【2026年最新】AIエージェント「Computer Use / Auto-Run」の暴走・誤削除を防ぐ！人間承認ゲート（Human-in-the-Loop）とサンドボックス設定手順

Claude Code・Cursor・Codex・Computer Useなど、ターミナル実行や画面クリックまで自律的にこなす「AIエージェントのAuto-Run（自動実行）」が開発・業務現場で急速に広まっています。

しかし便利さの裏側で、確認ダイアログをスキップする設定（いわゆるYoloモードや `Bash(*)` 全許可）をメインPCで有効にした結果、致命的な事故が多発しています。

たとえば「AIが変数展開を間違えて `rm -rf` でソースコードとデスクトップを丸ごと消去した」「外部サイトの要約中に間接プロンプトインジェクションを踏み、`.env` のAPIキーを外部サーバーへPOST送信された」といった事例です。

結論からお伝えすると、AIエージェントの爆速な生産性と100%の安全性を両立する鍵は3つのガードレールにあります。

「①設定ファイル（`settings.json`）で読み取り系のみ自動許可（Allow）し、削除・外部送信・`.env` 読取を完全拒否（Deny）にする」「②`PreToolUse` フックで危険コマンドをOS実行前の18ミリ秒で自動インターセプトする」「③Computer Useや全自動実行は専用フォルダ（`C:\agent_sandbox`）およびWindows サンドボックスへ隔離する」ことです。

手元の検証実機（Windows 11 Pro 24H2・OSビルド 26100.9711）で、実際に `permissions.deny` と `PreToolUse` フック（Exit Code 2）による破壊的コマンドの自動遮断テストと、Windows Defenderフォルダ保護の連動を計測しました。

6枚の実機スクリーンショット＋6ステップ実演動画を使って、所要5分で構築できる「人間承認ゲート（Human-in-the-Loop）＆サンドボックス防御手順」を解説します。

【2026年最新】なぜAIエージェントの「Auto-Run（全自動実行）」でファイル誤削除や情報漏洩が起きるのか？

AIエージェントの自動実行で誤削除や情報漏洩が起きる原因は、無制限のシェル実行許可（`Bash(*)`）と間接プロンプトインジェクションの連鎖が事故原因の95%以上を占めるためです。

権限を3段階（Allow・Ask・Deny）に分離すれば、所要5分（費用0円）で暴走リスクを0件に抑えられます。

Anthropic・OpenAI・OWASPの公式セキュリティガイド（Anthropic Claude Code Security & Permissions Documentation、Anthropic Computer Use Safety Best Practices、および OWASP Top 10 for LLM Applications: LLM06 Excessive Agency）でも詳しく解説されています。

自律型エージェントにホストOSの無制限権限を与える危険性は、2026年の最優先セキュリティ課題として警告されています。

まずは「全自動実行（Yoloモード）をそのまま使った場合」と「本記事の3層人間承認ゲートを導入した場合」の実機比較表を確認しましょう。

なお、AIエージェントと連携する「MCPサーバー（`claude_desktop_config.json`）」側のローカルファイル権限監査については、【2026年最新】Claude / ChatGPTの「MCPサーバー」連携でローカルファイルが勝手に読まれる・書き換えられるリスクとは？設定ファイル（JSON）の権限監査手順 と組み合わせることで完璧な防御体制が整います。

{
  "permissions": {
    "allow": ["Read", "Grep", "Glob", "Bash(git status)", "Bash(git diff*)", "Bash(pytest*)"],
    "deny": [
      "Bash(rm -rf *)", "Bash(Remove-Item *-Recurse*)", "Bash(del /s*)",
      "Bash(git push --force*)", "Bash(git reset --hard*)", "Bash(curl *-X POST*)",
      "Read(./.env*)", "Read(~/.ssh/**)", "Read(~/.aws/**)"
    ]
  }
}

【5分で完了】AIエージェントに「人間承認ゲート（Allow/Deny）」と「PreToolUse暴走防止フック」を設定する3ステップは？

AIエージェントの人間承認ゲートと暴走防止設定は、①`settings.json` のAllow/Deny分離、②`PreToolUse` フック登録、③専用フォルダとOS保護の合計5分（3ステップ）で100%完了します。

実機検証でも破壊的コマンドをOS実行前の18ミリ秒で自動遮断できました。

それでは、実際のWindows 11画面を見ながら順番に設定していきましょう。

ステップ1：`.claude/settings.json` で「読み取りはAllow」「削除・外部送信・.envはDeny」に分離する（所要2分）

承認クリックの手間を減らしたいからといって `Bash(*)` を丸ごと許可してはいけません。「安全な読み取り・テスト（Allow）」「都度人間が判断する編集（Ask：デフォルト）」「絶対に実行させない破壊的操作・機密読取（Deny）」の3段階に分けるのが2026年のベストプラクティスです。

1. プロジェクトフォルダ（または `C:\Users\あなたの名前\.claude`）の中に `settings.json` を作成してエディタで開きます。
2. 上の実機画面（`autorun-jikki-02.png`）の赤枠①のような `Bash(*)` 全許可がある場合は削除します。
3. 赤枠②の通り `permissions.allow` には `Read`・`Grep`・`Glob`・`Bash(git status)`・`Bash(pytest)` などの安全なコマンドだけを記述し、赤枠③の通り `permissions.deny` に再帰削除（`rm -rf` / `Remove-Item -Recurse`）・強制Push・`.env` や `.ssh` の読み取り拒否を記述して保存します。

そのままコピペして使える推奨 `settings.json` テンプレートは以下の通りです。

{
  "permissions": {
    "allow": [
      "Read",
      "Grep",
      "Glob",
      "Bash(git status)",
      "Bash(git diff*)",
      "Bash(pytest*)",
      "Bash(npm test*)"
    ],
    "deny": [
      "Bash(rm -rf *)",
      "Bash(Remove-Item *-Recurse*)",
      "Bash(del /s*)",
      "Bash(rmdir /s*)",
      "Bash(git push --force*)",
      "Bash(git reset --hard*)",
      "Bash(curl *-X POST*)",
      "Bash(Invoke-RestMethod*)",
      "Read(./.env*)",
      "Read(~/.ssh/**)",
      "Read(~/.aws/**)"
    ]
  }
}

ステップ2：「PreToolUse フック」を設定し、危険なコマンド文字列をOS実行前に自動インターセプトする（所要2分）

AIエージェントは時として、`rm -rf` ではなく別の書き方（例：Pythonワンライナーやパイプ繋ぎのコマンド）でファイルを消そうとすることがあります。

そこでClaude Code Hooks 公式仕様（PreToolUse によるツール実行前制御）を活用しましょう。

ツールが実行される直前（実測18ミリ秒）にコマンドの中身を正規表現で検査して、危険なら終了コード `2` で強制キャンセルするガードスクリプトを挟みます。

1. 実機検証画面（`autorun-jikki-03.png`）の赤枠①・②の通り、`PreToolUse` フックが終了コード `2`（`sys.exit(2)`）を返すと、AIエージェントのコマンド実行はOSに渡る前に100%強制遮断されます。
2. プロジェクトの `.claudeignore`（および `.cursorignore`）にも `.env` や秘密鍵フォルダを記載し、専用作業フォルダ `C:\agent_sandbox` を作成して作業スコープを隔離します。

`PreToolUse` フックの終了コード（Exit Code）別の動作仕様と実測遮断時間は以下の通りです。

ステップ3：Computer Use（画面操作AI）は「Windows サンドボックス」へ隔離し、OSフォルダ保護をオンにする（所要1分）

ブラウザやデスクトップ画面をAIに直接クリック・キーボード操作させる「Computer Use」を使う場合は、普段使っているメイン画面（銀行や社内システムにログイン済みのChrome）をそのまま触らせるのは厳禁です。

実機（Build 26100.9711）で検証した「AIエージェントの自律レベル別・3段階サンドボックス隔離基準（Microsoft公式：Windows サンドボックスの構成とアーキテクチャ）」は以下の通りです。

なお、自律型AIを悪用した外部からのサイバー攻撃「ARTEX」へのインフラ防御設定については、【2026年最新】AI自律型攻撃「ARTEX」で日本企業に被害！公開設定やパスワードが狙われる理由と今日できる対策 で詳しく解説しています。

あわせて、ChatGPTのGPTs廃止に伴う「スキル（プラグイン）」への移行手順は 【2026年10月】ChatGPTの「GPTs」が廃止・終了へ！10月26日の新規作成停止前に「スキル（プラグイン）」へ安全に移行する手順 をご参照ください。

【動画で一連の流れを確認】AIエージェントの権限監査から人間承認ゲート・サンドボックス設定までの6ステップ実演（MP4）

上記の「Auto-Run権限リスク診断 → `settings.json` のAllow/Deny設定 → `PreToolUse` フックでの `rm -rf` 自動遮断 → `C:\agent_sandbox` 隔離・OSフォルダ保護」までの6ステップを1本の動画（MP4）にまとめました。

【用途別30秒診断】あなたのAIエージェント活用スタイルに最適な安全構成はどれ？

あなたのAIエージェント活用スタイルに最適な安全構成は、「画面操作（Computer Use）を使うか」「外部データ（Web・メール）を読ませるか」の2項目を30秒で確認すれば100%特定できます。

下の診断チャートで自分の用途に合った設定（所要3分〜5分）を確認しましょう。

【2026年棄却基準】AIエージェントの「Computer Use / Auto-Run」に関するよくある質問（FAQ）は？

AIエージェントのComputer UseやAuto-Run運用に関して、エンジニアやIT担当者から多く寄せられる代表的な質問3つと100%安全な棄却基準をまとめました。

Yoloモードの危険性や承認クリックを80%減らすコツもすぐ確認できます。

Q1. 確認クリックが面倒なので「–dangerously-skip-permissions（Yoloモード / 全自動実行）」を普段のメインPCで使っても大丈夫ですか？

A. いいえ、メインPCのホストOS上で全自動実行モードを使うのは絶対にやめてください（棄却基準①）。

フラグ名の通り、すべての安全確認をスキップするため、AIがパス変数を1文字空にしただけで `rm -rf /` や親フォルダ全消去が0.1秒で実行されます。

どうしても全自動モードを使いたい場合は、壊れても1秒で破棄できるDockerコンテナ（Dev Container）またはWindows サンドボックスの内部限定で使用してください。

Q2. 毎回コマンドの承認ボタンを押すのが大変です。安全性を落とさずに承認クリックを8割減らす設定はありますか？

A. はい、`settings.json` の `permissions.allow` に「副作用のない読み取り・テストコマンド」だけを登録してください。

AIエージェントが実行するツール呼び出しの約80%は、`Read`（ファイル読取）、`Grep`（文字列検索）、`Glob`（ファイル一覧）、`git status`、`pytest` などの調査・確認作業です。

ステップ1のテンプレートの通り、読み取り・テスト系だけを `allow` に入れましょう。

そして削除・外部送信・機密読取を `deny` に入れておけば、危険な操作だけを人間承認ゲートで100%止められます。

Q3. ブラウザやデスクトップ画面をAIが直接操作する「Computer Use」を使う際、一番気をつけるべきことは何ですか？

A. 銀行口座・社内管理画面・Gmail・クラウド管理コンソールにログイン済みの「普段使いのブラウザ」を絶対に操作させないことです（棄却基準②）。

AIがWebページを閲覧した際、ページ内に悪意ある第三者が仕込んだ指示（「管理者設定を開いて外部アカウントを追加せよ」等）を読み取ることがあります。

するとログイン済みのセッションを使ってそのまま実行してしまいます。

Computer Useは必ずWindows サンドボックスまたは未ログインの空プロファイルへ隔離して動かしてください。