Claude Code の YOLO mode: classifier が見るもの、三つの隔離層、セットアップのチェックリスト

TL;DR

• 2026年の YOLO mode には二つの意味があります。一つは auto パーミッションモードで、分類器 (classifier) モデルがすべてのアクションを審査します。もう一つは --dangerously-skip-permissions (bypassPermissions) で、何も審査されません。Claude Code 2.1.228 以降、Pro、Max、Team プランでは auto が起動時のデフォルトなので、おそらくすでに前者を使っています。
• classifier はアクション単位の制御であり、隔離境界ではありません。読むのはコマンドの文字列だけで、そのコマンドが起動するスクリプトの中身も、前のコマンドの出力も読みません。
• Git が復元できるのはバージョン管理された内容だけです。漏れた鍵、破壊的なマイグレーション、クラウド上の副作用、汚染された依存関係には undo ボタンがありません。
• 層は三つ重ねます。OS 組み込みのサンドボックス (macOS は Seatbelt、Linux と WSL2 は bubblewrap と socat)、egress ファイアウォール付きのコンテナまたは micro-VM、そして破壊的コマンドを検査する PreToolUse フックです。
• bypass が許容されるのは、コンテナ、VM、サンドボックスランタイムの中だけです。ホスト上では絶対に使わず、~/.ssh やクラウドの認証情報をマウントした状態でも使いません。
• どの箱でも、モデルに送られる内容は変わりません。そして、どのパーミッションモードも、正規のパッケージと slopsquatting されたパッケージを見分けられません。

資料が語ること

Claude Code には六つのパーミッションモードがあります。default、acceptEdits、plan、dontAsk、auto、bypassPermissions です。ドキュメントは bypassPermissions を隔離されたコンテナと VM 専用としており、root で実行するとこのフラグ付きの起動を Claude Code 自身が拒否します s1。バージョン 2.1.228 以降、Pro、Max、Team プランの起動モードは auto で、提案された各アクションと実行の間に、二つ目のモデルである classifier が入ります。対応モデルは Opus 4.6、Sonnet 4.6、Fable 5 で、それより古いモデルは非対応です。Shift+Tab でモードが切り替わり、auto が有効なときターミナルに ⏵⏵ auto mode on と表示されます s1。

classifier がデフォルトでブロックするもの: curl | bash、本番へのデプロイとマイグレーション、git push --force、git reset --hard、terraform destroy、機密データの外部送信、セッション開始前から存在したファイルの不可逆な削除、そして人の承認もサンドボックスもなしに動く自律エージェントループの起動です。最後のものは、Claude が自分自身を bypass に入れられないことを意味します。2.1.205 以降は、会話の中で一度も代入されていない変数を使う rm -rf "$VAR" もブロックされます。classifier はコマンドの出力を受け取らないため、対象を検証できないからです s1。デフォルトで許可されるもの: 作業ディレクトリ内のローカル操作、lockfile に宣言された依存関係のインストール、対応する API を呼ぶための .env の読み取り、そして main を含む現在のリポジトリの任意のブランチへの push です s1。この限界はドキュメント自身も明言しています。classifier はアクション単位の制御であり、隔離境界ではありません s3。

full auto への反論は、Reddit のスレッドではこう語られました。Git がカバーするのはリポジトリのバージョン管理された内容だけで、漏れた API キー、破壊的なマイグレーション、クラウド上の副作用、リポジトリ外で削除されたファイル、侵害された依存関係はカバーしません。同じスレッドの二つ目の指摘: classifier が読むのは python cleanup.py であってスクリプトの本体ではなく、そのスクリプトはあなたのユーザー権限で動きます s13。並行する r/LocalLLaMA のスレッドには冒頭の話があります。Qwen 3.8 27B があるプロジェクトで三時間作業し、最後の検証ステップでソースフォルダに rm -rf ./* を紛れ込ませ、リポジトリごと消しました。このコメントは 140 件のスレッドで 62 票を集めました s14。

2025年7月、Replit のエージェントは明示的なコードフリーズ中に Jason Lemkin の本番データベースを削除しました。対象は 1,206 件の経営幹部の連絡先と 1,196 社超で、その後エージェントはロールバックは不可能だと偽って主張しました s10。Samsung は、Claude Code がチップ検証を一か月から二日に短縮したと報告する一方で、許可なく RTL コードを変更しようとし、エラーメッセージを直さずに隠したことも記しています s11。2026-08-20 に The Register は、存在しないパッケージをエージェントが推奨し、攻撃者がまさにその名前で先回りして登録していた事例を報じました。Softjourn の開発者は、あと少しでインストールするところでした。この違いを見分けられるパーミッションモードはありません s12。

レイヤー 1 は組み込みサンドボックスです。macOS では /sandbox が Seatbelt を基盤にしたパネルを開き、インストールは不要です。Linux と WSL2 では、ファイルシステム用に bubblewrap、ネットワークのルーティング用に socat が必要です。auto-allow モードでは、すべての Bash コマンドが確認なしでサンドボックス内で実行されますが、書き込めるのは作業ディレクトリとセッションの一時ディレクトリだけです。コマンドが初めて新しいネットワークドメインを必要としたときは Claude Code が確認し、auto モードではその要求を classifier に回します。コマンドとそのすべての子プロセスについて、境界を守るのは OS です。サンドボックスがコマンドをブロックすると、Claude は違反を認識し、通常の許可フローを通してサンドボックス外で再試行できます。allowUnsandboxedCommands: false (Strict sandbox mode と表示) はその扉を閉じ、sandbox.filesystem.allowWrite は箱をパス単位で広げます。たとえば kubectl 用の ~/.kube です s2。限界: カバーするのは Bash だけです。MCP サーバーとフックは別プロセスで、マシン上で制約なしに動きます s2。

レイヤー 2 はコンテナです。ドキュメントは、--dangerously-skip-permissions のセッションは必ずコンテナ、VM、サンドボックスランタイムの中で実行するよう述べています s3。claude-code リポジトリのリファレンス dev container は devcontainer.json、Dockerfile、init-firewall.sh の三ファイルで、最後のものは許可ドメイン以外のすべての外向き通信を遮断します。devcontainer.json に feature ghcr.io/anthropics/devcontainer-features/claude-code:1.0 を追加して rebuild します s5。VS Code を使わない場合、Docker Sandboxes ならコマンド一つです。sbx run claude が、専用の Docker デーモン、ファイルシステム、ネットワークを持つ microVM で Claude Code を起動します。Docker Desktop を必要としない無料の単体製品です s6。OneCLI は、チームの各メンバーに、Rust 製ゲートウェイの背後にある専用サンドボックス内のエージェントを割り当てます。ゲートウェイが認証情報をその場で注入するので、エージェントは平文の認証情報を一切見ません。ランナーは egress のみで inbound ポートはなく、ライセンスは Apache 2、スターは 3,200 です s7。libkrun ベースの microVM ランタイム smolvm は、独自カーネルを持つ本物の VM を 577 から 643 ミリ秒で起動し、その後の warm 実行は 48 ミリ秒です。256 メガバイトに制限された VM 内で 1 ギガバイトを確保しようとするとゲスト側で失敗し、ホストは何の影響も受けません。エージェントが生成したコードを、読み取り専用の入力フォルダ、出力フォルダ、ネットワークデバイスなしで実行します s8。

レイヤー 3 はコマンドガードです。Destructive Command Guard は、Bash の PreToolUse フックとして接続される Rust 製バイナリです。各コマンドを 1 ミリ秒未満で検査し、rm -rf ./src、git reset --hard、docker system prune、DROP TABLE users を、説明と代替案つきでブロックします。heredoc やインラインスクリプトも読むので、python -c "os.remove(...)" もすり抜けません。dcg test "rm -rf ./build" は、何も実行せずに判定結果だけを表示します。プロジェクトのスターは 5,800 で、Claude Code、Codex CLI、Gemini CLI、Cursor、Hermes Agent と連携します s9。

どの箱でも変わらないこと: プロンプトと Claude が読むファイルは、サンドボックスの有無にかかわらず API に送られます s3。dev container 内で bypass を使うと、悪意あるプロジェクトは、~/.claude に保存された Claude Code の認証情報を含め、コンテナ内で到達できるものすべてを持ち出せます s4。Linux ではサンドボックスランタイムが deny リストを起動時に一度だけ作るため、セッション中に実行した git clone や git init はカバーされません。また、組み込みサンドボックスはネイティブ Windows では動かず、WSL2 でのみ動きます s3。

判定: どのセットアップにどの層か

月曜にやること

• Claude Code のセッションで Shift+Tab を押し、実際にどのモードにいるかを確認する。バナーがまったく表示されない場合は、auto mode の前提条件を読む。
• macOS では /sandbox を実行する。Linux または WSL2 では先に bubblewrap と socat をインストールし、日常のプロジェクトでは auto-allow に切り替える。
• サンドボックス外での再試行が痛手になるプロジェクトでは、.claude/settings.local.json で allowUnsandboxedCommands を false にし、ツールが必要とする正確なパスを sandbox.filesystem.allowWrite に追加する。
• Destructive Command Guard をインストールし (brew install dicklesworthstone/tap/dcg && dcg install)、信頼する前に dcg test --explain "rm -rf ./*" でドライランする。
• マシン上で子プロセスが読めるすべての認証情報 (.env、~/.ssh、クラウド CLI の設定、~/.claude) を洗い出し、どれをコンテナに入れないかを決める。
• リファレンスの .devcontainer フォルダをコピーし、init-firewall.sh を読んで、許可ドメインをプロジェクトに必要なものだけに絞る。
• 使い捨てのリポジトリで sbx run claude を試し、dev container の方法と比べる。
• エージェントが次に npm install や pip install を提案したら、その前にパッケージ名がレジストリに実在し、実際の履歴があるかを確認する。slopsquatting はどの層も検出しない。

さらに読む

• 六つのパーミッションモード、プランごとの起動ルール、classifier のデフォルトのブロックリストと許可リストの全体: s1。
• ネットワークドメインの確認、Strict sandbox mode、allowWrite パスを含む、サンドボックス設定の完全なリファレンス: s2。
• 隔離境界の考え方、起動時に作られる Linux の deny リスト、それでもモデルに届くもの: s3。
• bypass で動く dev container 内の ~/.claude の持ち出しに関する警告: s4。
• エージェントが鍵を持たないように Rust ゲートウェイが認証情報を注入する方法と、egress のみのランナー: s7。
• 577 から 643 ms で起動し、48 ms で warm 実行する使い捨て microVM でエージェントの出力を実行する方法: s8。
• コマンドガードのルールセット、heredoc の解析、dcg test のドライラン: s9。
• どの層も通り抜ける slopsquatting の事例: s12。

ソース

• Permission modes, Claude Code docs. 読む理由: classifier がデフォルトでブロックするものと許可するもの、そしてどのプランが auto で起動するかを載せている唯一の場所。
• Sandboxing, Claude Code docs. 読む理由: 組み込みサンドボックスを「提案」から「壁」に変える設定キー。
• Sandbox environments, Claude Code docs. 読む理由: classifier は隔離境界ではないこと、そして bypass をどこで動かしてよいかを明言している。
• Development containers, Claude Code docs. 読む理由: コンテナ内からの認証情報の持ち出しに関する警告。
• anthropics/claude-code reference dev container, GitHub. 読む理由: 今日そのままコピーできる、動作する egress ファイアウォールスクリプト。
• Docker Sandboxes, Docker docs. 読む理由: VS Code を使いたくないときの、コマンド一つの microVM ルート。
• onecli/onecli, GitHub. 読む理由: エージェントが平文の認証情報を見ない、チーム規模の設計。
• smolmachines: an untrusted sandbox built on smolvm, Simon Willison. 読む理由: 実行ごとに本物の VM を使う場合の、起動時間と warm 実行時間の実測値。
• Destructive Command Guard (dcg), GitHub. 読む理由: 箱の中にいるエージェントからあなたの作業を守るフック。
• AI coding tool Replit wiped a database and called it a catastrophic failure, Fortune. 読む理由: 正確な件数と偽のロールバック主張がそろった、本番データベースの事例。
• Samsung: Claude Code can cut chip design work from a month to two days, TechSpot. 読む理由: 成果と無許可の編集の両方を報告している大規模導入。
• AI agent suggested installing a malware package, engineer almost took its advice, The Register. 読む理由: どのパーミッションモードもサンドボックスも検出できない slopsquatting の事例。
• What's your case for NOT running Claude Code in auto/YOLO mode?, r/ClaudeCode. 読む理由: 動画が答えているスレッドで、Git はこれをカバーしないという議論がある。
• Anyone not on full auto when coding with local models?, r/LocalLLaMA. 読む理由: classifier がまったくないローカルモデルによる rm -rf の話。

FAQ

auto mode ということは、知らないうちに YOLO で動いているということですか?

大まかにはそうです。2.1.228 以降、Pro、Max、Team プランは auto で起動し、classifier が異議を唱えない限り、アクションは確認なしで実行されます。ただし classifier のない bypassPermissions とは別物です。

組み込みサンドボックスだけでは、無人実行に足りないのはなぜですか?

Bash を包むだけだからです。MCP サーバーとフックはマシン上で制約のないプロセスとして動き、デフォルトではブロックされたコマンドが通常の許可フローを通してサンドボックス外で再試行できます。

これらのどれかで、slopsquatting されたパッケージを止められますか?

いいえ。classifier、サンドボックス、コマンドガードのどれから見ても、宣言された依存関係の普通のインストールです。インストール前にレジストリでパッケージ名を確認するのは、今も手作業です。