パソコンを動かす AI に、
仕事のファイルを消されたり、
情報を抜かれたりしないかが怖い
危ないかどうかは、
何に触れさせるかで変わります
だから、Claude Code が許可を求めてくる画面に答える前に、触れる範囲を先に狭めておきます。
- 専用のフォルダ（ファイルを
入れておく入れ物）で動かす - 外から入れる物は入れる前に確かめる
- 鍵のファイルを読ませない
の3つです。
この記事は、Claude Code を使ってみたいけれどセキュリティが気になる人と、AI を乗っ取る手口のニュースを見て、自分のパソコンは大丈夫かと気になった人のための記事です。
私は、AI を乗っ取る手口のニュースを読みました。外から来たファイルに書かれた文を AI が指示として読み、AI の設定を書き換えてしまう、というものです。
そこで、Claude Code に対策を頼みました。調べてもらうと、乗っ取りの跡は見つかりませんでした。ただ、跡を調べたのも Claude Code なので、これで何も無かったとは言い切れません。何をどう調べたかは、悪用する人の手がかりになるので書きません。
私は、ダウンロードのフォルダ
（ブラウザやメールから
保存したファイルが入る場所）では、
Claude Code を開かないと決めました。
コードを書けない・読めない私が、公式の説明と自分の例で、下で詳しく書きます。
- Claude Code は何が危ないのか
- 仕事のファイルがある
パソコンで使うときの、
フォルダの選び方 - ダウンロードした物や、
外から入れる物の扱い方 - パスワードや鍵の扱い方
Claude Code は何が危ないの？
Claude Code は、選んだフォルダの
ファイルを読んで直し、
命令も動かします。
だから、ファイルを消されたり、
情報を抜かれたりする道があるかどうかは
「何に触れさせるか」で変わります。
いつものチャットの Claude との違いは、パソコンの中で実際に「作って直す」ことです。
許可する前に、Claude Code が出した変更や命令を確かめるのは使う人の責任だ、とも書いています。だから、この記事では「これで安全」とは言いません。
1回ごとに出てくる許可の画面への答え方は、この記事では扱いません。この記事で書くのは、その前にしておく、触れる範囲の狭め方です。
ここから、守りの考え方を、次の順に1つずつ当てていきます。
- 開くフォルダの中身
- 外から入れる物
- 鍵
仕事のファイルがある
パソコンで使って大丈夫？：
専用のフォルダで動かす
Claude Code で開くフォルダには、
仕事のファイルを入れません。
空の専用のフォルダで動かし、
仕事のファイルを使うときは、
そのファイルだけを読ませます。
Code のタブ（デスクトップアプリで Claude Code を使う画面）で会話を始めるとき、Claude が作業するフォルダを選びます。この記事では、このフォルダを「作業の場所」と呼びます。
専用のフォルダは、特別な物ではありません。作るのに、コードは要りません。
ふだんフォルダを作るのと同じやり方で、仕事の書類のフォルダとは別に、新しい空のフォルダを1つ作ります（名前は、例えば「練習用」）。
仕事のファイルを入れないフォルダを選ぶ
Claude がふだん読むのは、選んだフォルダとその下の中です。
公式によると、確かめを求めるモード（Claude Code が、どこまで聞かずに進めるかの決まり）では、Claude Code がファイルを読み書きする道具で、選んだフォルダの外に触れる前に聞いてきます（公式のページ）。
フォルダを選んでも、
外に届くことがあります
- フォルダの外に触れるかどうかで
聞いてくるのは、
ファイルを読み書きする道具だけです。 - 聞かれて一度許した命令は、
パソコンで自分のアカウントが
書き込める場所なら、
フォルダの外にも書き込めます。 - ファイルの一覧や中身を
画面に出すだけの命令は、
どのモードでも聞かれずに
動くことがあります。
この見るだけの命令は、Claude Code に初めから決められた物（決まった命令）で、ファイルは変えません。たとえば、ファイルの一覧を出す、ファイルの中身を画面に出す、といった物です。
つまり、フォルダを選んでも、外に何も届かないとは言い切れません。それでも、Claude がふだん読み、直すのは選んだフォルダの中なので、最初から、消えて困る物が入っていないフォルダを選んでおきます。
作業の場所にしないフォルダ
- 仕事の書類のフォルダ
- ダウンロードのフォルダ
- パソコン全体
仕事のファイルを使いたいときも、仕事の書類のフォルダは作業の場所にしません。
作業の場所の会話で「〇〇を読んで」と、
使うファイルだけを指して頼むか、
中身を会話に貼ります。
仕事のファイルを、専用のフォルダに入れる必要はありません。入れてしまうと、空の専用のフォルダにした意味がなくなります。「そのファイルだけ」とは、仕事の書類のフォルダごと開くのではなく、使う1つのファイルだけを渡す、という意味です。渡し方は、会話でファイルを指して「〇〇を読んで」と頼むか、ファイルを開いて文章をコピーし、会話の入力欄に貼るやり方があります。
専用のフォルダの作り方と、Code のタブで選ぶ手順は、始め方の記事で書いています。
私は、ダウンロードのフォルダでは Claude Code を開かないと決めました。理由は次の節で書きます。
ダウンロードした物や、
外のスキルは使っていい？：
入れる前に確かめる
ダウンロードした物の扱いを相談したとき、私はこう聞きました。
自分でダウンロードしたやつは渡していいでしょ？
そのとき決めたのが、次の扱い方です。
- 読ませたいときは、
ふだん Claude Code を開いている
フォルダの会話で
「ダウンロードの〇〇を読んで」と
頼むか、中身を会話に貼ります。 - ダウンロードのフォルダや、
外から来たフォルダを、
作業の場所にして開くことはしません。
「読んで」と頼むのも、Claude に読ませることです。開くのと違うのは、読ませる物を、自分で指して渡すことです。
フォルダを作業の場所にして開くと、
確かめを求めるモードでも、
中のファイルは、
読むだけなら聞かれずに読まれます。
自分で確かめていないファイルも、
読まれることがあります。
これは私の決め方で、こうすれば安全という意味ではありません。
外から来たフォルダで開かない理由
外から混ぜた文で、AI に本来の頼みと違うことをさせようとする手口があります。公式の言葉では、プロンプトインジェクションと呼びます（公式のページ）。
この手口では、ファイルに混ぜられた文を AI が読むと、その文が指示のように働くことがあります。
気をつけるのは、
命令を動かすときだけではありません。
何を読ませるかも大事です。
外から来たフォルダに何が入っているかは、自分では分からないことがあります。そこを作業の場所にすると、手口の文が混ざったファイルがあっても、聞かれないまま Claude に読まれることがあります。「読んで」と指して渡すなら、渡す前に確かめられます。
ニュースを見て、私が頼んだこと
ニュースを読んだあと、その記事のリンクを Claude Code の会話に貼って、この記事を読んで対策したい、と頼みました。Claude Code に調べてもらうと、乗っ取りの跡は見つかりませんでした。
跡を調べたのも Claude Code なので、
これで何も無かったとは言い切れません。
この記事では、この結果を、
安全だというしるしにはしません。
対策は、Claude Code が出した案を聞いて、その案で作ってもらいました。入れたのは、AI の設定が書き換えられないかを見張る仕組みです。
見張りの中身は、悪用する人の手がかりになるので、この記事では書きません。
この見張りは、私が自分の使い方に足した物です。
この記事で読む人にすすめるのは、
見張りを作ることではなく、
3つの守りです。
- 専用のフォルダで動かす
- 外から入れる物は入れる前に確かめる
- 鍵のファイルを読ませない
どれも、見張りが無くてもできます。
スキル・プラグイン・MCP サーバーは、
入れる前に確かめる
私も前に、Claude Code にこう相談しました。
よくSNSでGithubとかで便利なclaudecodeでのスキルとか公開されていて、導入したいけど、私は知識がないから、ウイルスとか情報が抜かれたりとかそういった危険性を感じて導入できません。
GitHub は、ソフトウェアを作るためのサービスです。
外から入れる物には、次のような物があります。
| 外から入れる物 | 何をする物か |
|---|---|
| スキル | Claude に、 決まった仕事の手順を足す物 |
| プラグイン | スキルや道具をまとめて Claude Code に足す物 |
| MCP サーバー | Claude Code を外の道具や サービスとつなぐ部品 |
デスクトップアプリの Code のタブからも、プラグインを足せます。
公式は、入れたプラグインは、
使っている人と同じ権利で、
パソコンの上で
どんなプログラムでも動かせる、
と書いています。
どこの一覧から来たプラグインでも、
入れる前に中身を見るように、
とも書いています。
スキルは、Claude への指示として入り、Claude がすることに効きます。プラグインに入っているスキルも同じです。
MCP サーバーは、つなぐ前に信頼できるかを確かめるように、と公式は書いています（公式のページ）。自分で作るか、信頼できる提供元の物を使うのがすすめで、Claude を作っている会社は、自社の一覧に載せる前に基準に照らして確かめるが、MCP サーバーのセキュリティの監査や管理はしていない、とも書いています。
入れる前に、
出どころと中身を確かめます。
- 出どころは、自分で作った物か、
信頼できる提供元の物か。
MCP サーバーでは、公式がすすめているのはこの2つです。
公式の一覧に載っていても、
MCP サーバーの安全は公式が監査していません - 中身は、何をする物か。
スキルは、Claude への指示として入ります。
プラグインは、使っている人と同じ権利で、
プログラムを動かせます
公式は、入れる前に、プラグインの中の次の物を読むように書いています。
- 動かす命令が書かれたファイル
- つなぐ先と、
そのために動かす命令が
書かれたファイル - 動かすファイルが入ったフォルダ
どれも、プラグインが公開されているページ（GitHub など）で開けます。
ファイルの名前と確かめ方は、公式の「プラグインのセキュリティと信頼」のページにあります。ただ、このページの手順は、デスクトップアプリの画面に沿っては書かれていません。
パスワードや鍵は
Claude Code に見られる？：
鍵のファイルを読ませない
ニュースの記事を読んで対策を頼んだときの、私の感想です。
ログイントークンやAPIやMCPなどの管理を書き換えたりなどの対策もしっかりしないとなと思いました。
鍵の入ったファイルは、
Claude Code の作業の場所に置きません。
ここでの鍵は、ログインや API の鍵のことで、サービスを使うときに本人だと示すための文字の並びです。
Claude Code には、特定のファイルを読ませない決まりを置けます（書き方は公式のページ）。ただ、効く範囲には限りがあると公式は書いています。
そのうえで、鍵の入ったファイルは、最初から作業の場所に置きません。Claude がふだん読む所から外しておくためで、「専用のフォルダで動かす」の節と同じ考え方です。
外に置くのは、
読まれにくくするためです。
読まれなくなる、
という意味ではありません。
中身を表示するだけの決まった命令は、
どのモードでも聞かれずに
動くことがあるからです。
鍵は作り直さなかった
鍵の作り直しは、新しい鍵を作って、前の鍵を使えなくすることです。
ニュースの後、鍵の作り直しは、今はしませんでした。
私は、作り直すかどうかを、
AI の設定が書き換えられた
跡があるかで決めました。
コードが読めない私は、跡があるかを Claude Code に調べてもらいました。跡は見つかりませんでした。何をどう調べたかは、悪用する人の手がかりになるので書きません。
これは私の今回の判断です。跡が見つからなくても、何も無かったとは言い切れないので、読む人に当てはめる決まりにはしません。
読む人が作り直すかどうかは、この記事では決められません。私にそろえなくて大丈夫です。
鍵が漏れたかもしれないと
思ったときは、
どうすればよいかを、
その鍵を使うサービスで
確かめてください。
たとえば Claude の API の鍵なら、そう思うときはすぐに使えなくするよう、Claude を作っている会社のヘルプがすすめています（ヘルプのページ）。
漏れる前の守りとして、この記事がすすめるのは、鍵の入ったファイルを作業の場所に置かないことです。
よくある質問
Claude Code は
安全だと言い切れますか？
言い切れません。
公式も、守りの仕組みはリスクを大きく減らしますが、すべての攻撃に効くわけではないと書いています。
この記事で書いたのは、触れる範囲を先に狭める考え方までです。
勝手にファイルを消したりしませんか？
モードによります。
今のモードは、入力欄の下の行にあるモードの場所で見られます。Manual（確かめを求めるモード）なら、ファイルを直したり命令を動かしたりする前に、Claude Code が聞いてきます（デスクトップのページ）。
公式の説明では、Manual でも、作業の場所の中のファイルを読むだけなら、聞かれずに進みます。中身を表示するだけの決まった命令も、聞かれずに動くことがあります。聞かれ方はモードで変わるので、消えて困る物や鍵は、最初から作業の場所に入れません。
ニュースで見た
「AI を乗っ取る手口」は、
デスクトップアプリでも心配ですか？
心配がゼロとは言えません。
デスクトップアプリでも、Claude Code は、作業の場所のファイルを読んで動きます。ファイルに混ぜられた文を Claude Code が読むと、その文が指示のように働くことがあります。
私は、ダウンロードのフォルダでは Claude Code を開かないと決めました。手口の細かい手順と、報じた記事の名前は、この記事では書きません。書くのは、守りの考え方までです。
まとめ：最初に確かめること
| 守り | すること |
|---|---|
| 専用のフォルダで 動かす | 仕事のファイルを、 作業の場所に 入れないでください |
| 入れる前に 確かめる | 外から来た物は、 出どころと中身を見てから使ってください |
| 鍵のファイルを 読ませない | 鍵の入ったファイルを、 ふだん読まれる 作業の場所に 置かないでください |
やってみること
Claude Code で開く
フォルダの中を、
一度見てみてください。
仕事のファイルやダウンロードした物が
入っていたら、
空の専用のフォルダに替えてください。
次は、始め方の記事で、空の専用のフォルダを作って、デスクトップアプリで Claude Code を始めてみてください。
