AIに勝手をさせない壁を、3層で作る（前編）

壁は、何を守りたいかが決まらないと作れません。 まず、次の3種類に分けて、思いつくものを紙かメモに書き出します。多くて5つで十分です。

5つまでにする理由：何でも止めると、AI も自分も作業が進まなくなり、 いずれ「面倒だから壁ごと外そう」となります。止めるのは壊れると取り返しがつかないものだけに絞ります。

書き出したものを、どの層で止めるかに割り振ります。3つの層は、止める場所が違います。

図の見方：左から右へ、AI がしようとした操作が3つの壁を順に通り、すべて通ったものだけが実行されます。 層1は「どの場所・どの操作か」という対象、層2はコマンドの書き方（やり方）、 層3は前の2枚をすり抜けたものを止めます。 層3のサンドボックスとは、コマンドを「箱の中」だけで動かし、箱の外のファイルには触れなくする仕組みです（後編で作ります）。

何を書き出せばよいか迷うなら、Claude Code に質問してもらうのが早いです。 設定には触らせず、聞き取りだけにします。

私の Mac で、AI に「読ませたくないもの」「書き換えさせたくない場所」
「やらせたくない操作」を整理したい。
私に質問して、3つに分けて箇条書きにまとめて。
設定ファイルには書き込まず、まとめを見せるだけにして。
パスワードや鍵の中身そのものは、私に聞かないで（置き場所の名前だけでよい）。

「値は聞かない」と付ける理由：守りたいのは中身なのに、整理のために中身を会話へ書いては本末転倒だからです。 壁に書くのは置き場所の名前（パス）だけで、値は書きません。

フックとは、「ある瞬間に、自動で走る小さなプログラム」のことです。 Claude Code では、AI が道具を使う直前に走らせられます。 そこでコマンドの中身を検査して、止めるか通すかを決めます。

決め方は、LAB 010 でも使った終了コードです。 フックが 2 で終われば「止める」、0 で終われば「通す」。 止めるときに標準エラー出力（エラー用の出力先）へ書いた文章は、理由として AI に返ります。

3-1　いちばん小さなフックを置く

例として、層1では止められなかった git add -A （何が入るか見ずに全部まとめて記録する操作。秘密のファイルを巻き込みやすい）だけを止めるフックを作ります。 Python は Mac に最初から入っているものを使います（LAB 005 で git が使えていれば、通常入っています）。 ターミナルに、次を貼ってください。 mkdir -p はフォルダを作る命令、cat > ファイル <<'EOF' から EOF までは「この間の文章をそのファイルに保存する」という書き方です。

mkdir -p ~/.claude/hooks
cat > ~/.claude/hooks/guard.py <<'EOF'
#!/usr/bin/python3
import json
import shlex
import sys

payload = json.load(sys.stdin)
command = payload.get("tool_input", {}).get("command", "")

try:
    words = shlex.split(command)      # 引用符を解釈して、言葉ごとに分ける
except ValueError:
    words = command.split()

if "git" in words and "add" in words and ("-A" in words or "--all" in words or "." in words):
    sys.stderr.write("git add -A / git add . は使えません。ファイルを指定して git add <ファイル名> にしてください\n")
    sys.exit(2)                       # 2 ＝ 止める

sys.exit(0)                           # 0 ＝ 通す
EOF

• Claude Code は、実行しようとするコマンドを JSON（設定を書くときと同じ決まった書式）にして、このプログラムの入力へ渡します。command がそのコマンドの文章です
• sys.exit(2) が「止める」の合図で、直前の sys.stderr.write(…) の文章が理由として AI に届きます
• 理由の文章は、AI が読んで次の行動を決めるものです。「何がいけないか」と「代わりに何をすればよいか」を1文ずつ書くと、AI が回り込まずに直してくれます

次に、フックを呼び出す設定を、STEP 2 の settings.json に足します。 "permissions" と同じ階層（いちばん外側の { } の中）に、 カンマで区切って並べます。足したあとは、STEP 2 の検査コマンドを必ずもう一度走らせてください。

  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          { "type": "command", "command": "/usr/bin/python3 ~/.claude/hooks/guard.py" }
        ]
      }
    ]
  }

読み方：PreToolUse は「道具を使う直前」、 matcher: "Bash" は「ターミナルのコマンドのときだけ」の意味です。

3-2　AI を使わずに、フックだけを試す

フックはただのプログラムなので、AI を呼ばずに、自分で入力を流し込んで確かめられます。 止めたいもの・通したいものを、1つずつ試します。

echo '{"tool_input":{"command":"git add -A"}}' | /usr/bin/python3 ~/.claude/hooks/guard.py; echo $?
echo '{"tool_input":{"command":"git add memo.txt"}}' | /usr/bin/python3 ~/.claude/hooks/guard.py; echo $?
echo '{"tool_input":{"command":"echo \"git add -A は使わない\""}}' | /usr/bin/python3 ~/.claude/hooks/guard.py; echo $?

1行目だけ理由の文章が出て最後が 2、2行目・3行目は 0 になれば合格です。 3行目は、引用符で包んだ文章の中に「git add -A」という文字があるだけで、走るコマンドは echo（文字を表示するだけ）なので、止めてはいけない例です。引用符が無いと別々の言葉に分かれてしまい、止まります（それが正しい動きです）。

言葉に分けて（shlex）から見る理由：コマンド全体を文字列として探すだけだと、 今のように「説明の文章の中に書いてあるだけ」のものまで止めてしまいます。 逆に git add "-A" のように引用符で隠した形は、分けて見れば捕まえられます。 それでもこの見本は最小の形で、取りこぼしや誤爆はゼロではありません。 誤爆を見つけたら、その例を1つ試験に足して直します（LAB 010 の「直した箇所を覆う確認を足す」と同じです）。

フックは「止める」だけでなく、「人にたずねる」も返せます。 普段は使わないが完全には禁止したくない操作（保護の仕組みを外して実行する、など）に向いた形です。 人が見ているときは確認が出て、人がいない実行ではたずねる＝自動的に拒否になります （この挙動は設定の記録にあるものです。自分の環境では、起動して試して確かめてください）。 人がいない時間の実行は、次の LAB 014 で扱います。