Claude Codeオートモード導入ガイド｜情シス管理者が権限ポリシーを設計する手順

Claude Codeのオートモードは、ファイル編集やコマンド実行のたびに人間の承認を求めるのではなく、専用の分類器（クラシファイア）が「不可逆的・破壊的・環境外を対象とした操作」かどうかを判定し、危険と判断したものだけをブロックする権限モードです。2026年8月14日からPro・Max・Teamプランで既定の権限モードになったと複数の海外メディアが報じています。情シス管理者にとって当面の課題は「使わせるかどうか」ではなく、「どこまでを信頼できる操作として定義するか」の設計です。

オートモードとは

オートモードでは、Claude Codeのツール呼び出しがまず権限ルール（許可・確認・拒否）を通過し、そこで判定がつかないものだけが分類器に送られます。分類器は会話の内容とツール呼び出しを見て、リクエストを超えてエスカレートする操作や、認識されていないインフラを対象とした操作をブロックするとされています。ファイル編集を自動承認するだけのacceptEditsモードや、チェックを一切行わないbypassPermissionsモードとは仕組みが異なり、あくまで「分類器によるバックグラウンドの安全チェック付き」である点が特徴です。

分類器は既定では作業ディレクトリとセッション開始時に設定されたリモートしか信頼しません。社内のソース管理組織へのプッシュや、チームのクラウドバケットへの書き込みといった操作は、autoMode.environmentに追加するまでブロックされ続けます。つまり、何も設定しない状態では日常的な社内操作すら止まりやすく、情シス側の環境定義が実質的な運用の起点になります。

前提条件・対象プラン

項目	内容
プラン	すべてのプランで利用可能。ただしTeam・Enterpriseでは管理設定でオーナーが有効化するまでユーザーは切り替えられないとされています
モデル要件	Anthropic API経由ではOpus 4.6以降またはSonnet 4.6以降。Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundry、Claude apps gatewayではSonnet 5・Opus 4.7・Opus 4.8のみとされています
2026年8月14日時点の既定化範囲	Pro・Max・Teamプランの新規セッションが対象と報じられており、Enterprise・Anthropic API・Bedrock・Vertex・Foundryは当面オプトインのままで、今後1カ月程度で順次既定化される見込みとされています
ロックオフの可否	管理設定で`permissions.disableAutoMode`を`"disable"`にすると、組織全体でオートモードへの切り替え自体を禁止できます

限界・注意点

できること	注意点・限界
破壊的・不可逆的な操作（force push、`rm -rf`、本番デプロイなど）を既定でブロックする	安全性を保証するものではなく、あくまで「一般的な方向を信頼できるタスク」向けであり、機密操作のレビュー代替にはならないと明記されています
分類器がリスクを検出した際は理由付きで拒否し、Claudeが別の方法を試みる	分類器が3回連続、または累計20回ブロックすると自動モード自体が一時停止し、通常の確認プロンプトに戻ります
`autoMode.environment`で組織固有の信頼できるリポジトリ・ドメイン・バケットを定義できる	何も定義しなければ社内の正当な操作まで外部扱いされ、頻繁にブロックが発生しやすくなります
`hard_deny`で絶対に越えてはいけない境界を設定できる	開発者個人が追加した`allow`ルールは、組織が設定した`soft_deny`ルールをオーバーライドできてしまうため、粒度の設計を誤ると想定より緩くなる可能性があります

実務での使い方

1. 信頼できるインフラストラクチャを定義する

autoMode.environmentに、自社のソース管理組織、クラウドプロバイダー、信頼できる内部ドメイン、CI・アーティファクトレジストリなどのサービスを自然言語の散文で記述します。正規表現やツールパターンではなく、新しく入った社員に説明するような書き方が推奨されているとされています。既存の組み込みルールを保ったまま追加するには、配列に"$defaults"という文字列を含めておく必要があります。

2. 拒否・許可ルールをオーバーライドする

autoMode.hard_deny（無条件でブロックする境界）、autoMode.soft_deny（ユーザーの明示的な意図で解除できる境界）、autoMode.allow（ソフトブロックの例外）の3つのフィールドで、分類器の組み込みルールに自社固有の判断を上乗せできます。優先順位はhard_deny > soft_deny > allow > 会話内の明示的な意図、という順で評価されるとされているため、絶対に守らせたい境界は必ずhard_denyに書く必要があります。

3. 人間のチェックポイントをpermissions.askで残す

オートモードは既定でワーキングブランチへのプッシュやプルリクエスト作成を許可しますが、それでも人間の確認を挟みたい操作があれば、permissions.askにコンテンツスコープのルールを追加します。これは分類器より前に評価されるため、オートモードが有効な状態でも確実にプロンプトが表示されます。狭いBash許可ルールの抜け道が気になる場合は、autoMode.classifyAllShellをtrueにして、すべてのシェルコマンドを分類器に通す設定も選べます。

活用事例｜どんな業種・職種で使えるか

同じ「情シス・システム管理者」という職種でも、扱うインフラや規制の重さによって権限ポリシーの設計は変わってきます。

1. 医療機関の情報システム部門担当者

電子カルテシステムや院内ネットワークを管理する担当者が、患者データを扱うデータベースやファイル共有サーバーをautoMode.environmentの「機密データの場所とオーディエンス」に明記しておくと、分類器がそれらへのアクセスやコピーを既定でブロックしてくれます。個人情報を含む可能性のある操作について、開発チームの善意に頼らず技術的な歯止めをかけられる点が実務上の変化になります。

2. 金融・保険業のシステム管理者

勘定系や本番決済に関わるインフラを扱う組織では、autoMode.hard_denyに「本番の決済関連リポジトリへの直接デプロイを絶対に許可しない」といったルールを明文化しておくと、開発者が意図せずallowルールで緩めてしまうリスクを避けられます。規制業界特有の制約はenvironmentの「追加コンテキスト」欄に記述しておくと、分類器がリスク判定の材料として読み込みます。

3. SaaSスタートアップのコーポレートエンジニア・DevOps担当

少人数で複数のクラウド環境を横断管理する担当者にとって、信頼できるバケットや内部サービスを最初にまとめて登録しておく作業は大きな負担になりがちです。claude auto-mode defaultsで組み込みルールを一覧出力し、自社のステージング・本番環境の命名規則に合わせてsoft_denyを上書きすれば、ゼロから権限設計をする手間をある程度圧縮できます。

4. 製造業の情報システム部門担当者

工場の生産管理システムやOTネットワークに接続する管理端末を扱う場合、autoMode.environmentの「保護されたIaCスコープ」や「機密リモートターゲット」に該当する設備・ネームスペースを具体的に列挙しておくことで、分類器が本番ラインへの誤操作を初期状態よりも厳しく扱えるようになります。社内の稟議フローに合わせて、変更適用前に必ずpermissions.askで人間の承認を挟む設計も組み合わせやすいところです。

導入手順

Claude Codeの管理設定画面で、組織としてオートモードを有効化するか、permissions.disableAutoModeでロックオフするかを判断する。
ターミナルでclaude auto-mode defaultsを実行し、組み込みのenvironment・allow・soft_deny・hard_denyルールを確認する。
自社のソース管理組織、クラウドプロバイダー、信頼できる内部ドメイン、機密データの場所を、autoMode.environmentのテンプレートに沿って書き出す。
絶対に越えてはいけない境界をhard_denyに、業務都合で解除可能な境界をsoft_denyに、誤検知が多い操作をallowに振り分ける。いずれも既存ルールを保つため"$defaults"を含める。
プッシュやプルリクエスト作成など、オートモードでも人間の確認を必須にしたい操作をpermissions.askに追加する。
組織全体に配布する設定は個人の~/.claude/settings.jsonではなく、マネージド設定に記述する。開発者個人のエントリはマネージド設定の内容を削除できない仕組みになっています。
claude auto-mode configで分類器が実際に使う有効な設定を確認し、claude auto-mode critiqueでカスタムルールの曖昧さや誤検知の可能性についてフィードバックを得る。
導入後は/permissionsの「最近拒否されたもの」タブやPermissionDeniedフックで拒否ログを継続的に確認し、環境定義を育てていく。

つまずきポイント・注意点

.claude/settings.local.jsonに書いたautoModeブロックは、バージョンによっては読み込まれなくなっています。個人の設定は~/.claude/settings.jsonに移す必要があります。
"$defaults"を含めずにenvironmentやhard_denyなどの配列を設定すると、組み込みルールが丸ごと置き換わってしまいます。force pushやcurl | bashのブロックまで消えてしまう可能性があるため、要注意です。
開発者個人が追加したallowルールは組織のsoft_denyルールを上書きできる仕組みなので、現場に権限設定の自由度をどこまで渡すかは事前に方針を決めておいたほうがよさそうです。
2026年8月14日時点でEnterpriseプランやAnthropic API経由の利用はまだオプトインのままとされています。全社的な運用ルールを決める際は、自社がどのプラン・プロバイダー経由でClaude Codeを使っているか確認してから進める必要があります。
分類器は3回連続または累計20回ブロックすると自動モードを一時停止する仕様のため、環境定義が不十分なまま展開すると、現場では「結局いつも通り確認を求められる」という体験になりがちです。

まとめ

オートモードは、分類器がツール呼び出しを審査し、破壊的・不可逆的・環境外の操作だけをブロックすることで、日常的な承認プロンプトを減らす権限モードです。2026年8月14日からPro・Max・Teamプランで既定になったと報じられている一方、実際の安全性はautoMode.environmentやhard_deny・soft_deny・allowの設計次第で大きく変わります。情シス管理者がまず着手すべきは、有効・無効の判断そのものよりも、自社のソース管理組織や機密データの所在を分類器に正しく伝える環境定義です。まずはclaude auto-mode defaultsで組み込みルールを確認し、自社に固有の信頼境界を1つずつ言語化していくところから始めるのが現実的な進め方といえそうです。