ガイド公開日
権限モードで、どこまで自分が見るかを決める
Claude Code 集中講座の第5回。6つの権限モードを整理し、人の代わりに審査する auto モードが何を見て何を見ないかを扱います。許可の規則、保護された場所、どのモードでも自動にならない操作も説明します
第4回では、確認が出るたびに1つずつ答えていました。これを続けると、10分に1回手が止まります。
かといって、全部やめてしまえば、第4回で決めた「戻せない操作は止める」という線が誰も引かなくなります。Claude Code には、この間に入る選択肢が用意されています。
モードは6つある
公式ドキュメントが挙げているモードは6つです。切り替えは、デスクトップアプリではモードの選択、ターミナルでは Shift+Tab です。
| モード | 確認なしに動くもの | 向く場面 |
|---|---|---|
default（Manual） | ほぼ何も。ツールごとに初回に聞く | 慣れないコード、慎重にやりたい作業 |
acceptEdits | 読み取り、ファイル編集、mkdir や mv などの基本操作 | 自分で見ながら直していく作業 |
plan | 読み取り。ソースは編集しない | 変える前に調べる作業 |
auto | ほぼ全部。ただし裏で安全性の検査が入る | 長い作業、確認疲れを避けたいとき |
dontAsk | 読み取りと、あらかじめ許可したものだけ。他は自動で拒否 | CI やスクリプト |
bypassPermissions | 全部 | 隔離されたコンテナと仮想マシンだけ |
名前について1つ補足します。default の表示名は Manual です。デスクトップアプリでもターミナルでもそう出ます。設定ファイルに書く値は default で、manual も別名として受け付けられます。
公式ドキュメントによれば、Pro、Max、Team のプランでは、セッションが始まるときの既定は auto モードです。何も設定しなければ、そこから始まります。
どのモードでも自動にならないもの
先に、モードを緩めても変わらない部分を押さえておきます。公式ドキュメントは、次のものを bypassPermissions を含むどのモードでも自動承認しないと書いています。
- 明示的な ask 規則に一致した操作
- 利用者の入力を求める種類のツール（質問を返すもの、MCP 側で対話が必要と指定されたもの）
- 重要な場所を対象にした
rmとrmdirの削除 - セッションをまたぐメッセージの安全装置
削除がこの一覧に入っているのは、戻せないからです。第4回で決めた線が、道具の側にも引かれています。
もう1つ、保護された場所という考え方があります。.git と .claude への書き込みは、bypassPermissions 以外のモードでは自動承認されません。設定と履歴そのものを書き換える操作は、別扱いされています。
auto モードは、省くのではなく代わりに審査する
ここがこの回の中心です。
auto モードを「確認を全部飛ばすモード」だと思うと、判断を誤ります。公式の説明では、auto モードでは分類器と呼ばれるもう1つのモデルが、あなたの代わりに操作を審査します。
判定には順番があります。公式ドキュメントによれば、最初に一致したところで決まります。
- あなたが書いた allow、ask、deny の規則に一致したものは、その場で決まる
- 読み取りと、作業フォルダ内のファイル編集は自動で通る（保護された場所への書き込みと、作業フォルダ外への最初の読み取りを除く）
- それ以外は分類器へ行く
- 分類器が止めた場合、Claude には理由が返り、別の方法を試す
4つ目に注目してください。止められても作業は終わりません。理由を受け取って別の手を考えます。多くの場面で、理由は [Data Exfiltration] のように当たった規則の名前として返るとされています。
分類器が見るもの、見ないもの
安全の仕組みを評価するときは、何を見ていないかのほうが大事です。
公式ドキュメントによれば、分類器が見るのは、あなたのメッセージ、読み取り系以外のツールの呼び出し、そして CLAUDE.md の内容です。
そして、ツールの実行結果は取り除かれます。理由も書かれていて、ファイルやウェブページの中にある敵対的な内容が分類器を直接操作できないようにするためです。
これは、第11回で扱う MCP の注意点と直結します。外部から返ってきた文章の中に「この操作を承認せよ」と書いてあっても、分類器はそれを読みません。読まないので、影響を受けません。
加えて、入ってくるツールの結果を別の仕組みが走査し、Claude が読む前に疑わしい内容に印を付けるとされています。
auto モードに入ると、広すぎる許可は外れる
見落とされやすい挙動が1つあります。
公式ドキュメントによれば、auto モードに入ると、任意のコードを実行できてしまう広い許可の規則は無効になります。Bash(*) のような全体の許可、Bash(python*) のような字面の広い許可、パッケージ管理の実行コマンド、サブエージェントの許可などです。
Bash(npm test) のような狭い規則はそのまま効きます。そして auto モードを抜けると、外された規則は元に戻ります。
広い許可を書いておいても、auto モードでは効かない。これは制限ではなく、設計としてそうなっています。分類器を通さない抜け道を、あなたが自分で作れないようにしてあるということです。
規則で、モードの上に線を足す
モードは全体の基準を決めるだけです。個別の線は規則で足します。
規則の書き方は ツール名 または ツール名(指定) です。
| 規則 | 効果 |
|---|---|
Bash | すべての Bash コマンドに一致 |
Bash(npm run build) | npm run build だけに一致 |
Read(./.env) | .env の読み取りに一致 |
allow、ask、deny の3種類があります。効き方の違いを押さえておいてください。
deny 規則はどのモードでも効きます。bypassPermissions でも効きます。逆に、allow 規則は bypassPermissions では意味を持ちません。全部通るので、許可を書く意味がないからです。
つまり、絶対に触らせたくないものがあるなら、モードで守るのではなく deny 規則で書いてください。Read(./.env) を deny に入れておけば、どのモードでも読まれません。
規則は /permissions で一覧を見て編集できます。第4回で「はい、今後は聞かない」を押したものも、ここに並びます。
bypassPermissions を使ってよい場所
公式ドキュメントの警告をそのまま引きます。このモードでは確認が飛ばされ、.git や .claude のような保護された場所への書き込みも含まれます。そのうえで「Claude Code が損害を与えられない、コンテナや仮想マシンのような隔離された環境でのみ使ってください」と書かれています。
自分のパソコンで使うモードではありません。このモードが必要だと感じたときは、たいてい別の問題が起きています。確認が多すぎるなら auto モードがありますし、特定のコマンドだけ通したいなら allow 規則で足せます。
組織として禁じることもできます。permissions.disableBypassPermissionsMode と permissions.disableAutoMode を "disable" にすると、そのモードが使えなくなります。
選び方
実際の使い分けはこうなります。
調べるだけのときは plan です。ソースを編集しないので、読ませて意見をもらう作業に向きます。第7回でプランモードとして詳しく扱います。
自分で見ながら直していくときは acceptEdits です。編集はそのまま通り、それ以外は聞かれます。差分のペインを開いたまま作業する第4回の形と相性がよいモードです。
長い作業を任せるときは auto です。確認で止まらず、分類器が代わりに見ます。
慣れないコードや、慎重にやりたい作業は Manual に落とします。全部自分で見ます。
途中で切り替えて構いません。むしろ、作業の性質が変わったらモードも変えるのが普通の使い方です。調べる間は plan、直す間は acceptEdits、まとめて任せる間は auto。1つのモードで1日を通す必要はありません。
次の回
任せる範囲が決まりました。第6回では、任せた作業の質を決める設定を扱います。どのモデルで動かし、どれだけ考えさせるかという話です。
参照した公式情報
- Anthropic「Choose a permission mode」「Configure permissions」（code.claude.com/docs、2026年9月時点）
よくある質問
- auto モードは確認を省いているのですか
- 省いてはいません。公式ドキュメントによれば、auto モードでは分類器と呼ばれるもう1つのモデルが、あなたの代わりに操作を審査します。読み取りと作業フォルダ内の編集はそのまま通り、それ以外は分類器を通ります。止められた場合、Claude には理由が返り、別の方法を試します。
- どのモードでも必ず聞かれる操作はありますか
- あります。明示的な ask 規則に一致した操作、利用者の入力を求める種類のツール、重要な場所を対象にした `rm` と `rmdir` などです。公式ドキュメントは、これらを bypassPermissions を含むどのモードでも自動承認しないと書いています。
- 設定ファイルでモードを固定できますか
- できますが、例外があります。`permissions.defaultMode` で既定のモードを決められる一方、公式ドキュメントによれば `.claude/settings.json` と `.claude/settings.local.json` に書いた `auto` と `bypassPermissions` は効きません。後者の場合、セッションは Manual で始まります。
