重要なポイント
Claude Codeのフックは、特定のイベント（`PreToolUse`、`UserPromptSubmit`、`Stop`）で実行されるシェルスクリプトです。終了コード2、または`permissionDecision: "deny"`を含むJSONを返すことで、アクションをブロックできます。権限や`CLAUDE.md`とは異なり、フックはミドルウェアとして、モデルを介さず、実行前に呼び出しを遮断します。
これは第二層の保護であり、第一層を補強します。すべてのフックを`.claude/hooks/`に置き、`.claude/settings.json`から登録します。jqのインストールが必要です。
### フック1：.env、.pem、credentials.jsonの読み取りを防ぐ
一部のReadパスと一般的なBashの秘密読み取りを追加検査します。全ツールや全読み取り方法を検知するものではありません。ファイル：`.claude/hooks/block-secret-reads.sh`：
```bash
#!/bin/bash
INPUT=$(cat)
TOOL=$(echo "$INPUT" | jq -r '.tool_name')
ARG=$(echo "$INPUT" | jq -r '.tool_input.file_path // .tool_input.command // ""')
# Read tool with a suspicious path
if [ "$TOOL" = "Read" ] && echo "$ARG" | grep -qE '(\.env|\.pem|\.key|credentials\.json|secrets/|\.ssh/|\.aws/)'; then
jq -n '{
hookSpecificOutput: {
hookEventName: "PreToolUse",
permissionDecision: "deny",
permissionDecisionReason: "Secret file. Use op:// references or env vars."
}
}'
exit 0
fi
# Bash that reads secrets via cat/grep/head
if [ "$TOOL" = "Bash" ] && echo "$ARG" | grep -qE '\b(cat|grep|head|tail|less|more|awk|sed|xxd)\b.*(\.env|\.pem|credentials)'; then
jq -n '{
hookSpecificOutput: {
hookEventName: "PreToolUse",
permissionDecision: "deny",
permissionDecisionReason: "Reading secrets via shell is blocked."
}
}'
exit 0
fi
exit 0
```
`.claude/settings.json`への登録：
```json
{
"hooks": {
"PreToolUse": [
{
"matcher": "Read|Bash",
"hooks": [{
"type": "command",
"command": "${CLAUDE_PROJECT_DIR}/.claude/hooks/block-secret-reads.sh"
}]
}
]
}
}
```
インストール後、`chmod +x .claude/hooks/block-secret-reads.sh`を実行します。テストとしてClaudeに`.env.local`を読むよう依頼すると、ファイル内容ではなく「Secret file. Use op:// references or env vars.」という応答が返ります。
### フック2：夜間セッションで文字どおりのgit pushを拒否する
無人実行では、認識できる`git push`をフィーチャーブランチも含め保守的に拒否します。現在のブランチやforce引数の安全性は推測しません。保存先は`.claude/hooks/block-force-push.sh`です。
```bash
#!/bin/bash
INPUT=$(cat)
CMD=$(echo "$INPUT" | jq -r '.tool_input.command // ""')
if echo "$CMD" | grep -qE '(^|[[:space:];|&()])git[[:space:]]+push([[:space:];|&()]|$)'; then
jq -n '{
hookSpecificOutput: {
hookEventName: "PreToolUse",
permissionDecision: "deny",
permissionDecisionReason: "Push disabled in overnight session. Use supervised review."
}
}'
fi
exit 0
```
`Bash`のmatcherでPreToolUseへ登録します。フラグとブランチを解析せず認識したpush自体を止めるため、`git push --force origin main`、`git push origin main --force`、`git push -f`、`git push origin HEAD:main`、`&&`や`;`内の文字どおりのpushも検出します。これはオフラインの文字列例で、リモートへ実行する指示ではありません。
あくまで文字列の目安です。Git別名、関数、`git -C ... push`、組み立てた名前、スクリプト、別ツールは通り抜けえます。完全なシェル解析ではありません。Gitサーバーで保護ブランチを強制し、回避できる認証を除き、本番書き込み権限なしの隔離環境で動かします。フックの見逃しで本番権限を与えてはいけません。
### フック3：破壊的なSQL操作をブロックする
ファイル：`.claude/hooks/block-destructive-sql.sh`：
```bash
#!/bin/bash
INPUT=$(cat)
CMD=$(echo "$INPUT" | jq -r '.tool_input.command // ""')
# DROP TABLE / DATABASE / SCHEMA, TRUNCATE
if echo "$CMD" | grep -iqE '\b(DROP\s+(TABLE|DATABASE|SCHEMA)|TRUNCATE\s+TABLE)\b'; then
jq -n '{
hookSpecificOutput: {
hookEventName: "PreToolUse",
permissionDecision: "deny",
permissionDecisionReason: "Destructive DDL blocked. Use migrations with explicit human approval."
}
}'
exit 0
fi
# DELETE FROM without WHERE
if echo "$CMD" | grep -iqE '\bDELETE\s+FROM\b' && ! echo "$CMD" | grep -iqE '\bWHERE\b'; then
jq -n '{
hookSpecificOutput: {
hookEventName: "PreToolUse",
permissionDecision: "deny",
permissionDecisionReason: "DELETE without WHERE blocked. Confirm scope explicitly."
}
}'
exit 0
fi
# UPDATE without WHERE
if echo "$CMD" | grep -iqE '\bUPDATE\s+\S+\s+SET\b' && ! echo "$CMD" | grep -iqE '\bWHERE\b'; then
jq -n '{
hookSpecificOutput: {
hookEventName: "PreToolUse",
permissionDecision: "ask",
permissionDecisionReason: "UPDATE without WHERE will affect all rows. Confirm scope."
}
}'
exit 0
fi
exit 0
```
`PreToolUse`の`matcher: "Bash"`を指定して登録します。ここでは違いに注意してください。`DROP`と`WHERE`のない`DELETE`は完全にブロックし、`WHERE`のない`UPDATE`は`ask`になります。移行時に全レコードのフラグを設定するなど、正当なケースもありますが、必ず手動で確認します。
### フック4：rm -rfフィルタ
Anthropicのドキュメントにある基本例を、理由を示してdenyする形に変更しています。
```bash
#!/bin/bash
INPUT=$(cat)
CMD=$(echo "$INPUT" | jq -r '.tool_input.command // ""')
# rm -rf /, ~, $HOME, * without explicit scope
if echo "$CMD" | grep -qE 'rm\s+-rf?\s+(\.|/|~|\$HOME|\*)\s*$' || echo "$CMD" | grep -qE 'rm\s+-rf?\s+(\.|/|~)/'; then
jq -n '{
hookSpecificOutput: {
hookEventName: "PreToolUse",
permissionDecision: "deny",
permissionDecisionReason: "Destructive rm without explicit scope. Specify the directory."
}
}'
fi
exit 0
```
このフックは`rm -rf node_modules`、`rm -rf .next/cache`など、対象を明示した削除を許可します。`rm -rf .`、`rm -rf /`、`rm -rf ~`など、「すべてを消去する」コマンドはブロックします。
### フック5：新しいパッケージのインストールを確認する
このフックはサプライチェーン攻撃に対抗します。Claudeが独自に新しい依存関係を追加しようとすると、ダイアログが表示されます。
```bash
#!/bin/bash
INPUT=$(cat)
CMD=$(echo "$INPUT" | jq -r '.tool_input.command // ""')
# Installing dependencies from a lockfile—allow
if echo "$CMD" | grep -qE '\b(npm install|pnpm install|yarn install|pip install -r)\s*$'; then
exit 0
fi
# Adding new packages
if echo "$CMD" | grep -qE '\b(npm install|pnpm add|yarn add|pip install|uv add)\s+\S'; then
jq -n '{
hookSpecificOutput: {
hookEventName: "PreToolUse",
permissionDecision: "ask",
permissionDecisionReason: "Adding new dependency. Confirm package name and version."
}
}'
fi
exit 0
```
このフックは、ロックファイルからのインストールを許可し、新しい依存関係の追加には確認を求めます。
### フック6：package.jsonとロックファイルを保護する
依存関係マニフェストに変更があれば、誰かが確認すべきです。特に夜間はそうです。
```bash
#!/bin/bash
INPUT=$(cat)
PATH_ARG=$(echo "$INPUT" | jq -r '.tool_input.file_path // ""')
if echo "$PATH_ARG" | grep -qE '(package\.json|pnpm-lock\.yaml|package-lock\.json|yarn\.lock|requirements\.txt|pyproject\.toml|Cargo\.toml|go\.mod)$'; then
jq -n '{
hookSpecificOutput: {
hookEventName: "PreToolUse",
permissionDecision: "ask",
permissionDecisionReason: "Dependency manifest change. Confirm scope before write."
}
}'
fi
exit 0
```
`PreToolUse`の`Write|Edit`マッチャーを指定して登録します。
### フック7：すべてのBash呼び出しをエンドツーエンドで監査ログに記録する
夜間に問題が起きた場合は、操作の順序を把握するための完全なログが必要です。`settings.json`から登録します（専用スクリプトは不要で、jqがすべて行います）。
```json
{
"hooks": {
"PreToolUse": [
{
"matcher": "Bash|Write|Edit",
"hooks": [{
"type": "command",
"command": "jq -c '{ts: now, tool: .tool_name, cmd: (.tool_input.command // .tool_input.file_path), cwd: .tool_input.cwd}' >> ${CLAUDE_PROJECT_DIR}/.claude/audit.jsonl; exit 0"
}]
}
]
}
}
```
`.claude/audit.jsonl`には1行ずつ記録が追加されます。朝になったら、夜間の`/loop`後に`tail -n 100 .claude/audit.jsonl | jq`を実行して、各時点でエージェントが何をしたか確認できます。これは事後分析に欠かせません。セッションの記録は長く読みにくいことがありますが、監査ログなら時系列をすっきり確認できます。
## Sandboxとworktreeによる隔離は、長時間セッションをどう保護するのか？
重要なポイント
Claude Codeのsandboxは、ファイルシステムとネットワークを隔離します。Anthropicによれば、同等のセキュリティを保ちながら、権限確認を84%減らせます。ネットワーク隔離により、エージェントがすでに`.env`を読んでいても、リモートサーバーへの流出を防げます。長時間のバックグラウンドセッションでは、sandboxとworktreeが必須です。
重要なポイント
auto-mode in Claude Codeは、Anthropicのルールに基づいてアクションを自動判断し、手動の権限確認を置き換えるSonnet 4.6の分類器です。Anthropic自身によれば、危険なアクションに対する偽陰性率は17%です。また、分類器による拒否が3回連続、または合計20回に達するとセッションが停止します。グリーンゾーンでは手動承認の代替として妥当です。レッドゾーンでは引き続きフックが必要です。