概要
https://patrickmccanna.net/a-better-way-to-limit-claude-code-and-other-coding-agents-access-to-secrets/
詳細内容
## クロード・コードやその他のコーディング・エージェントの機密アクセスを制限する、より優れた方法
https://patrickmccanna.net/a-better-way-to-limit-claude-code-and-other-coding-agents-access-to-secrets/
**Original Title**: A better way to limit Claude Code (and other coding agents!) access to Secrets
AIコーディング・エージェントによる機密ファイルへの不正アクセスを防ぐため、Dockerよりも軽量でセキュアなLinuxサンドボックスツール「Bubblewrap」の活用を提案する。
**Content Type**: ⚙️ ツール
**Language**: en
**Scores**: Signal:5/5 | Depth:4/5 | Unique:5/5 | Practical:5/5 | Anti-Hype:5/5
**Main Journal**: 94/100 | **Annex Potential**: 88/100 | **Overall**: 94/100
**Topics**: [[Bubblewrap, Claude Code, AI Security, Sandboxing, DevSecOps]]
筆者は、Claude Code（クロード・コード）をはじめとするAIコーディング・エージェントを実行する際、`.env`ファイルや`.ssh`ディレクトリなどの機密データへのアクセスを制限する最も効果的な手法として、Linuxの非特権ネームスペース・ユーティリティである「Bubblewrap (bwrap)」を推奨している。筆者は以前、専用のユーザーアカウントと標準的なUNIXアクセス制御（ACL）を組み合わせる方法を提案していたが、ACLの管理が煩雑であることや、ネットワークの外部通信を完全に制御できないといった運用上の欠陥に気づき、より堅牢で使いやすい解決策として今回の手法に辿り着いた。
BubblewrapがDockerよりもコーディング・エージェントの保護に適している理由として、バックグラウンドでデーモンを動かす必要がなく、設定ファイル地獄に陥ることなく、コマンド一つで直接バイナリをサンドボックス内で実行できる点を挙げている。Bubblewrapを使用すれば、システムディレクトリ（`/usr`や`/bin`など）を読み取り専用でマウントしつつ、ユーザーのホームディレクトリや機密性の高いパスを隔離し、エージェントからは「空の街」のように見える環境を構築できる。
著者がこの手法を強く推進する最大の理由は「Defense-in-depth（多層防御）」と「ベンダーに依存しないセキュリティ」にある。Anthropic社はClaude CodeのクライアントにBubblewrapを組み込んでいるが、筆者は「ベンダーの実装が100%完璧であることを信じるべきではない」と主張している。万が一、クライアント側のセキュリティ実装にバグがあったり、サプライチェーン攻撃（npm経由など）を受けたりした場合でも、ユーザー自身がOSレベルでバイナリをラッピングしていれば、`rm -rf ~`のような破壊的なコマンドや、秘密鍵の外部送信を防ぐことができる。
具体的な実装案として、筆者は`bwrap`コマンドを用いて、プロジェクトディレクトリのみを書き込み可能にし、特定の`.env`ファイルを`/dev/null`で上書き（マスク）して隠蔽する設定例を提示している。これにより、エージェントに自律的な作業を許可する`--dangerously-skip-permissions`フラグを使用する場合でも、物理的なアクセス範囲をユーザー側で厳密に制御できる。このアプローチはClaude Codeに限らず、今後登場するあらゆるAIエージェントに適用可能な汎用的なセキュリティ境界として機能するため、開発者はベンダーの安全策に運命を預けるのではなく、自らの手でサンドボックスを構築するスキルを習得すべきだと筆者は説いている。