何が起きたか
Claude Code 2.1.287とOpenCode 1.18.34を試すと、Claude Codeはdeny→ask→allowの順で最初の一致で停止し、OpenCodeは最後の一致が優先された。
なぜ重要か
テストではdata/notes.txtの削除要求が、OpenCodeのrm拒否ルールではなくedit設定でブロックされた。エージェントがBashではなくapply_patchを使ったためだ。
注目点
v2.1.283以降、Claude Codeの対話セッションはautoモードで開始され、acceptEditsは作業フォルダ内のrmを自動承認する。
誰に効くかAIエージェントに日常的なコーディング作業を任せる開発者やプラットフォームチームは、Bashルールとファイル編集ルールの両方を監査する必要がある。allowのまま残った経路から削除がすり抜ける可能性があるためだ。これらのエージェントをCIで実行するチームでは、OpenCodeは非対話実行時にaskプロンプトを自動拒否するため、askルールは事実上の強制停止を意味する。
こういう要約が、毎朝あなたのメールに届きます。
この記事は、許可設定をセキュリティの壁ではなく、エージェントが通常書くコマンドで起きる事故を減らす手段として捉えている。Claude Codeの公式ドキュメントは、プロンプトやCLAUDE.mdの指示がClaudeの試みる動作には影響するが、Claude Codeが許可する内容には影響しないと注記しており、「.envを読むな」と指示ファイルに書いても制限にはならない。
両ツールともルールをコマンド文字列と照合する。Bash(rm *)はrm -rf build/を止めるが、/bin/rm -rf build/やbash -c 'rm -rf build/'は止められず、Bash(git push *)はgit -C . push origin mainに一致しない。OSレベルの制限が必要な場合は、サンドボックスやコンテナの併用が推奨されている。
比較表はもう一つのギャップも指摘する。Claude Codeは信頼ダイアログを承認した後にのみリポジトリのallowルールを適用するが、OpenCodeのドキュメントには同等の記述が見当たらなかった。推奨される確認方法は、練習用リポジトリで各エージェントに4つのことを実際に依頼することだ。.envの読み取り、ファイル削除、git push、テスト実行。そしてエージェント自身の報告を信用せず、git statusとgit diffで出力を検証する。
業界と使っているAIツールを選ぶと、仕事に関係するニュースが毎朝届きます。
登録無料・Googleアカウントなら30秒・いつでも解除できますAITodayについて →
この記事についてわからないことをAIに質問できます。AIはこの記事・AIToday の過去記事・Wikipedia を読み、出典を付けて答えます。Q&Aはこのページに公開され、他の読者も読めます。
Qiita記事がLLMアプリ向け自動レッドチーミング手法GCG・PAIR・TAPを実LLMなしの模擬実装で比較した
フランス数学会会長イザベル・ガラガー主催のウェビナーで、フィールズ賞受賞者のユーゴ・デュミニル＝コパンは、OpenAIが350の主要未解決問題の解答を一夜で公開したと述べた
Anthropicは10月15日、METRの6人のスタッフに社用端末、オフィススペース、社内ツールやシステムへのアクセスを付与し始めたと発表した
NVIDIAは2026年9月21日、「AIセキュリティは工学の問題――エージェントスタックの全層で解決する方法」と題したブログ記事を公開し、判断を誤ったエージェントでも行動を止められる理由を説明した
Microsoftの研究者らが論文「Adoption and Impact of Command-Line AI Coding Agents: A Study of Microsoft's Early 2026 Roll…
Marissa MayerはMost Powerful Women Summitで、AIの行く末を知る人は「嘘をついているか、傲慢か、その両方だ」と述べ、悪い結果になる確率は「50%をはるかに下回る」とした
