権限モードを選択する

​

利用可能なモード

​

どのモードでも自動承認されない操作

• 明示的な確認ルールに一致するツール
• 組織が ask に設定したコネクタツール（その設定が Claude Code に適用されるセッションの場合）
• ユーザーの操作を必要とするツール: 組み込みの AskUserQuestion ツールと、requiresUserInteraction が指定された MCP ツール
• 認識された rm および rmdir による重要パスの削除（どの許可ルールや PreToolUse フックの "allow" でも承認されません）、および Dangerous rm operation not ruled out としてフラグが付けられた Bash コマンド
• セッション間メッセージングの安全策
• permissions.blockReadsOutsideWorkingDirectories が有効な間の作業ディレクトリ外の読み取り: 認識されたファイル読み取り用の Bash コマンドは、auto モードや bypassPermissions モードであってもプロンプトを表示します。サンドボックスの外で実行するために承認が必要なサンドボックス外での再試行も同様にプロンプトを表示します。Claude Code v2.1.257 以降が必要です。 ディレクトリを複数回変更するコマンドやサブシェルを実行するコマンドなど、シェルパーサーが追跡できないコマンドは、外部のパスを指定していない場合でも同じようにプロンプトを表示します。このプロンプトは、コマンドがサンドボックス内で実行され、サンドボックスがブロックを強制している場合には適用されません。
• permissions.blockWritesOutsideWorkingDirectories が有効な間の作業ディレクトリ外への書き込み: Claude Code は、Claude Code 自身の一部のファイルを除き、作業ディレクトリ外での Write、Edit、NotebookEdit の呼び出しを拒否します。このキーはシェルコマンド、MCP ツール、フックが実行するプログラムを制限しないため、シェルコマンドの書き込み先を制限するにはサンドボックス化を使用してください。Claude Code v2.1.314 以降が必要です。

​

一般的なセットアップ

​

セッションが開始するモード

1. --permission-mode フラグ、または --dangerously-skip-permissions
2. 設定ファイルの permissions.defaultMode .claude/settings.json または .claude/settings.local.json で "auto" を設定した場合、値は有効にならず、Claude Code は ~/.claude/settings.json からの defaultMode ではなく組み込みデフォルトを使用します。これらの 2 つのファイルで "bypassPermissions" を設定した場合、それも有効にならず、セッションは Manual モードで開始します。他の値はすべての設定ファイルから適用されます。
3. 組み込みデフォルト

• ターミナルでは、セッションの上部に 1 回
• VS Code 拡張機能では、新しい会話画面のカードとして、却下するまで表示されます

​

claude -p と Agent SDK の実行で拒否されるツール呼び出し

• 許可ルールを追加する: Claude は列挙した呼び出しを実行します。claude -p に --allowedTools "Bash(npm test)" を渡すか、SDK の allowed-tools オプションを設定します。
• auto モードで開始する: 分類器モデルが呼び出しをレビューするため、事前に何も列挙する必要はありません。claude -p に --permission-mode auto を渡すか、SDK の 権限モードオプションを設定します。

claude -p "Run the test suite and fix any failures" --permission-mode auto

const options = {
  permissionMode: "auto"
};

from claude_agent_sdk import ClaudeAgentOptions

options = ClaudeAgentOptions(permission_mode="auto")

​

異なる権限モードで開始する

{
  "permissions": {
    "defaultMode": "default"
  }
}

​

HIPAA 設定での権限モード

• auto モードに切り替える: Shift+Tab を押すか、使用しているインターフェースのコントロールを使用します
• auto モードで開始する: --permission-mode auto を渡すか、ユーザー設定で permissions.defaultMode を auto に設定します。組織全体に対しては管理設定で設定します。異なる権限モードで開始するを参照してください
• auto モードを削除する: 管理設定で permissions.disableAutoMode を "disable" に設定します
• bypassPermissions をブロックする: 管理設定で permissions.disableBypassPermissionsMode を "disable" に設定します

​

権限モードを切り替える

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

​

acceptEdits モードでファイル編集を自動承認する

• そのスコープ外のパス
• 保護されたパス への書き込み
• 認識された rm と rmdir による 重要なパスの削除
• 単純なファイルパス以外のものを伴う touch（たとえばオプション、glob、timeout 5 や LANG=C のようなプレフィックス）
• 組み込みの読み取り専用セット を除くその他すべての Bash コマンド

claude --permission-mode acceptEdits

​

plan モードで編集前に分析する

• bypass permissions が利用可能なインタラクティブなターミナルセッション: 計画中のコマンドには分類器もプロンプトも適用されません。それでもプロンプトが表示されるいくつかの操作については、bypassPermissions モードですべてのチェックをスキップするを参照してください。
• auto モードが利用可能で、useAutoModeDuringPlan 設定がオン（デフォルトでオン）: 分類器が、クリティカルパスの削除以外のシェルコマンドを、プロンプトを表示する代わりにレビューします。承認されたコマンドは実行され、拒否されたコマンドはブロックされます。
• auto モードが利用できない、または useAutoModeDuringPlan がオフ: 組み込みの読み取り専用セットに含まれないコマンドは、サンドボックスの auto-allow モードが有効な場合も含めて、承認を求めるプロンプトが表示されます。

claude --permission-mode plan

​

計画をレビューして承認する

• Yes, and use auto mode: 承認して auto モードで開始します。組織が無効にしているなどの理由で auto モードがセッションで利用できない場合、この選択肢は Yes, auto-accept edits と表示されます。bypass permissions を有効にしてセッションを開始した場合は、代わりに Yes, and switch to BYPASS PERMISSIONS (no further prompts) for this session と表示されます。
• Yes, manually approve edits: 承認し、各編集を個別にレビューします。
• No, keep planning: plan モードにとどまり、変更してほしい内容を Claude に伝えます。

​

plan モードをデフォルトに設定する

​

auto モードで権限プロンプトを排除する

• プラン: すべてのプラン。
• 組織: Team と Enterprise では、auto モードはデフォルトで利用可能です。管理者は管理設定で permissions.disableAutoMode を "disable" に設定することで、組織の auto モードをオフにできます。
• モデル: Anthropic API と Claude Platform on AWS では、Claude Opus 4.6 以降、Sonnet 4.6 以降、Haiku 5.5、または Fable モデル。Amazon Bedrock、Google Cloud の Agent Platform、Microsoft Foundry、およびサインイン済みの Claude apps gateway セッションでは、Claude Sonnet 5 以降、Opus 4.7 以降、Haiku 5.5、および Fable モデルのみです。Sonnet 4.5、Opus 4.5、Haiku 4.5、claude-3 モデルを含む古いモデルは、どのプロバイダーでもサポートされていません。
• プロバイダー: Anthropic API、Claude Platform on AWS、Amazon Bedrock、Google Cloud の Agent Platform、Microsoft Foundry、およびサインイン済みの Claude apps gateway セッションでデフォルトで利用可能です。

​

Bedrock、Agent Platform、または Foundry での auto モード

• インタラクティブなターミナルセッションと VS Code セッション: auto 以外の権限モードで開始するには、別の権限モードで開始するの説明に従って permissions.defaultMode を設定するか、VS Code 拡張機能のモードインジケーターから権限モードを選択します。これらのセッションを auto モードで開始する Claude Code のバージョンは、セッションがどのモードで開始するかに記載されています。
• claude -p と Agent SDK の実行: auto モードで開始するには、claude -p に --permission-mode auto を渡すか、TypeScript では permissionMode: "auto"、Python では permission_mode="auto" を渡します。権限モードを渡さない場合は、claude -p および Agent SDK の実行でツール呼び出しが拒否されるを参照してください。このセクションでは以前の Claude Code バージョンについても説明しています。

​

サーバー側の分類器レビュー

• Anthropic API への直接接続: インタラクティブなターミナルセッション、および -p、Agent SDK、VS Code 拡張機能、デスクトップアプリのセッションで、プランやアカウントの種類を問わず、Anthropic の段階的な展開に応じて。セッションの種類を、以下の Claude Code の最小バージョンと照らし合わせて確認してください。
  • インタラクティブなターミナルセッションでは、サーバーへの依頼に、Pro、Max、Ultra、Team プランでは Claude Code v2.1.271 以降が必要です。Enterprise プランと Claude API アカウントでは、これらのセッションに v2.1.278 以降が必要です。
  • -p と VS Code 拡張機能のセッションでは、サーバーへの依頼に Claude Code v2.1.278 以降が必要です
  • Agent SDK とデスクトップアプリのセッションでは、サーバーへの依頼に Claude Code v2.1.281 以降が必要です
  • v2.1.282 以降、テレメトリをオフにしたなどの理由で機能フラグを取得しないセッションは、どの種類のセッションでもデフォルトでサーバーに依頼します
• クラウドプロバイダー、または LLM ゲートウェイやプロキシ: Claude Platform on AWS、Amazon Bedrock、Google Cloud の Agent Platform、Microsoft Foundry で、また ANTHROPIC_BASE_URL を LLM ゲートウェイまたはプロキシに向けている場合は常に、プランを問わず。デフォルトで依頼するには Claude Code v2.1.278 以降が必要です。
• サインイン済みの Claude apps gateway セッション: Claude Code v2.1.280 以降が必要です
• Anthropic がホストする環境でのクラウドセッション: Web、モバイルアプリ、または Cloud を選択したデスクトップアプリから開始した場合、プランを問わず。クラウドのスケジュールタスクによって開始されたセッションは、Anthropic の段階的な展開に応じてサーバーに依頼します。

• サーバーがセッションをレビューしない: レスポンスがレビュー結果なしで完了するか、サーバーがこのセッションをレビューしないと応答します。最も一般的な原因は、レビューの依頼や結果を破棄する LLM ゲートウェイまたはプロキシと、まだサーバー側チェックに対応していないプラットフォーム、リージョン、または認証情報です。Claude Code は独自の分類器リクエストにフォールバックします。そのフォールバックがセッションの残りの期間にわたって維持されることになると、分類器リクエストが課金対象となるアカウントでは、分類器リクエストの料金に関する通知が表示されます。
• サーバーがアクションの判定を返さない: Claude Code は、レビューなしで実行するのではなく、アクションを拒否します。どの接続でも、レビュー結果が届く前にレスポンスが終了した場合や、結果が Claude Code の読み取れない形式で届いた場合に発生します。レスポンスを途中で切ったり結果を書き換えたりする LLM ゲートウェイやプロキシは、どちらの原因にもなり得ます。Anthropic API への直接接続では、タイムアウトなどでサーバーのチェックがそのアクションについて失敗した場合にも発生します。拒否メッセージ、拒否が繰り返された場合の動作、および対処方法については、サーバーが安全性の判定を返さなかったを参照してください。 サーバーのレビュー後にフックまたは mod がアクションの入力を変更した場合、Claude Code は判定なしでそのアクションを拒否することがあります。Anthropic API への直接接続でのインタラクティブなターミナルセッションと VS Code セッションでは、拒否のテキストに a hook changed this call's input after auto mode reviewed it が含まれます。対処方法については、該当するエラー項目を参照してください。

​

デフォルトの分類器モデル

​

分類器モデルを選択する

{
  "env": {
    "CLAUDE_CODE_AUTO_MODE_MODEL": "claude-sonnet-4-6"
  }
}

​

指定したモデルがレビューしない場合

​

分類器が使用したモデルを確認する

claude --permission-mode auto --debug-file classifier-debug.log

• model= の後に指定したモデルがある: 変数が有効になっています
• model= の後に別のモデルがある: ログで ignoring CLAUDE_CODE_AUTO_MODE_MODEL を検索します。理由と必要な手順が示されています
• 該当する行がない: Claude Code のプロンプトで /status の Auto mode server を確認します。
  • Enabled: サーバーがこのセッションの呼び出しをレビューするよう設定されています。
  • Disabled: このチェックではまだ指定したモデルがテストされていません。権限モードが auto であり、curl に一致する権限ルールがないことを確認してから、サンドボックスをオフにしてもう一度チェックを実行します。

​

分類器がデフォルトでブロックするもの

• curl | bash のようなコードのダウンロードと実行
• 外部エンドポイントへの機密データの送信
• 本番環境へのデプロイとマイグレーション
• クラウドストレージでの大量削除
• IAM またはリポジトリ権限の付与
• 共有インフラストラクチャの変更
• セッション前から存在していたファイルの不可逆的な破壊
• Force push
• 実行時にシークレットや機密データをリポジトリの外に送信する、またはデプロイが公開する範囲を広げる変更のコミットまたはプッシュ。これには、まだシークレットを受け取っていない宛先にシークレットを渡す CI ワークフローやデプロイ設定、シークレットストアを読み取ってデータを外部に送信するスクリプトやセットアップ手順、そしてレジストリ、可視性、アーティファクト、ソースマップの設定など、デプロイが公開する範囲を広げる設定変更が含まれます。このチェックはどのブランチにも適用され、リポジトリが公開されている場合でも適用され、そのコミットやプッシュがパイプラインをトリガーするかどうかにかかわらず、変更がコミットまたはプッシュされた時点で発動します。解除するには、コミットやプッシュだけでなく、実行時の影響を明示する必要があります
• git reset --hard、git checkout -- .、git restore .、git clean -fd、git stash drop、または git stash clear（分類器はコミットされていない変更を破棄するものと推定します）
• HEAD のコミットがこのセッションで作成されたものでない場合の git commit --amend
• v2.1.198 以降、HEAD のコミットがすでにプッシュされている場合の git commit --amend。メッセージのみの書き換えはブロックされません。これは、Claude がこのセッション中に作成したコミットに対し、新たにステージされたものがない状態で --amend -m を実行する場合です
• terraform destroy、pulumi destroy、cdk destroy、または terragrunt destroy、およびリソースを破棄するプランの適用
• シークレットマネージャーへの書き込み、または DNS レコードや TLS 証明書の変更
• 人間が承認していないプルリクエストのマージ、Claude 自身のプルリクエストの承認、または CI チェックの無効化
• atlantis apply やボットの /deploy、/merge など、それ自体が自動化へのコマンドとなるコメントの投稿
• 本番環境の機能フラグの切り替え、段階的な展開、または削除
• 保護された IaC スコープへのインフラストラクチャ変更の適用、またはクラスターノードのドレインと削除
• ラベルセレクターや他のユーザーのジョブまで対象にしてしまう --all など、指定したリソースを超えて及ぶ共有コンピュートクラスターへの書き込み
• DaemonSets や admission webhooks など、すべてのノードで実行される、またはクラスタートラフィックを傍受する Kubernetes リソースの作成
• 機密性の高いリモートターゲットへのインタラクティブシェルやポートフォワード
• ローカルサービスをパブリックインターネットから到達可能にするトンネルやリバースシェルの開設
• 有効な認証情報やトークンのトランスクリプトまたはファイルへの出力
• 環境で機密データの保存場所として記載されている場所へのアクセス、そこからのデータのコピー、またはエントリが除外している対象者へのそこからのデータ送信
• 内部パッケージレジストリを迂回してパブリックレジストリからパッケージをインストールすること。これは、内部レジストリやミラーが環境に記載されている場合、または会話の中で Claude にそれが存在すると伝えた場合に適用されます
• --insecure のような、安全ガードを無効にするフラグを付けたコマンドの実行
• --dangerously-skip-permissions や --no-sandbox で起動したものなど、人間の承認やサンドボックスなしで実行される自律エージェントループの起動。これには、--yes-always で起動したランナーなど、分離とアクションごとの承認を無効にしてサードパーティのエージェントや eval ハーネスを実行することも含まれます
• ページコンテンツ、Cookie、または認証情報をオリジン外に送信する可能性のある Claude in Chrome のブラウザアクション
• 特定の名前付きパスではなく、ワイルドカード、glob、または経過時間フィルターによって /tmp、$TMPDIR、またはその他の共有スクラッチディレクトリやキャッシュディレクトリ内のファイルを削除すること
• 他の人や共有システムに送信、アップロード、公開、または書き込まれるコンテンツに、ユーザー自身のメッセージがその受信者に対して認めていない機密性の高い詳細を含めること。リポジトリが信頼境界の外にあるか公開されている場合（組織自身の公開リポジトリを含む）、PR やイシューの本文、コミットメッセージ、コメントはこの種の外部向けコンテンツとして扱われます。内部のファイルパス、コードネーム、メールアドレスやアカウント識別子などの実際の API レスポンスデータ、インフラストラクチャ識別子は機密性の高い詳細として扱われます。メールアドレス、アカウントや組織の識別子、使用量の指標など、API レスポンスから得た実際の個人データを PR やイシューの本文に含める場合は、リポジトリの可視性や信頼境界にかかわらず、それらの詳細と受信者を明示する必要があります
• Claude Code 自身の tmux ペインにキーストロークを送信して自身のインターフェースを操作すること（分類器はこれを、Claude が自身の権限や監視を変更するものとして扱います）
• 認証、アクセス制御、入力検証、サンドボックス化などのセキュリティ動作を保護するテストやアサーションのコメントアウト、削除、または強制的な合格化
• より具体的な削除ルールが適用されず、ユーザーがそのリソースを指定していない場合に、セッション中に Claude が作成していないステートフルなリソースを削除または破棄すること
• API ベース URL、プロキシエンドポイント、webhook レシーバー、またはレジストリミラーを、タスクにそぐわないサードパーティホストに向け直すこと（.env.example のようなサンプルファイル内を含む）
• 新しいリモートをユーザーが指定していない限り、git remote set-url や git remote add でプッシュ先を変更すること
• 公開されていることがわかっているリポジトリへのシークレット、個人データ、または預かったデータのプッシュ、またはそのリポジトリ自体の作業に含まれない機密資料のプッシュ。dotfiles リポジトリ自体の対象となる内容は、個人データや預かったデータに関する唯一の例外であり、プライベートリポジトリのコンテンツがいずれかの公開サーフェスに到達する場合も同様にブロックされます。リポジトリの可視性が確認できない場合、分類器はそれだけを理由にブロックせず、代わりに他のルールに照らしてコンテンツを判断します
• 外部のターゲットをユーザーが指定していない限り、別のリポジトリや組織に対するプルリクエストの作成、gh repo fork によるフォーク、またはサードパーティリポジトリへのプッシュ
• ソースと宛先の両方をユーザーが指定していない限り、機密性の高いローカルストア、または名前、パス、種類から機密であるとわかるファイルのコンテンツを、コミット、プッシュ、PR やイシューのテキスト、gist やペースト、またはパッケージの公開に含めること。セッションのトランスクリプトと会話ログ、SSH キー、クラウドの認証情報、ブラウザプロファイル、シェル履歴などの認証情報や設定のドットフォルダ、ユーザーデータのエクスポートはすべて対象であり、リポジトリがプライベートであっても解除されません
• Claude Code のセッショントランスクリプト、つまり ~/.claude/projects/ または設定した config ディレクトリ配下の .jsonl 履歴ファイルへの書き込み（直接か、シェルコマンド経由かを問いません）。このルールは、Claude Code が独自のチェックのために各トランスクリプトエントリに追加するメタデータ行も対象とします。トランスクリプトの読み取りはブロックされません
• rm -rf "$VAR" や Remove-Item -Recurse -Force $dir のような再帰的な強制削除で、対象が分類器の見る会話の中で代入されていないシェル変数、またはそのような変数を起点とする glob であるもの。その代入がないと、分類器はコマンドが何を削除するかを判断できません。 このブロックは、削除する正確なパスをユーザーが指定するか、Claude が解決済みのリテラルパスをコマンドに書き込んで削除を再実行すると解除されます。分類器が対象を解決できる削除は影響を受けません。 rm -rf "$VAR"/* のように変数の直下にある glob は、代わりに重要なパスとして扱われます。Remove-Item の対象が単独の * であるか、/* または \* で終わる場合については、PowerShell での Remove-Item を参照してください。Claude Code はそのコマンドを直ちに拒否します。

• 169.254.169.254 などのクラウドインスタンスメタデータエンドポイントに認証情報を要求すること、またはマシン自身のサービスアカウントやノード ID を使ってクラウド、クラスター、レジストリへの呼び出しを明示的に認証すること
• トンネル、リバースシェル、外部を指すように書き換えたリゾルバーやプロキシの設定など、直接リクエスト以外の経路でパブリックホストに到達すること
• ノード証明書やノードのコンテナレジストリ認証など、タスクではなくホストに属する認証情報を読み取ること
• Claude が起動していない隣接するコンテナ、ポッド、VM、またはコンテナの下にあるノードへの接続やスキャン

• URL 自体に共有するコンテンツが含まれている場合に、公開ペースト、図、またはデータ共有サービスへのリンクを、メッセージ、PR やイシューのテキスト、ドキュメント、その他リンクが開かれたり取得されたりする場所に投稿または書き込むこと（ユーザーがそのサービスを指定した場合を除く）

• 作業ディレクトリ内のローカルファイル操作
• ロックファイルやマニフェストで宣言された依存関係のインストール
• .env の読み取りと、対応する API への認証情報の送信
• 読み取り専用の HTTP リクエスト
• デフォルトブランチを含む、作業中のリポジトリの任意のブランチへのプッシュ。production や gh-pages など、名前からデプロイ先や公開先であるとわかるデフォルト以外のブランチは対象外で、分類器はそこへのプッシュを個別に判断します。 プッシュの内容は引き続き分類器の他のルールに照らしてチェックされ、permissions.deny ルールはすべてのモードで引き続き記述されたとおりにプッシュコマンドをブロックできます。リモート側のブランチ保護も引き続き適用されます。
• 同じセッション内で Claude が以前に作成したジョブそのものの削除
• タスクの一環としての、セキュリティ関連のコード、設定、脅威モデルの読み取り、レビュー、または作成
• 同じマルチエージェントセッションで協働するエージェント間のメッセージ
• environment に記載した信頼できるドメイン、バケット、サービスへのデータ送信。これはデータの流れのみを対象とし、同じインフラストラクチャに対する破壊的な操作や認証情報の操作は対象外です
• 信頼できる内部ドメイン、localhost、またはユーザーが指定した URL への Claude in Chrome のナビゲーション

​

作業ディレクトリ外の最初の読み取り

• はい、今後も作業ディレクトリ外の読み取りを許可する: 読み取りが実行され、以降の作業ディレクトリ外の読み取りも従来どおり実行されます。Claude Code は回答を記録するため、このプロンプトは再び表示されません
• いいえ、今後は作業ディレクトリ外の読み取りをブロックする: 読み取りは拒否され、Claude Code はユーザー設定で permissions.blockReadsOutsideWorkingDirectories を true に設定します。これにより、このセッションと以降のすべてのセッション、およびすべての権限モードで、ファイルツールはそのような読み取りを拒否します。ブロックを解除するには、この設定を含むすべての設定ファイルからこの設定を削除してから、実行中の各セッションを再起動します。このセッションで 1 つのディレクトリについてのみ読み取れるようにするには、/add-dir を使用します。
• いいえ、次回も確認する: 読み取りは拒否され、次に作業ディレクトリ外を読み取るときに再びプロンプトが表示されます
• はい、ただし次回も確認する: 読み取りが実行されますが何も保存されず、次に作業ディレクトリ外を読み取るときに再びプロンプトが表示されます

​

会話で伝えた境界

​

会話で伝えた承認

• アクションとその詳細を明示する: メッセージでは、アクションと、force push の対象ブランチなど、それを危険にしている具体的な要素を明示する必要があります。動詞だけを示しても何も解除されないため、「force-push してもいいよ」ではブロックは残ります。
• 1 つのアクションにのみ適用されると考える: 承認は明示した破壊的アクションに適用されるため、継続的な承認として与えない限り、後のアクションは再びブロックされます。日常的なパターンを 1 つずつ承認するのをやめるには、autoMode.allow に追加してください。
• 一部のブロックは解除されない: 分類器の優先順位に、承認で解除できるブロックが定められています。承認で解除されない手順を実行するには、auto モードを終了して権限プロンプトに回答してください。

​

auto モードがフォールバックするとき

• アクションがブロックされた場合: Claude Code は通知を表示し、そのアクションを /permissions の Recently blocked タブに表示します。そこでアクションを承認して Claude が再試行できるようにすることができます。
• ブロックが繰り返された場合: 分類器がアクションを 3 回連続、または合計 20 回ブロックすると、auto モードは一時停止し、Claude Code はプロンプトの表示を再開します。プロンプトで示されたアクションを承認すると auto モードが再開します。ブロックの数え方については、繰り返しブロックのしきい値を参照してください。
• 分類器から判定が得られない場合: auto モードとは別の安全チェックが分類器自体のリクエストを拒否した場合、または分類器の応答を解析できない場合、Claude Code は通知も Recently blocked のエントリもなしにアクションをブロックします。各ケースで表示されるメッセージと対処方法については、auto モードがアクションの安全性を判断できないを参照してください。
• サーバーからの判定がない場合：サーバー側の分類器によるレビューでは、サーバーから判定が返されないアクションを Claude Code は拒否し、判定のない応答が 10 回連続するとターンを停止することがあります。The server returned no safety verdict を参照してください。
• チェック中にモードを切り替えた場合: 分類器のチェックが保留中に権限モードを切り替えると、Claude Code は新しいモードでは要求されなかったはずの判定を破棄します。代わりに承認を求めるプロンプトが表示されるか、dontAsk モードではアクションが自動的に拒否されます。

​

繰り返しブロックのしきい値

​

auto モードがアクションを評価する方法

​

dontAsk モードで事前承認済みツールのみを許可する

• 認識された rm および rmdir による重要なパスの削除（rm -rf / や rm -rf ~ など）
• ネットワークパスからの読み取り

claude --permission-mode dontAsk

​

bypassPermissions モードですべてのチェックをスキップする

• このマシンを超えたセッションへのメッセージに対する isolatePeerMachines 承認プロンプトが引き続き表示されます。
• crossSessionInbound 値が適用されない場合、Claude Code は別のセッションからのインバウンドメッセージを承認待ちで保持し、送信セッションが権限プロンプトもバイパスしていることを識別した場合にのみ確認なしで配信します。権限モードを終了してメッセージが保持されている場合、Claude Code はインバウンドルールを再適用し、保持されているメッセージのうち現在受け入れるものを配信します。

claude --permission-mode bypassPermissions

• 受け入れた場合: Claude Code は skipDangerousModePermissionPrompt を ~/.claude/settings.json の true に設定するため、後のセッションではダイアログをスキップします。ダイアログを再度表示するには、そのファイルからキーを削除するか、false に設定してください。skipDangerousModePermissionPrompt リファレンスには、ユーザーまたは組織が設定できる他の設定ファイルが記載されています。
• 拒否した場合: Claude Code は終了します。

• 受け入れが記録されていない場合、claude --bg --permission-mode bypassPermissions は拒否されます。まず対話セッションでダイアログを受け入れてください。
• skipDangerousModePermissionPrompt が .claude/settings.local.json でのみ設定されている場合、バックグラウンドセッションはバイパスのリクエストを無視した状態で開始します。
  • --allow-dangerously-skip-permissions が無視された場合、bypassPermissions は Shift+Tab のサイクルから除外されます。
  • --permission-mode bypassPermissions または --dangerously-skip-permissions が無視された場合、セッションは代わりに Manual モードで開始されます。
  "skipDangerousModePermissionPrompt": true を ~/.claude/settings.json に追加してから、新しいバックグラウンドセッションを開始してください。

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

​

バックグラウンドセッションで権限バイパスが無視される

Bypass permissions was requested at launch and ignored · if that was you, ~/.claude/settings.json needs "skipDangerousModePermissionPrompt": true

​

claude agents が対話セッションではスキップされる権限バイパスの警告を表示する

​

保護されたパス

• プロジェクトの .claude/ フォルダの場合：Yes, and allow Claude to edit files in this project’s .claude folder for this session
• ~/.claude/ の場合：Yes, and allow Claude to edit files in its ~/.claude folder for this session

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude。ただし、次のようないくつかの例外があります：
  • .claude/worktrees/ 配下にある Claude 自身の git worktree
  • ~/.claude/plans/、または設定した plansDirectory 内にある、現在のセッション自身のプランファイル
  • ~/.claude/jobs/<id>/tmp/ にあるバックグラウンドセッション自身のスクラッチディレクトリ
  • --restricted なしで開始されたセッションにおける、~/.claude/projects/<project>/memory/ などのプロジェクトの自動メモリディレクトリ内の markdown ファイル
  • --restricted なしで開始されたセッションにおける、.claude/agent-memory/ などのサブエージェントメモリディレクトリ内の markdown ファイル
• --plugin-dir で読み込んだディレクトリ。ファイルが変更されると、Claude Code がそこから mod のコードを再読み込みして実行するためです
• ~/.claude/dev-mods/、または CLAUDE_CONFIG_DIR が指すディレクトリ内の dev-mods/。Claude がユーザーのために作成した mod を保存する場所です

• .gitconfig、.gitmodules
• .bashrc、.bash_profile、.bash_login、.bash_aliases、.bash_logout、.zshrc、.zprofile、.zshenv、.zlogin、.zlogout、.profile、.envrc
• .npmrc、.yarnrc、.yarnrc.yml、.pnp.cjs、.pnp.loader.mjs、.pnpmfile.cjs、bunfig.toml、.bunfig.toml
• .bazelrc、.bazelversion、.bazeliskrc
• .pre-commit-config.yaml、lefthook.yml、lefthook.yaml、.lefthook.yml、.lefthook.yaml
• gradle-wrapper.properties、maven-wrapper.properties
• .devcontainer.json
• .ripgreprc、pyrightconfig.json
• .mcp.json、.claude.json
• ~/.claude または CLAUDE_CONFIG_DIR が指すディレクトリ内にある、組織のサーバー管理設定の保存コピーである remote-settings.json、および Claude Code がそれとともに保持する署名、同期、同意の各ファイル
• セッション開始時に --settings、--mcp-config、または --agents に渡したファイル
• ユーザー、プロジェクト、またはローカルの設定ファイル自体がシンボリックリンクである場合に、その設定ファイルが指し示すファイル（たとえば dotfiles リポジトリ内のファイル）。保護されたパスへの書き込みを分類器にルーティングするモードでは、このファイルへの書き込みは、許可ルールに一致する場合でも、代わりにプロンプトを表示します。このファイル自体のパスが別のフォルダの .claude/settings.json など設定ファイルのパスでもある場合、その書き込みは他の保護されたパスへの書き込みと同様に分類器に送られます

​

重要なパス

• 拒否ルール: コマンドにマッチする拒否ルールはそのコマンドをブロックします。ただし、インストールした mod は引き続きそれらの呼び出しの一部を承認できます
• サンドボックス化: サンドボックス化では、Bash コマンドが書き込めるパスをオペレーティングシステムが制限します。サンドボックス化されたコマンドでも作業ディレクトリは削除できます
• 厳格なサンドボックスモード: デフォルトでは、サンドボックス化されたコマンドはサンドボックス外で再試行でき、許可ルールや bypassPermissions モードはその再試行をプロンプトなしで承認できます。厳格なサンドボックスモードは再試行をオフにします

​

どのパスが重要なのか

• ファイルシステムのルート
• トップレベルディレクトリ、つまりルートの直接の子である /usr、/etc、/data などのディレクトリ
• ホームディレクトリ。Windows では、C:\Users\LONGNA~1 のような 8.3 形式の短い名前も含まれます
• Windows ドライブルートとそのトップレベルディレクトリ（C:\ や C:\Windows など）。\\?\C:\ や \\localhost\C$ のような表記も C:\ として扱われます
• 作業ディレクトリとその親
• 追加の作業ディレクトリとその親。ただし、削除が rm -rf <dir>/* のようにそれらの下のグロブである場合のみ。ディレクトリ自体に対する rm -rf <dir> はこのチェックをトリガーしません

​

重要なパスとしてカウントされるその他のターゲット

​

ネストされたコマンドとインラインスクリプト内の削除

• ネストされたコマンド: (...) を使用したサブシェル、{ ...; } を使用したブレースグループ、$(...) またはバッククォートを使用したコマンド置換、または <(...) を使用したプロセス置換。Claude Code は、(rm -rf ~) や echo "$(rm -rf ~)" のように置換内にある重要なパスの削除、または同じコマンド内の他の場所にある削除を見つけます。
• インラインスクリプト: bash -c 'rm -rf ~' のように、-c を付けて sh、bash、zsh、または同様の POSIX シェルに渡されるスクリプト。
  • スクリプトがダブルクォートで囲まれている場合、呼び出し元のシェルはスクリプトの変数を展開してから、内部シェルがスクリプトを受け取ります。find . -name '*.tmp' -exec sh -c "rm -rf \"$1\"/*" _ {} \; では、コマンドはマッチごとに 1 回ファイルシステムルートからの削除に展開され、Claude Code はこれを重要なパスの削除として扱います。
  • sh -c 'rm -rf "$1"/*' _ {} のように $1 を実際の値にバインドするシングルクォートスクリプトは警告されません。

​

フラグが付いたコマンドを書き直す

• $DIR などの変数の下のグロブまたは末尾のスラッシュ: 各展開をガードして、変数が設定されていないか空の場合にシェルがエラーで停止するようにします。例えば rm -rf "${DIR:?}"/* のように、またはリテラルパスを使用します。すべての展開がこのようにガードされている削除はこのチェックに合格するため、bypassPermissions モードではプロンプトなしで実行されます。別の重要なパスチェックがそれにフラグを付けない限り。
• $HOME などの通常設定されている変数の下のグロブまたは末尾のスラッシュ: リテラルパスを使用します。
• ディレクトリ出力置換から割り当てられた変数: リテラルパスを使用します。"${D:?}" ガードはこのチェックをクリアしません。変数は空ではないためです。
• コマンド置換の出力のみであるターゲット: 置換を単独で実行してから、それが出力するリテラルパスを削除します。プロンプトは Claude に同じことを行うよう指示します。

​

Dangerous rm operation not ruled out プロンプト

Dangerous rm operation not ruled out — the shell may read this command differently than it was parsed

This command could not be checked for dangerous rm operations: the shell may read it differently than it was parsed.

​

マウントされたドライブのプロンプト

​

マウントされたドライブのプロンプトが表示されるパス

​

マウントされたドライブのプロンプトをオフにする

export CLAUDE_CODE_DISABLE_MOUNTED_DRIVE_RM_PROMPT=1
claude

• 設定ファイル内の変数: Claude Code は、設定ファイルの種類にかかわらず、設定ファイルの env ブロック内の変数を無視するため、代わりに claude を起動する場所で変数を設定します
• 変数なしで起動されたセッション: 実行中のセッションは変数を取り込まないため、変数が設定された環境から claude を再度起動します

​

マウントされたドライブのプロンプトをオフにしてもプロンプトが表示される削除

• 作業ディレクトリ外のターゲット: /Volumes/USB/project で作業中に rm -rf /Volumes/USB/other を実行するとプロンプトが表示されます。このプロンプトを止めるには、ターゲットを含むディレクトリをセッションに追加します
• * を含むターゲット: rm -rf build/* ではプロンプトが表示されます。そのプロンプトを承認してコマンドを実行するか、* を使わずに各ターゲットを指定するよう Claude に依頼します
• 重要なパスであるターゲット: /mnt 自体と作業ディレクトリ自体は重要なパスのままなので、どちらに対する rm -rf でもプロンプトが表示されます。そのプロンプトを承認して rm を実行させます

​

各権限モードでの重要なパスの削除

​

auto および bypassPermissions モードでの時間制限と拒否

• カウントダウンが終了する前に答えない場合、Claude Code はコマンドを拒否し、Claude に代わりに何をするかを伝えるため、無人セッションは動作し続けます。
• プロンプトが開いている間に任意のキーを押すと、カウントダウンが停止し、プロンプトは答えを待ち続けます。
• セッション内でこれらのプロンプトが 3 回答えられずに終了した後、Claude Code はそれらの表示を停止し、重要なパスの削除をすぐに拒否します。新しいメッセージを送信するとカウントが再開されます。

• bypassPermissions: ターミナルプロンプトに時間制限がなくなり、VS Code のチャットパネルでは承認を求めます
• auto: ターミナル、VS Code のチャットパネル、-p 実行、Agent SDK セッションで、分類器が判断します

{
  "claudeCode.environmentVariables": [
    { "name": "CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT", "value": "1" }
  ]
}

​

bypassPermissions モードで重要なパスの削除のプロンプトをオフにする

export CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

$env:CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS = "1"
claude --permission-mode bypassPermissions

set CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

​

重要なパスの削除のプロンプトに関する起動時の通知

• is set, so dangerous rm commands can run without a prompt: 管理設定とプラグインのフックが読み込まれると、削除はプロンプトなしで実行できます。削除に対して引き続きプロンプトまたは拒否が発生する場合は、重要なパスの削除のプロンプトがオンのままになる理由を参照してください
• has no effect in this session: セッション全体を通じて、削除には通常のプロンプトまたは拒否が発生します。これを変更するには、重要なパスの削除のプロンプトがオンのままになる理由で該当するケースを見つけてください
• has no effect while the Windows registry cannot be read for managed settings: 削除には通常のプロンプトまたは拒否が発生します。後でレジストリの読み取りに成功すれば、再起動なしで変数が有効になります。削除に対して引き続きプロンプトまたは拒否が発生する場合は、重要なパスの削除のプロンプトがオンのままになる理由を参照してください

​

重要なパスの削除のプロンプトがオンのままになる理由

• 別の仕組みが権限プロンプトを処理している: --permission-prompts none なしの --permission-prompt-tool または Agent SDK の canUseTool コールバック、任意の matcher を持つ PermissionRequest フック、またはそのイベントを処理する mod。フック、mod、ツール、またはコールバックを削除して claude を再起動してください
• VS Code 拡張機能のチャットパネルまたはデスクトップアプリがセッションを実行している: 代わりに、IDE の統合ターミナルなどのターミナルで claude を起動してください
• ルールが Bash、Edit、または Read を対象としている: これらのツールのいずれかを対象とする拒否ルールまたは ask ルールが、起動時に存在するか、セッション中に Claude Code が読み取った場合です。後で削除しても該当します。ルールを削除して claude を再起動してください。ツールを除外するには、拒否ルールの代わりに --tools を使用してください
• permissions.blockReadsOutsideWorkingDirectories がオンになっている: この設定を true にしているすべての設定ファイルから設定を削除し、claude を再起動してください
• claude が別のセッション内で実行されている: セッションの Bash ツールまたはフックから起動された claude です。コマンドラインで変数を指定していても該当します。自分のシェルから claude を起動してください。このネストされたセッションの制限をセキュリティ境界として頼りにしないでください
• PreToolUse フックが削除に対して ask を返している: フックが返す内容を変更してください
• Claude Code がセッションを代わりに起動している: バックグラウンドセッション、分割ペインのエージェントチームのチームメイト、Remote Control サーバーが作成するセッションは、変数なしで起動します。自分のシェルから claude を起動してください
• 管理設定を読み取れない: Claude Code が管理設定のソースを正常に読み取れていません。サーバー管理設定の読み込みが失敗し続ける場合は、Remote managed settings failed to load を参照してください。レジストリのクエリ以外の失敗については、そのソースの管理者に修正を依頼してください
• Windows レジストリにクエリできない: Windows と WSL では、WSL が設定にレジストリを使用しない場合でも、この変数にはレジストリからの応答が必要です。英語以外の Windows、interop がオフの WSL、または WSL2 カーネル上のコンテナでは、クエリがセッション全体を通じて失敗する可能性があります。interop がオフの場合はオンにしてください。それ以外の場合は、それらの削除を自分で実行してください

​

PowerShell の Remove-Item

• システムパス。ファイルシステムルートとそのトップレベルディレクトリ、ドライブルートとそのトップレベルディレクトリ、およびホームディレクトリ。Claude Code はすべてのモードでコマンドを拒否し、承認を求めません。
• ワイルドカード。裸の *、または /* または \* で終わるターゲット（$dir/* のようなシェル変数の下のグロブを含む）。Claude Code は 分類器 がそれを見る前に、すべてのモードでコマンドを拒否し、承認を求めません。
• 作業ディレクトリまたはその親の 1 つ（-Recurse 付き）。Claude Code はコマンドを承認が必要な他のコマンドと同じように扱うため、承認を求めるモードでは承認を求め、auto モードでは分類器に送信し、dontAsk モードでは拒否します。bypassPermissions モードはこのチェックをスキップします。

​

関連項目

• Permissions：allow、ask、deny ルール。管理ポリシー
• Configure auto mode：分類器に組織が信頼するインフラストラクチャを伝える
• Hooks：PreToolUse および PermissionRequest フック経由のカスタム権限ロジック
• Security：セキュリティ保護とベストプラクティス
• Sandboxing：Bash コマンドのファイルシステムとネットワーク隔離
• Non-interactive mode：-p フラグで Claude Code を実行