクでは、公式のClaude Codeが今も最適なツールです。ただし、機密データを扱い、完全な管理を望む場合には、次のような代替手段があります。

中国のZ.aiが提供するGLM-5.2は、2026年6月にMITライセンスのオープンウェイトモデルとして公開され、自分で実行できます。Claude Codeへの接続は簡単です。サーバーアドレス（変数ANTHROPIC_BASE_URL）をZ.aiのアドレスに変更し、トークンを入力するだけで、再トレーニングは必要ありません。プランは月額18ドルからです。

このモデルを別環境で使う無料アプリ、ZCodeもあります（アプリ自体はオープンではなく、モデルだけがオープンです）。もう一つの選択肢はMoonshotのKimi K2.7で、7月1日にGitHub Copilotへ直接組み込まれました。

考え方はシンプルです。オープンモデルを動かすと、Anthropicを経由しなくなります。ただし、この規模のモデルを自分のサーバーで動かすには高性能なハードウェアが必要なので、実際にはプロバイダーの公式アクセスを使うほうが簡単です。詳しく比較するには、「GLM-5.2とClaude Codeの比較」と「コーディング用の無料モデル」の分析をご覧ください。

Claude Codeを使い続けるべきですか？#

ここまでの内容をまとめましょう。隠しコードの騒動は、Anthropicと中国企業の企業間の争いに関するもので、あなたの事業への脅威ではありません。公式アクセスを使っていればコードは一度も動かず、ファイルを読むこともなく、すでに削除されています。正当に批判できるのは、ツールに隠しコードが3か月間含まれ、ひっそりと削除された点だけです。これは信頼に関わることで、心に留めておく価値はありますが、プロジェクトのデータが危険にさらされたわけではありません。

本当に注意を向けるべきなのは、自分の設定です。Gitにプッシュしたキー、審査していないサードパーティサーバー、ドライブ全体にアクセスできるエージェント。これらがデータ漏えいの原因になります。幸い、上のチェックリストを使えば、これらすべてに一晩で対処できます。一度設定を済ませたら、見出しを心配せずにツールを使いましょう。

安全なアクセスは、この方法の柱の一つです。

準備ができたら、Ailootをご覧ください。