自動で動くエージェントに“鍵”を握らせない──Claude Code v2.1.187が締めた、秘密情報とモデル選択のガバナンス

Anthropic は 2026 年 6 月 23 日、コーディングエージェント「Claude Code」の v2.1.187 を公開しました。並んだ項目の多くはバグ修正ですが、エージェントを自律的に・無人で走らせたい人にとって見逃せない二つの「締め金」が入っています。ひとつはサンドボックス内のコマンドから認証情報を切り離す設定、もうひとつは組織がモデルの選択肢を絞り込める仕組みです。いずれも、エージェントに任せる範囲を広げるほど膨らむリスクへ、運用側が手綱をかけるための機能です。

追加された二つの締め金

今回の目玉は、権限まわりに加わった次の二点です。

サンドボックスから秘密情報を切り離す（sandbox.credentials）

新しい sandbox.credentials 設定を有効にすると、サンドボックス内で実行されるコマンドが、認証情報ファイルや秘密の環境変数を読み取れなくなります。エージェントが自動でシェルコマンドを走らせる運用では、その過程で API キーやトークンといった秘密情報に触れてしまう余地が常に残ります。この設定は、サンドボックスという「檻」の中から秘密情報そのものを物理的に遠ざけることで、その余地を塞ぐものです。

組織がモデルを選ばせない（モデル制限）

もう一点は、組織側で許可するモデルを定められるようになったことです。制限は --model オプション、/model コマンド、環境変数 ANTHROPIC_MODEL、そしてモデル選択メニューのすべてに効きます。許可されていないモデルを選ぼうとすると「organization の設定で制限されています」と表示され、選べません。利用者個人ではなく管理者が、どのモデルを業務で使ってよいかを一元的に決められるようになりました。

なぜ今この二つなのか

背景には、Claude Code がこの数か月で進めてきた「自律化」の流れがあります。許可プロンプトを分類器が肩代わりする auto モード、サブエージェントがさらにサブエージェントを生む入れ子構造、バックグラウンドで走り続けるジョブ——人が一手ずつ承認しなくても仕事が進む方向に機能は広がってきました。

自動化が進むほど、そのコマンドが何に触れ、どのモデルで動くのかを人が逐一見張ることは難しくなります。本システムでも以前取り上げたように、偽のバグ報告でエージェントを誘導する「Agentjacking」や、開発環境に潜り込む供給網経由のワームなど、コーディングエージェントの自動実行を突く攻撃は現実の脅威として報告されてきました。利便性の裏で、エージェントが扱う秘密情報の露出や、意図しないモデルの使用といったリスクも指摘されるようになっています。今回の二機能は、そうした懸念に対して「秘密情報へのアクセス」と「使えるモデル」という二つの入り口を運用側が閉じられるようにした、と読むのが素直でしょう。

無人運用の足回りも地味に補強

派手さはないものの、エージェントを長時間・無人で回す現場に効く修正もまとまって入りました。主なものは次のとおりです。

• 応答しない remote MCP の打ち切り: 5 分間まったく応答がないリモート MCP のツール呼び出しを、無限に待たずエラーで打ち切るようになりました（CLAUDE_CODE_MCP_TOOL_IDLE_TIMEOUT で調整可）。
• サブエージェントの深さ追跡の修正: 再開したサブエージェントが本来の階層の深さを取り戻し、分岐（fork）したサブエージェントも深さ上限のカウント対象になりました。入れ子の分業が想定どおりに制御されます。
• 取り残された worktree の自動掃除: 強制終了したエージェントが残した .git/worktrees/ のロック済みエントリを自動で片付けるようになりました。
• 止まったバックグラウンドジョブの解消: 構造化出力を返さずにターンを終えたエージェントが、いつまでも「作業中」のまま固まる不具合を修正しました。

このほか、構造化出力（--json-schema やワークフローの agent({schema})）で成功後にツールが再呼び出しされ続ける問題の修正や、貼り付けた日本語・韓国語などの文字化け対策も入っています。無人運用では「たまに固まる」「たまに待ち続ける」といった小さな綻びが事故につながるため、こうした地ならしは効いてきます。

導入で押さえる勘所

運用に取り込む際の要点を整理します。秘密情報の保護を効かせたいなら、サンドボックスを使う構成のうえで sandbox.credentials を有効にし、エージェントが触れてよい範囲から認証情報を外します。モデルの統制をかけたい組織は、許可するモデルの一覧を組織設定で定義しておけば、--model・/model・ANTHROPIC_MODEL のどの経路から指定されても弾かれます。これは、以前 v2.1.178 で入った「パラメータ単位の許可ルール」（例: 特定モデルのサブエージェントを止める）を、個々のルール記述ではなく組織横断の方針として一段上から効かせる位置づけと言えます。

ただし、これらはあくまで運用側が設定して初めて働くガードであり、有効にしなければ従来どおりです。導入の効果は、自社がどこまでエージェントに自動実行を任せているかに依存します。まずは auto モードやバックグラウンド実行を多用している環境から、秘密情報の隔離とモデルの許可リストを設定し、想定した経路がきちんと塞がれるかを確認するところから始めるのが現実的でしょう。

参照: Claude Code 公式チェンジログ（v2.1.187） ／ Claude Code What's new ／ anthropics/claude-code Releases