← 試験の目次へ

Developer Foundations ドメイン7: セキュリティと安全性（8.1%）

この章で学ぶこと: AI アプリのセキュリティ（プライバシー、プロンプトインジェクション、jailbreak、信頼できない入力、データ漏えい、個人情報、認証・認可・機密性・完全性）、ガードレールと安全な配備（コンテンツポリシー、何重もの守り、セキュア・バイ・デザイン、最小権限）、破壊的な操作を止めるフック、ID・秘密情報・鍵の管理。

本番の53問のうち約4問が出ます。

前の章とつながる部分:

• 直接・間接のプロンプトインジェクションの対策（tool_result で渡す、出どころを示す、方針をシステムプロンプトに書く） → ドメイン6 第2.7節
• 指示とデータを XML タグで分ける → ドメイン2 第5.2節
• Agent SDK のフック（PreToolUse で拒否）、権限モード → ドメイン1 第2.5節・第2.3節
• 管理設定（だれも上書きできない設定） → ドメイン2 第6.2節
• -p と --bare（信頼の確認画面が出ない） → ドメイン3 第9節

1. AI アプリのセキュリティ（3.2%）

1.1 脅威の整理

公式の Agent SDK の「安全な配備」のページの考え方: エージェントは、プロンプトインジェクション（処理する内容に仕込まれた指示）やモデルの間違いで、意図しない操作をすることがあります。Claude のモデルはこれに強くなるよう作られていますが、何重もの守りは今でも良い実践です。例えば、悪意のあるファイルが「顧客データを外部のサーバーに送れ」と指示しても、ネットワークの制限があれば送信そのものを止められます。

1.2 信頼できない入力の扱い

• 利用者の入力、Web ページ、メール、アップロードされたファイル、ツールの結果は、すべて「データ」であって「指示」ではない
• Claude Code の公式の注意: 提案されたコマンドは承認する前に確かめる。信頼できない内容を Claude にそのまま流し込まない
• Claude Code の WebFetch は、多くの場合、別のモデル呼び出しでページを読み、生のページではなくその答えを Claude に渡す。Web 検索の結果も要約して渡し、インジェクションの危険を下げている
• curl や wget のような Web から取ってくるコマンドは、初期設定では自動で許可されない

1.3 プロンプトの漏えいを減らす

公式の「Reduce prompt leak」のページより:

• 確実な方法はない。漏えい対策でプロンプトを複雑にすると、ほかの部分の品質が下がることがあるので、本当に必要なときだけ使い、よくテストする
• 出力を後処理する（正規表現やキーワードで、漏えいのしるしを探す）
• 仕事に必要のない社外秘の情報は、そもそもプロンプトに入れない。余計な内容は「漏らさないで」という指示を守る力も下げる
• 定期的にプロンプトと出力を確かめる

いちばん確実なのは「秘密をプロンプトに入れない」ことです。API キーやパスワードはプロンプトに書きません（第4節）。

1.4 プライバシーと個人情報（PII）

1.5 認証・認可・機密性・完全性

大事な考え方（一般的な実践）: 認可はモデルに任せず、ツールやサーバーの側で強制します。「この利用者は管理者ではないので削除しないで」とプロンプトに書くのではなく、そもそも削除のツールを渡さない、またはツールの中で権限を確かめます。

2. ガードレールと安全な配備（2.3%）

2.1 コンテンツポリシー

• Anthropic の利用規約（Terms of Service）と利用ポリシー（Usage Policy）が土台。公式の jailbreak 対策も、特にこれらに反する使い方への守りを強めることを目的にしている
• 自分のアプリの方針（何に答え、何を断るか、どう断るか）をシステムプロンプトにはっきり書く
• Claude が断ったときは stop_reason: "refusal" になる（ドメイン4）

2.2 何重もの守り（defense in depth）

公式の「安全な配備」のページは、守りを重ねる選択肢として次を挙げています。

どれか1つが破られても、ほかの層で止められるようにします。組み合わせは脅威の想定と運用の要件で決めます。

2.3 セキュア・バイ・デザインと最小権限

最小権限: エージェントには、その仕事に必要な能力だけを与えます。公式の表:

セキュリティの境界: 信頼の度合いが違う部品の間に境界を置きます。大事なもの（認証情報など）を、エージェントがいる境界の外に置けば、エージェントの環境で何かが起きても守れます。

Claude Code の組み込みの守り（公式）:

チームでの公式のベストプラクティス: 管理設定で組織の基準を強制する、承認済みの権限設定をバージョン管理で共有する、/permissions で権限設定を定期的に確かめる。

秘密のファイルを読ませない: 権限の deny に Read(./.env) や Read(./secrets/**) のような Read ルールを書きます。.claudeignore は効かないので、その中身は Read の拒否ルールに移します。

3. Claude のフック（1.0%）

Agent SDK のフック（Python の関数）はドメイン1 第2.5節で学びました。ここでは Claude Code の設定ファイルに書くフックです。

公式の例: Bash の rm を含むコマンドを止める PreToolUse フック。

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "if": "Bash(rm *)",
            "command": "${CLAUDE_PROJECT_DIR}/.claude/hooks/block-rm.sh"
          }
        ]
      }
    ]
  }
}

#!/bin/bash
# .claude/hooks/block-rm.sh
COMMAND=$(jq -r '.tool_input.command')
if echo "$COMMAND" | grep -q 'rm -rf'; then
  jq -n '{
    hookSpecificOutput: {
      hookEventName: "PreToolUse",
      permissionDecision: "deny",
      permissionDecisionReason: "Destructive command blocked by hook"
    }
  }'
else
  exit 0  # 判断なし。ふつうの権限の流れに任せる
fi

ポイント:

なぜフックか: プロンプトの「消さないで」は確率でしか守られません。フックはモデルの外で動くので、ルールを確実に強制できます。権限の deny ルールと組み合わせると、さらに守りが固くなります。

4. ID・秘密情報・鍵の管理（1.6%）

4.1 Claude API の認証

4.2 秘密情報の扱い

4.3 アクセスの承認と監視

• だれがどの権限でアクセスするかを決めて記録する（ワークスペース、組織の役割）
• 使用量と費用を見張ると、不正な利用にも気づける（Usage and Cost API、ドメイン5）
• request-id や OpenTelemetry のトレースで、何が起きたかを後から追えるようにする（ドメイン4）

5. 試験に向けたまとめ

6. 用語集

出典

• Mitigate jailbreaks and prompt injections（Claude Platform Docs）: 直接・間接のインジェクション、利用規約と利用ポリシー
• Reduce prompt leak（Claude Platform Docs）: 漏えいを減らす方法と注意
• API and data retention（Claude Platform Docs）: 学習に使わない、保存の初期設定、ZDR、ブラウザからの呼び出し、データの処理者
• API overview（Claude Platform Docs）: API キー、Workload Identity Federation、ワークスペース
• Claude API errors（Claude Platform Docs）: 401 とキーの期限切れ・無効化
• MCP connector（Claude Platform Docs）: Managed Agents の vault
• Securely deploying AI agents（Claude Code Docs、Agent SDK）: 脅威の想定、組み込みの守り、境界、最小権限の表、何重もの守り、プロキシのパターン
• Security（Claude Code Docs）: インジェクションへの守り、信頼の確認、認証情報の保管、MCP のセキュリティ、ベストプラクティス
• Hooks reference（Claude Code Docs）: PreToolUse の例（block-rm.sh）、matcher と if、終了コード 2
• Configure permissions（Claude Code Docs）: Read(./.env) の拒否ルール、.claudeignore は効かない

第1.4節の「渡す情報を最小にする」、第1.5節の「認可はツールやサーバーの側で」、第4.2節の一部（コミットしない、開発と本番を分ける、漏れたら無効にする）、第4.3節は、一般的な実践のまとめで、公式ドキュメントからの直接の要約ではありません。内容は上の出典を要約・言い換えたものです（ライセンスに配慮して書き直しています）。