AIに自制を
求めるのは
無理ゲー。

プロンプトで縛るな、
ハーネスで止めろ

ハーネス = AIを動かしている外側の仕組み（Claude Codeそのもの）。AIに「危険なコマンドは慎重に」とお願いするより、ハーネス側で物理的にブロックする方が確実です。ATMに引き出し上限があるのと同じ発想。

具体的にやってること

Claude Codeには PreToolUse Hook（コマンド実行直前に自動チェックを挟む機能）があります。私の環境では、以下のコマンドは正規表現で問答無用にブロック：

• rm -rf / 系（パソコンの中身を全消去）
• DROP DATABASE / DROP TABLE / TRUNCATE（本番DBの破壊）
• git push --force ... main（mainブランチの履歴上書き）

AIが「実行します」と判断しても、フックが {"decision": "block"} を返すと実行はキャンセルされる。プロンプトは破れるが、フックは破れない。

実際のhook（~/.claude/settings.json）

{
  "hooks": {
    "PreToolUse": [{
      "matcher": "Bash",
      "hooks": [{
        "type": "command",
        "command": "INPUT=$(cat); CMD=$(echo \"$INPUT\" | jq -r '.tool_input.command');
if echo \"$CMD\" | grep -qiE '(rm\\s+-rf\\s+/|drop\\s+database|drop\\s+table|truncate\\s+table|--force\\s+push.*main)'; then
  echo '{\"decision\":\"block\",\"reason\":\"危険なコマンドを検出\"}'
else
  echo '{\"decision\":\"approve\"}'
fi"
      }]
    }]
  }
}

Auto Mode × フックの二段構え

自分の環境に
シークレットが
平文で残ってないか

シークレット = APIキー・パスワード・トークン等の認証情報。本来は暗号化された場所か環境変数に置くべきものが、設定ファイルやシェル履歴に そのまま生の文字列で残ってないか を全員でチェックします。たぶん1人1個は出ます。私自身、調査して2件見つけて冷や汗かきました。

3ステップでできる

1. 下のプロンプトをコピー
2. 自分のClaude Codeにペースト
3. 結果をシェア（マスク表示されるので画面共有しても安全）

配布プロンプト

配布ファイル: ~/Downloads/secret_scan_prompt.txt

私の環境にAPIキー・パスワード・トークン・秘密鍵が
平文で残っていないかをチェックしてください。

【点検する場所】
- ~/.claude/settings.json
- ~/.claude/settings.local.json
- ~/.zshrc / ~/.bashrc / ~/.bash_profile
- ~/.zsh_history（最後の3000行）

【検出パターン】
- Anthropic API Key (sk-ant-api...)
- OpenAI / Google / AWS / GitHub / Slack のAPIキー
- WordPress App Password（4文字×6スペース区切り）
- 秘密鍵（-----BEGIN ... PRIVATE KEY-----）
- password= / passwd= の平文

【報告ルール】
- 実際の値は絶対に全文出力しない（先頭8文字+...でマスク）
- ファイルパス:行番号:種類:マスク値 の形式
- 各ヒットに修復アクション併記
- ヒットゼロなら「クリーンです」と1行で報告

こんな結果が返ってくる

シークレットスキャン結果: 2件ヒット

1. ~/.claude/settings.local.json:24
   種類: Anthropic API Key
   値: sk-ant-a...（マスク）
   対応: console.anthropic.com で revoke
         → 環境変数 ANTHROPIC_API_KEY に退避

2. ~/.zshrc:42
   種類: WordPress App Password
   値: tgln EOX...（マスク）
   対応: WP管理画面で再発行 → ~/.netrc に退避

なぜ漏れるのか（2大漏洩源）

基幹DBをAIに開放する
多層防御の設計

いま、モカの基幹システム（取引先・案件・財務・クリエイター65万件）を MCP（AIアプリから外部システムを操作するための共通プロトコル）で公開する計画を進めてます。便利な反面、AIが暴走したらデータが消える。だから設計時点で防御を4層重ねます。

全体アーキテクチャ

[Claude Code / Claude Desktop]
        │  stdio
        ▼
[ブリッジプロセス (Node.js)]
        │  HTTP SSE + Bearer PAT
        ▼
[Heroku: moz-mocha Laravel]
        │  /mcp エンドポイント
        │  Sanctum認証 → ability → is_admin → 実行
        ▼
[McpToolService]
        │
        ├─ PostgreSQL（DB操作）
        ├─ Redis Queue（bulk処理）
        └─ mcp_audit_logs（全書き込み記録）

防御① 認証・認可の3層構造

ユーザーごとに PAT（Personal Access Token = 個人専用トークン）を発行。トークンには ability（権限ラベル）を付けて、できる操作を限定します。

PATが万が一漏れても、abilityが付いてなければ何もできない。さらに削除系は 管理者ユーザーしか実行できない。abilityチェックを通過しても is_admin=false なら403。

防御② 取り返しのつかない操作は2段階フロー

削除・失注マーク・入金済みマークは、いわゆる destructive 操作（戻せない操作）。AIに一発で実行させず、dry-run → 人間確認 → 本番実行を強制します。

AIのループ誤動作で取引先テーブルが空になる事故を、構造的に 防ぐ。

防御③ レート制限（暴走対策）

防御④ 全書き込みを監査ログに残す

「誰が・いつ・どのツールを・どの引数で・dry-runか実行か」を mcp_audit_logs テーブルに全件記録。事故が起きた時に巻き戻せます。

CREATE TABLE mcp_audit_logs (
    id          BIGSERIAL PRIMARY KEY,
    user_id     BIGINT REFERENCES users(id),
    tool_name   VARCHAR(100) NOT NULL,   -- 例: projects.create
    params      JSONB,                    -- 引数（PAT・パスワードは除外）
    result      JSONB,
    dry_run     BOOLEAN DEFAULT FALSE,
    confirmed   BOOLEAN DEFAULT FALSE,
    ip          VARCHAR(45),
    created_at  TIMESTAMP NOT NULL DEFAULT NOW()
);

設計だけ語っても
説得力が弱いので、
今日 moz に実装した。

設計書を眺める会じゃ意味がない。共有会のために、最小スコープ（読み取り3ツール）で実装してきました。約3時間の作業。これから皆さんの前で動かします。

追加・変更したファイル

合計 約300行 のコードと、Sanctumライブラリ1個。これだけで基幹DBがAIから操作可能になる。

PAT発行はartisanコマンド一発

$ docker compose exec app php artisan mcp:issue-token \
    --user=1 \
    --abilities=clients:read,projects:read,financials:read

============================================================
MCP PAT を発行しました
============================================================
User       : 岡崎耕平 (id=1, is_admin=true)
Abilities  : clients:read, projects:read, financials:read
Expires    : 2026-08-20 11:11

Token (平文・1回限り表示):
1|reXabZH4GZ2iZuvuYWoOSh0xzua1zxNI3uMQCHHgb...

デモ① 経営サマリーを聞く

[financials.get_summary を呼んだ]
{
  "year_month": "2026-05",
  "revenue_target": 19600000,
  "revenue_actual": 25270000,
  "achievement_rate_pct": 128.9,
  "gross_profit_actual": 7220000,
  "gross_profit_rate_pct": 28.6
}

→ 今月は目標1,960万に対し実績2,527万、
  達成率128.9%です（粗利率28.6%）。

デモ② 優先取引先を聞く

[clients.list を priority=S で呼んだ]
{
  "total": 1,
  "clients": [{
    "id": 254,
    "company_name": "ナッシュ株式会社",
    "type": "client",
    "priority": "S",
    "status": "brief_received",
    "next_follow_up_at": "2026-03-26",
    "user": { "id": 3, "name": "栗原龍司" }
  }]
}

デモ③ Ability制御の実演（ハイライト）

「鍵に権限ラベルをつける」設計が本当に効くか、その場で見せます。financials:read のみの制限トークンを発行し直して、わざと clients.list を呼ばせます。

financials.get_summary
→ { "achievement_rate_pct": 128.9, ... }
  正常に返却

clients.list
→ {
  "error": {
    "code": -32003,
    "message": "Forbidden:
      このトークンには
      clients:read の権限が
      ありません"
  }
}

これが「PAT × Ability × is_admin の3層」の実物。トークンが漏れても、abilityがなければ何もできない。

今日の実装に入ってないもの（次フェーズ）

• 監査ログ（mcp_audit_logs テーブル）— 設計書あり、Phase 2で実装
• destructive操作（削除・mark_lost・mark_paid）— dry-run/confirmフロー含む
• レート制限（ThrottleRequests + Redis sliding window）
• 本番デプロイ（Heroku）— ローカルDockerでのデモのみ
• 残り51ツール（今日は読み取り3ツールのみ実装）

持ち帰り4行

明日から自分のClaude Code環境に効く話。