CLAUDE.mdは守られず設定で止まる

この出来事は、Yumeno氏がClaude Codeに調査を依頼したところ、AIが必要な情報を指定フォルダではなく2階層上で見つけ、findで検索したうえでそこで見つけたファイルを確認も取らずに引用したことから始まった。問い詰めるとClaude Codeは、作業フォルダは出発点であって壁ではなく、ユーザーの権限で読めるファイルならフォルダ外でも読めると答えた。

そこから、ls、cat、grep、find、headといった読み取り専用の組み込みコマンドがどのパーミッションモードでも確認なしに実行されるという、より広い発見に至った。ツールを毎回確認する設定にしても安全にはならなかったのだ。対比されるのは2つの仕組みだ。CLAUDE.mdは会話の冒頭にAIの判断材料の一つとして読まれる。settings.jsonのパーミッションはツール呼び出しの前に機械的に検査される。CLAUDE.mdは指示や会話履歴と同じ土台に立つため、長い会話では影響力が薄れ、矛盾する指示に負けることもある。一方、JSONのパーミッションルールはAIがどう考えようと動作を止める。

著者は、guardrails.mdという名前のファイルが自動で読まれなかったのは、Claude Codeが決まった場所のファイルしか自動読み込みしないためだと指摘し、ルールを.claude/rules/に分割すればCLAUDE.mdと併せて読み込めると述べている。落とし穴の一つは、Bashのルールがパスではなくコマンド文字列にマッチすることだ。コマンドを禁止するルールは、フルパスで起動したりsh -c経由にしたりすれば回避できる。著者は、公式ドキュメント自体がBashのルールはセキュリティ境界ではないと明記していると述べている。推奨されるのは両者の併用だ。意図と理由を伝えるのがCLAUDE.md、破られては困るものを強制するのがsettings.jsonである。