背景 こんにちは。プログラマティック広告配信プロダクトを提供している AJA で DSP チームの ...

G-gen の杉村です。2026年8月に発表された、Google Cloud や Google Workspace のイチオシアップデートをまとめてご紹介します。記載は全て、記事公開当時のものですのでご留意ください。 はじめに Google Cloud のアップデート BigQuery で cross-cloud connections が Preview 公開 SCC で Malicious Skill runtime threat detectors が利用可能に BigQuery テーブルを AlloyDB へ同期する機能が Preview 公開 Gemini 3.7 Flash がリリース Gemini Enterprise app で Skills（スキル）が一般公開（GA） Agent Search の回答生成モデルに Gemini 3.5 Flash が登場 Antigravity in Gemini Enterprise がリリース Agent Identity auth manager が一般公開（GA） BigQuery の会話型分析（データエージェント）のモニタリング（Preview） Cloud SQL for PostgreSQL で「推奨事項の事前アセスメント」が Preview 公開 Cloud Run の新体系「Cloud Run instances」が Preview 公開 音声認識モデル Gemini 3.5 Transcribe が Preview 公開 新サービス Cloud FTP が一般公開（GA） 画像生成/編集モデル Gemini Omni 1.1 Flash が Preview 公開 VPC Flow Logs でドロップされたパケットのレコードが出力されるように Gemini Enterprise で Sensitive Data Protection のコンテンツポリシーが使用可能に BigQuery Graph が一般公開（GA） BigQuery の生成AI関数のトークンのクォータ（上限）が任意に設定できるように Google Workspace のアップデート Google Meet の自動メモ作成で投影物のスクリーンショット保存されるように Google Workspace Studio で Gemini Notebook にソースデータを追加可能に Excel ファイルを Google スプレッドシートにインポートする際の互換性が向上 Connected Sheets で「リストパラメータ」と「列名エイリアス」機能 Google Workspace のスプレッドシートで Sheets Canvas がリリース Take notes for me が Web 会議だけでなく対面会議でも使えるように Drive Inventory Reportingで外部共有関連の情報をエクスポートできるように Google Workspace Studio でエンタープライズ向けセキュリティ機能が強化 Google Chat に Workspace Intelligence のハブとなる Ask Gemini 画面が登場 Gemini アプリでインタラクティブな 3D モデルを生成できるように Microsoft OneDrive からのデータインポート（Advanced モード）が一般公開 Microsoft Teams からのチャット情報のデータインポート機能が一般公開 Google カレンダーで Teams や Zoom などからの招待がわかりやすく Google ドライブで AI によるデータ自動ラベリング機能がオープンベータ開始 予定主催者が受け取る出席可否メール通知をイベント単位で無効化できるように はじめに 当記事では、毎月の Google Cloud（旧称 GCP）や Google Workspace（旧称 GSuite）のアップデートのうち、特に重要なものをまとめます。 また当記事は、Google Cloud に関するある程度の知識を前提に記載されています。前提知識を得るには、ぜひ以下の記事もご参照ください。 blog.g-gen.co.jp リンク先の公式ガイドは、英語版で表示しないと最新情報が反映されていない場合がありますためご注意ください。 Google Cloud のアップデート BigQuery で cross-cloud connections が Preview 公開 Create cross-cloud connections (2026-08-03) BigQuery で cross-cloud connections が Preview 公開。 例として Amazon S3 上の Parquet ファイルを BigQuery から外部テーブルとしてクエリ可能。東京 / 大阪リージョンにも対応している。AWS、Azure、Salesforce Data 360 に対応 。 以下の記事も参照。 blog.g-gen.co.jp SCC で Malicious Skill runtime threat detectors が利用可能に Security Command Center release notes - August 04, 2026 (2026-08-04) Security Command Center で Malicious Skill runtime threat detectors が利用可能に。AI エージェントが悪意あるスキルをロードしたり実行したりすると検知。Agent Runtime、Cloud Run、GKE で実行されるエージェントに対応。脅威インテリジェンス「Google Threat Intelligence」を使用。 BigQuery テーブルを AlloyDB へ同期する機能が Preview 公開 Choose how to access BigQuery data from AlloyDB (2026-08-08) BigQuery テーブルを AlloyDB へ同期する機能が Preview 公開。 業務アプリ側から BigQuery データを利用可能になる。以下の手法から選択可能。 データを移動しない Lakehouse federation（処理は BigQuery 側にプッシュダウン） データ同期（ワンタイム） データ同期（定期スケジュール） Gemini 3.7 Flash がリリース Introducing Gemini 3.7 Flash (2026-08-13) Gemini 3.7 Flash がリリース。 「ソフトウェアエンジニアリング、知識労働、Web開発で大幅な改善」とされている。Agent Platform、Google AI Studio、Gemini Spark 等で利用可能。 また、Gemini 3.7 Flash および 3.6 Flash のトークンあたり料金が2026年12月31日までの限定で、半額で提供される。Agent Platform（Google Cloud）と Gemini Developer API（Google AI Studio）の両方でこの半額キャンペーンが適用される。 Gemini Enterprise app で Skills（スキル）が一般公開（GA） Create and manage skills (2026-08-13) Gemini Enterprise app で Skills（スキル）が一般公開（GA）。 タスクに特化したプロンプトや Bash/Python スクリプトを事前に定義しておける。呼び出し方は以下のいずれか。 アシスタントが自動で判断して読み込む プロンプト内でメンション形式で呼び出す プロンプト内の自然言語による指示で呼び出す Agent Search の回答生成モデルに Gemini 3.5 Flash が登場 Answer generation model versions and lifecycle (2026-08-13) Agent Search（旧称 Vertex AI Search）の回答生成モデルに Gemini 3.5 Flash が登場。 これまでの最新は gemini-3-flash-preview または gemini-3.1-pro-preview だった。RAG やそれにもとづく回答の精度向上に期待。 Antigravity in Gemini Enterprise がリリース Gemini Enterprise release notes - August 18, 2026 (2026-08-18) Antigravity in Gemini Enterprise がリリースされた。Gemini Enterprise 付属の Antigravity のことを指す。 少し前から既に使用可能だったが、正式にリリースノートに記載された。Gemini Enterprise の1ライセンスあたり、Standard なら$10、Plus なら $15 がプールされる。例として、Standard が 100 ライセンスあれば、$1,000 がプールされる。総ライセンス数分がプールされ、それをシェアして使用する形になる。 各種機能の有効化やロギングのオン・オフなども設定可能なほか、使用状況のモニタリングなど、各種統制機能が付帯しており、企業が Antigravity を使用するにあたり有用。詳細は以下の記事でも紹介。 blog.g-gen.co.jp Agent Identity auth manager が一般公開（GA） Agent Identity auth manager overview (2026-08-22) Agent Identity auth manager が一般公開（GA）。 AI エージェントによる外部ツール呼び出しの認証を一元管理でき、API キーやトークン保管、OAuth フローの実行、ヘッダーへの認証情報注入などをある程度マネージド化でき、セキュアになる他、コード簡素化にもなる。 BigQuery の会話型分析（データエージェント）のモニタリング（Preview） Create data agents (2026-08-24) BigQuery の会話型分析（データエージェント）のパフォーマンス、利用率、レイテンシ、コスト等を Cloud Monitoring 等で可視化可能になった（Preview）。 BigQuery の会話型分析の費用は、以下のとおり。2026-09-30まで無償トライアル期間であり、2026-10-01からの課金開始が予定されている。 参考 : Data Cloud Agent pricing and free trial Cloud SQL for PostgreSQL で「推奨事項の事前アセスメント」が Preview 公開 Assess recommendations for Cloud SQL in Database Center (2026-08-25) Cloud SQL for PostgreSQL で「推奨事項の事前アセスメント」が Preview 公開。 Database Center の推奨事項（マシンタイプ / エディション変更等）について、自動で事前にインスタンスをクローンしてベンチマークテストを行ってくれる。複製インスタンスの費用は発生する。 Cloud Run の新体系「Cloud Run instances」が Preview 公開 Assess recommendations for Cloud SQL in Database Center (2026-08-25) Cloud Run の新体系「Cloud Run instances」が Preview 公開。 既存の Cloud Run service と異なり、「単一リビジョン」「単一インスタンス」「長期稼働」「高コスト効率」。固有URLが与えられ起動停止等の管理が可能。ステートフルなワークロード等に使える。 以下の記事で詳細に解説。 blog.g-gen.co.jp 音声認識モデル Gemini 3.5 Transcribe が Preview 公開 Gemini 3.5 Transcribe (2026-08-26) 新しい音声認識モデル Gemini 3.5 Transcribe が Preview 公開。英語、日本語、韓国語、ポルトガル語、仏語など80以上の言語を正確に文字起こし。雑音や専門用語にも対応、フィラーは自動削除。リアルタイム用 API と、バッチ用の API がある。 Gemini Enterprise Agent Platform と Google AI Studio で提供開始。 新サービス Cloud FTP が一般公開（GA） Cloud FTP overview (2026-08-26) 新サービス Cloud FTP が一般公開（GA）。公開鍵認証で SFTP プロトコルの暗号化接続を確立し Cloud Storage との間でファイルをやりとりできる。 接続元 IP アドレス制限も可能。通常の SFTP なので Cyber​​duck、WinSCP などのクライアントが使用可能。 以下の記事も参照。 blog.g-gen.co.jp 画像生成/編集モデル Gemini Omni 1.1 Flash が Preview 公開 Gemini Omni 1.1 Flash Preview (2026-08-27) 画像生成/編集モデル Gemini Omni 1.1 Flash が Preview 公開。 マルチモーダルモデルであり入力として「テキスト、画像、動画」を、出力として「テキスト、動画 (音声付)」に対応。 Agent Platform と Google AI Studio で利用可能。 VPC Flow Logs でドロップされたパケットのレコードが出力されるように About VPC Flow Logs records (2026-08-27) VPC Flow Logs が、ファイアウォールルール等でドロップされたパケットのレコードを出力するようになった。 セキュリティ監査やネットワーク疎通エラーのトラブルシューティングに有用。既存 VPC で Flow Logs 料金（Network telemetry 料金）に注意が必要か。 Gemini Enterprise で Sensitive Data Protection のコンテンツポリシーが使用可能に Protect sensitive data in sources (2026-08-31) Gemini Enterprise と Gemini Notebook Enterprise で、Sensitive Data Protection のコンテンツポリシーが使用可能になった。 コンテンツポリシーをデータストアやアシスタントに割り当てることができ、機密情報の取得やアップロードを水際で防げる。テキスト、PDF、画像など様々な形式に対応。 コンテンツポリシーとは、ビルトインまたはカスタムの infoType 検出器をリアルタイム適用できる仕組み。 BigQuery Graph が一般公開（GA） Introduction to BigQuery Graph (2026-08-31) BigQuery Graph が一般公開（GA）。 BigQuery 上で大規模なグラフデータの格納や GQL（Graph Query Language）を用いたクエリ実行が可能。 GA に伴い CALL ステートメントや探索パスの特性を検査する関数（IS_ACYCLIC、IS_SIMPLE、IS_TRAIL）が追加され、より高度分析が可能になった。 BigQuery の生成AI関数のトークンのクォータ（上限）が任意に設定できるように Control costs with token quotas (2026-08-31) BigQuery の生成AI関数（AI.GENERATE_TEXTなど）の1日のトークンのクォータ（上限）が任意に設定できるようになった。 予期しない大量実行やループ処理によるトークンの過剰消費を抑制し、コスト管理を計画的・安全に制御できる。なお以前リリースされたが一時的に停止していた。 Google Workspace のアップデート Google Meet の自動メモ作成で投影物のスクリーンショット保存されるように Visual screenshots in Google Meet meeting notes will soon be generally available, pre-configure admin settings in advance (2026-07-27) Visual screenshots now included in Google Meet meeting notes (2026-08-03) Google Meet の自動メモ作成（Take notes for me）で投影されたスライドなどのスクリーンショットがメモ内に保存されるようになる。 2026-08-03から15日間かけてロールアウト。 Google Workspace Studio で Gemini Notebook にソースデータを追加可能に Automatically add sources to your Gemini Notebooks in Workspace Studio (2026-08-07) Google Workspace Studioで、Gemini Notebook（旧称 NotebookLM）にソースデータを追加するアクションが使えるようになった。 使用例として、Google ドライブへのファイル追加を検知して Notebook に自動追加などが可能。 Excel ファイルを Google スプレッドシートにインポートする際の互換性が向上 Improved file importing in Google Sheets with tables and linked pivot tables (2026-08-11) Excel ファイルを Google スプレッドシートにインポートする際の互換性が向上。アップデートは2点で、以下のインポート後の手直しが不要になった。 Excel の「テーブル」がスプシの「テーブル」として認識される Excel のテーブル範囲を参照するピボットテーブルがスプシでもピボットとして認識される Connected Sheets で「リストパラメータ」と「列名エイリアス」機能 Improved file importing in Google Sheets with tables and linked pivot tables (2026-08-11) Connected Sheets（BigQueryデータをスプレッドシートに読み込める機能）で「リストパラメータ」と「列名エイリアス」機能がリリース。 リストパラメータ: セルの内容に応じて SQL の WHERE 句を動的に生成 列名エイリアス: スプシ上で列のエイリアス名を任意に設定できる Google Workspace のスプレッドシートで Sheets Canvas がリリース Use Sheets canvas to visualize data in custom, interactive mini-apps (2026-08-13) Google Workspace のスプレッドシートで Sheets Canvas がリリース。 スプシにインタラクティブなアプリ（可視化ダッシュボードやカンバンボードなど）を組み込める。Gemini に自然言語で指示して作成。 Take notes for me が Web 会議だけでなく対面会議でも使えるように Take Notes for me for in-person meetings is now available (2026-08-13) Google Meet の自動議事メモ（Take notes for me）が Web 会議だけでなく対面会議でも使えるようになった。 会議音声をスマホ等で Meet に聞かせると、議事メモを作成して Google ドキュメントにまとめてくれる。要約やアクションアイテムも整理される。Business Standard 以上に順次展開。 Drive Inventory Reportingで外部共有関連の情報をエクスポートできるように Enhanced external sharing insights now available in Drive Inventory Reporting (2026-08-17) Drive Inventory Reporting（Google ドライブの使用状況レポートを BigQuery にエクスポートする機能）で外部共有に関する情報をエクスポートできるようになった。 外部組織やインターネットへの共有有無がわかりやすい。明示的にオンにする必要あり。 Google Workspace Studio でエンタープライズ向けセキュリティ機能が強化 New enterprise security controls for Workspace Studio enable expanded collaboration use cases (2026-08-17) Google Workspace Studio でエンタープライズ向けセキュリティ機能が強化。 Agent Identity: フローによる自動化処理は最小権限を持つ一意の ID で自動化処理を実行 監査ログ強化: Studio での設定および実行操作は、Studio の監査イベントに記録される。ドライブ内ファイルへの編集や Gmail でのメール送信など、操作に関する監査イベントには、一意のフロー識別子や所有者情報などのフローコンテキストが含まれる 管理者からの制御強化: OAuthスコープ取り消し、一時停止など Human-in-the-Loop の強制: 管理者設定で、人間の承認なしに外部へのデータ送信を禁止することが可能に Google Chat に Workspace Intelligence のハブとなる Ask Gemini 画面が登場 Introducing Ask Gemini in Chat: your new partner in productivity (2026-08-19) Google Chat に Ask Gemini 画面が登場する。Gemini が Google Workspace 全体からコンテキストを収集（Workspace Intelligence）して、タスクを行うためのハブとなる。ドライブ、Gmail、カレンダーなどを横断して Gemini が情報収集したうえで、質問への回答やコンテンツ生成、予定の作成など、さまざまなタスクの中心となる。 2026-08-26から順次展開開始、まずは英語版のみ。 Gemini アプリでインタラクティブな 3D モデルを生成できるように Generate interactive simulations and models in the Gemini app (2026-08-24) Gemini アプリでインタラクティブな 3D モデルを生成できるようになった。 DNA 構造などをインタラクティブに回転させたりズームインするなど。Google Workspace 等で既に展開済（Available now）。 Microsoft OneDrive からのデータインポート（Advanced モード）が一般公開 Introducing data import for Microsoft OneDrive: An easier, faster, and higher-fidelity migration to Google Workspace (2026-08-25) Google Workspace で Microsoft OneDrive からのデータインポート（Advanced モード）が一般公開。 複数のまとまりを同時並行でインポートできるため高速。並列度は、MS 側のクォータにあわせて調整可能。追加費用なし。移行時間の見積ツールも付帯している。 Microsoft Teams からのチャット情報のデータインポート機能が一般公開 Introducing data import for Microsoft Teams: An easier, faster, and higher-fidelity migration to Google Workspace (2026-08-25) Google Workspace で Microsoft Teams からのチャット情報のデータインポート機能が一般公開。 Teams のチャネル、チャネルメッセージ、グループチャット、DM を並列処理で高速に Google Chat に移行できる。追加費用なし。移行時間の見積ツールも付帯している。 Google カレンダーで Teams や Zoom などからの招待がわかりやすく Improving Google Calendar’s interoperability with third-party video conferencing solutions (2026-08-27) Google カレンダーで Microsoft Teams や Zoom など他媒体からの招待を受信したときの体験が改善。 予定の「場所」欄に会議 URL が記載されたり、招待の会議 ID、PIN コードなどが構造的に識別され「参加」ボタンがわかりやすく表示される等。 Google ドライブで AI によるデータ自動ラベリング機能がオープンベータ開始 Gemini-based data classification in Google Drive is now available in open beta (2026-08-28) Google ドライブで、Gemini によるデータ自動ラベリング機能がオープンベータ開始。 管理者が自然言語でプロンプトを定義するだけで、Gemini がファイルを評価して分類ラベルを自動的に付与する。機械学習用のデータ準備不要。大規模な DLP ポリシーの適用や保持ルールの徹底が簡素化できる。 予定主催者が受け取る出席可否メール通知をイベント単位で無効化できるように Suppress email responses to calendar invitations and updates (2026-08-28) Google カレンダーで、予定の主催者が受け取る出席可否のメール通知をイベント単位で無効化できるようになった。 「ゲストが回答したときにメールを受け取る」のチェックを外す。これで全社イベントなどで出欠通知が大量になりすぎるのを防げる。順次ロールアウト。 杉村 勇馬 (記事一覧) 執行役員 CTO 元警察官という経歴を持つ IT エンジニア。クラウド管理・運用やネットワークに知見。AWS 認定資格および Google Cloud 認定資格はすべて取得。X（旧 Twitter）では Google Cloud や Google Workspace のアップデート情報をつぶやいています。 Follow @y_sugi_it

許可がどこで決まっているか、実はちゃんと確かめたことがなかったんですよね。auto mode で回してはいるものの、何がどう自動で通っていて、何が誰の判断を経ているのか、腰を据えて追いかけたことは一度も無くて。 僕の場合は「 CLAUDE.md に書いてあるから塞げている」と思ってたんですよね。壊されたくない場所があったので CLAUDE.md に「これはやるな」って書いておいて、それで防御になっていると。 入口は2つあると思ってます。8月14日の既定化で、設定した覚えがないのに auto mode になっていた人もいれば、僕みたいに CLAUDE.md で塞いだつもりでいた人もいると思います。でも聞きたいことは同じで、auto mode って実際どう動いているのか、追加のルールはどこに書けば効くのか。この2つに絞って書いていきます。 auto mode って実際どんなフローで動いてんの？ 8月14日から auto になったのは Pro・Max・Team プランの対話セッションだけです。経緯は 公式ブログ に譲りますね。バージョンにも条件があって、macOS・Linux・WSL は v2.1.228 以降、Windows ネイティブは v2.1.233 以降が対象です。それより前のバージョンでは、既定はいまも Manual のままです。Enterprise プランと Claude Console の API キー、それにヘッドレスの claude -p は、既定が auto になりません。auto mode 自体が使えないわけじゃないので、自分で切り替えれば動きます。 判定は3つの分かれ道になっていて、上から順番に見ていって、最初に当てはまったところで決着します。つまり後ろの分かれ道が見るのは、それより手前で決まらなかったものだけなんですよね。ここには例外がいくつかあるんですが、この記事に効いてくるのは1つだけなので、3つを並べたあとで書きますね。 permissions 。allow / ask / deny を自分で settings.json に書いたルールです。ここに一致したら、allow ならそのまま実行、ask なら確認が出て、deny なら拒否になります。そこで終わりで、classifier は呼ばれません。 自動承認 。読み取りと、 Write や Edit みたいな編集ツールによる working directory 内の編集です。 permissions で決まらなかったものは、ここで誰にも確認されずに通ります。逆に言うと、Bash コマンドはここには入りません。中で何をするかに関係なく、classifier に回ります。 classifier 。それ以外の全部を、この別のモデルが判断します。結果は実行か拒否かの二択で、拒否されても自分には聞かれません。Claude が理由を受け取って別の手を試すだけです。 気づいてほしいのは、この3つがどれも「Claude Code が何を通すか」の話だということです。 CLAUDE.md や Skills は、ここに入っていないんですよね。 permissions は Claude Code が叩けるコマンドの選定、classifier は自然言語で足す判断ルール、 CLAUDE.md や Skills は何を生成させるか。前の2つは実行のときに通すかどうかを決めるもので、見られる順番が違うだけです。この順番で監査が行われて、問題なければ自動で実行されるって感じです。 CLAUDE.md や Skills はその手前、何をやろうとするかを決める側にいます。 3つ目の「それ以外の全部」は、思ったより広いです。中身に関係なく Bash コマンドは全部ここですし、MCP ツールや、working directory の外への編集も入ります。 しかも、classifier に回る量は増える方向なんですよね。Claude Code 自体が Bash を優先して使うようになっていて、ファイルを読むのも cat 、直すのも sed で済ませたりします（v2.1.221 から。changelog には載っていません。詳しくは 同僚が追いかけた記事 ）。 Read や Edit なら自動承認で終わる話が、Bash に化けたぶんだけ classifier に回ります。 ただ、protected paths（ .git や .claude 、 .devcontainer など）への書き込みは、この流れから外れます。working directory の中にあっても自動承認されませんし、 permissions の allow に一致していても素通りしません。どちらの場合も classifier に回されます。設定の書き込みに対して割込みが入るのは安心感がありますね。 ここで効いてくるのが2つ目の自動承認です。 Write や Edit みたいな編集ツール経由の編集は、classifier に届く前にここで決着します。 実際、壊されたくないファイルを classifier 側の設定（ autoMode の soft_deny 。危ないと思うものを自然言語で書いておく欄です）に書いておいて、そこを自分で書き換えにいったことがあります。手元の 2.1.233 で試したときは、同じパスに対して Bash 経由（ cp や git checkout -- 、 cat > 、 truncate ）は拒否されたのに、 Write ツールと Edit ツールは素通りしてました。2セッション・4ファイルで一致したので、たまたまではなさそうです。ただしこれは soft_deny に書き足したうえでの観測なので、素の設定だとまた違う結果になるはずです。そこは前提として持っておいてください。 追加のルールを効かせたいとき、どこに書けばいいの？ auto mode に何か足したい、という発想自体はまちがってないです。ただ、まず手が伸びるのは CLAUDE.md だと思うんですよね。さっき、 CLAUDE.md はこの流れの外だと言いました。なぜ外なのか。 理由は、読まれていないからじゃないんです。 公式ドキュメント にも “The classifier sees user messages, tool calls other than read-only lookups such as file reads and searches, and your CLAUDE.md content” とはっきり書いてあって、classifier はちゃんと CLAUDE.md の中身を読んでます。読まれてはいるんです。ただ、 別のページ にはこう書いてあります。”Permission rules are enforced by Claude Code, not by the model. Instructions in your prompt or CLAUDE.md shape what Claude tries to do, but they don’t change what Claude Code allows.” つまり CLAUDE.md は Claude に「こう振る舞ってほしい」という方向性を渡す場所であって、実際に止める・止めないを決めるのは Claude Code 側の permission rules のほうです。読まれてはいるけど、止める力は持っていない。だから流れの外なんです。 じゃあ、その permission rules はどこに書くのか。ここで大事なのが、 止めたいものによって書く場所が違う ということです。編集を止めたいなら permissions 、classifier の判断に効かせたいなら autoMode 。整理すると、こうなります。 どこで決まるか 何が対象か 追加ルールを書ける場所 permissions 自分で書いた allow / ask / deny に一致するもの .claude/settings.json （project）や ~/.claude/settings.json （user） 自動承認 permissions で決まらなかった、読み取りと編集ツールによる working directory 内の編集（Bash コマンドは入らない） 書ける場所が無い classifier それ以外ぜんぶ autoMode （個人は ~/.claude/settings.json のみ。managed settings では組織が配布できる） 判定の外 classifier は読むけど、それ自体は判定しない CLAUDE.md や Skills（生成の方向性を渡す場所） 書く場所が違うといっても、ファイルが分かれるわけじゃないです。個人の設定なら、どちらも ~/.claude/settings.json の中にこう並びます。 { "permissions": { "deny": [] }, "autoMode": { "soft_deny": [] } } 上の permissions が編集を止める側、下の autoMode が classifier に効かせる側。中身はこのあと、節ごとに埋めていきます。 それと、この2つは択一じゃないです。 同じものを本当に守りたいなら、両方に書くことになります。 permissions が本命で、 autoMode は保険。なぜ保険まで要るのかは、次の節で実際に測った結果と一緒に書きますね。 ※ protected paths への書き込みは例外で、working directory の中にあっても自動承認されず、 permissions の allow に一致していても素通りしません。どちらも classifier に回されます。protected paths は公式に列挙されていて、ディレクトリなら .git や .claude 、 .vscode 、 .devcontainer など、ファイルなら .gitconfig やシェルの設定ファイル、 .npmrc 、 .pre-commit-config.yaml 、 .mcp.json などが入ります。ここで注意したいのは、 .env や SSH の鍵はこの一覧に入っていないことです。名前からして守られていそうですが、protected paths ではないので、機密を守りたいならそこは自分で permissions に Read(パス) の deny を書く必要があります。 Read の deny は Edit・Write も一緒に塞いでくれます。 自動承認される前に止めたいとき 自動で編集されるのを止めたいなら、書き先は permissions です。working directory の中の編集はそのまま自動承認されますし、 autoMode が効くのは classifier に回ってきたものだけなので、自動承認で決着した編集には届かないからです。 書くなら permissions の Edit(パス) の deny や ask です。 permissions は自動承認より先に見られるので、working directory かどうかに関係なく、まずここでせき止められます。 たとえば .env を触らせたくないなら、こう書きます。 { "permissions": { "deny": [ "Read(./.env)" ] } } Edit じゃなくて Read で書いているのは、 Read の deny が Edit・Write も一緒に塞いでくれるからです。そこに新しくファイルを作るのも塞がれます。読み出しも書き換えも、まとめてここで止まります。 ただし、この deny で止まるのは編集ツール経由の編集だけです。 Bash 経由の編集は classifier に回ります。しかも、Claude Code 自体が Bash を優先して使うようになっていて（さっき出した v2.1.221 の話です）、ファイルの書き換えも sed -i や cat > で済ませることが増えています。 permissions に Bash(...) の deny を書く手もあるんですが、コマンドの形は無数にあるので、パスを守る用途だと取りこぼします。 さっき「両方に書くことになる」と言ったのは、これが理由です。 permissions は classifier が呼ばれる前に止まるので、こちらが本命。そこをすり抜ける Bash 経由を classifier で受け止めるのが autoMode で、こっちが保険です。実測がそのまま根拠になっていて、 soft_deny に書いたパスで Bash 経由は拒否されたのに、 Write ・ Edit は素通りしました。片方だけでは穴が開く、ということです。 classifier の判断を変えたいとき 一方で、classifier の判断そのものに手を入れたいとき、「うちではこれも危ないから、いったん止めてほしい」というルールを足したいときは、 autoMode の soft_deny に書きます。効くのは classifier に回ってくるものなので、working directory の外だけじゃなくて、中にあるパスでも Bash 経由の操作なら対象になります。個人が書ける場所という意味では、これは user setting、つまり ~/.claude/settings.json だけです。project の .claude/settings.json にも settings.local.json にも書けません（ここは後でまとめて触れます）。組織が配布する managed settings には autoMode を書けて、そちらは読まれますが、それは配る側の話なので今回は自分の環境で完結する範囲にとどめます。 置き場所としては、 autoMode の下に allow や hard_deny と並んで soft_deny という配列があります。さっきの .env を Bash 経由でも守るなら、こう書きます。 { "autoMode": { "soft_deny": [ "$defaults", "機密ファイル [named+specifics — must name: 対象のパスと操作]: .env とその複製を Bash 経由で読む・書き換える・消す" ] } } ちなみに .env は、公式が auto mode の「既定で許可されるもの」に名指しで挙げてます。「 .env を読んで、対応する API に認証情報を送る」が、そのまま許可の一覧に載ってるんですよね。名前からして守られていそうなのに、既定では通る側です。守りたいなら自分で書くしかない、というのはそういう意味です。 1つ目の $defaults は忘れないでください。ここを削って自分のラベルだけにすると、Claude Code が最初から持っている既定の防御を丸ごと置き換えてしまいます。 soft_deny なら force push や curl | bash 、本番へのデプロイ、auto mode の迂回まで、まとめて消えます。実害があるところなので、コピペするときは気をつけてほしいです。 中身が気になるなら claude auto-mode defaults で全部出ますし、 --label を付ければ1つずつ読めます。 claude auto-mode defaults --label 'Git Destructive' [named+specifics — must name: 何を名指しさせるか] というラベルは、会話の中でパスと操作を名指しすれば解除できる、というバーの高さを表しています。 soft_deny の「soft」はここのことです。さっき保険と書いたのはこの意味で、 permissions の deny と違って、こちらは名指しされれば開きます。 効いてない設定が3つある ここまでで置き場所は分かったんですが、実は 書けたのに効いていない 、という形の事故が3か所あります。 3つに共通しているのは、書けてしまうことです。設定としては受け付けられるので、書いた本人は効いているつもりでいる。だから気づけないんですよね。 ひとつ断っておくと、一次ソースを確認したのは 2.1.245、実測は 2.1.233 のときのものです。3つとも公式に書かれている挙動なんですけど、公式の挙動も版で動きます。 ひとつ目。 autoMode を project の .claude/settings.json や settings.local.json に書いても読まれません。理由も公式に書いてあって、この2つはリポジトリの中にあるので、チェックインされた設定やビルドの一手が自分で allow を注入できてしまうからです。個人が書ける場所は user setting、つまり ~/.claude/settings.json だけです（どこが読まれるかは 公式ドキュメント にスコープの一覧があります）。 ふたつ目。 permissions で編集を止めたいときは Edit(パス) で書きます。 Write(パス) も設定としては受け付けられるんですけど、実際の判定では参照されません。さっきの Configure permissions に、ファイルの permission で見られるのは Edit(パス) と Read(パス) だけだと書いてあります。3つのうちこれだけは起動時に警告が出るので、見ていれば気づけます。 みっつ目。auto mode に入っているあいだは、広い allow が落ちます。公式に挙がっているのは5つで、 Bash(*) や PowerShell(*) みたいな丸ごとの許可、 Bash(python*) みたいなワイルドカードのインタプリタ、パッケージマネージャの run 、 Agent の allow、 Monitor の allow です。一覧は公式ドキュメントの「 How the classifier evaluates actions 」にあります。 Bash(npm test) みたいな狭い指定は残ります。 なお、その狭い指定まで含めて全部 classifier に回したいなら、 autoMode の classifyAllShell を true にする手もあります。判定を1回ぶん待つことになるので、速さと引き換えですね。 落ちるといっても消えるわけじゃなくて、manual に戻せばまた効きます。なお Monitor がこの一覧に入ったのは v2.1.236 からで、それより前は auto mode でも効き続けていました。 自分の環境がどうなっているかは claude auto-mode config で確かめられます（やり方は次の節で書きます）。 書いたとおりに、毎回そのとおり効くの？ ここまでの内容を自分の運用に落とすと、 ~/.claude/settings.json はホストと bind で共有していて、複数の開発環境をまたいでも同じ判定基準を持たせてます。リビルドしても消えないので、環境ごとに書き直す手間がありません。何を共有して何を分けるかの設計は 別記事 に整理してあります。 揺れたときの条件 環境をまたいでは効くとして、時間をまたいでも同じように効くのか。ここは留保が要ります。前日に同じルールが止めた削除が、翌日の新しいセッションでは通ってしまったことがあって。設定も対象のディレクトリも同じで、解除条件を満たしたわけでもありません。しかも揺れは片方向だけじゃなくて、同じ日に逆向きも起きていて、削除は通ったのに復元しようとした4つの経路が全部拒否されたこともあります。効くか効かないかが両方向に振れて読めない、というのが正確なところです。どちらの観測もまだ1件ずつなので、そこは留保として置いておきます。 原因はまだ特定できていません。公式ドキュメントには、classifier が出した deny は対話 CLI だとそのターンのあいだだけ持続する、という記述があります。ただこれは判定がどこまで有効かという話です。日をまたいで揺れた理由を説明するものではないので、原因の説明とは切り離して、別立ての事実として置いておきます。 別の環境で似た揺れを観測している人 もいるようです。 落ち方を混ぜると読めなくなる ここで揺れ方を混ぜないように整理しておきます。 「判定の揺れ」: いま話したのは、判定は返ってきたけど結果が日をまたいで変わった、という揺れです。 「問い合わせの失敗」: これとは別に、classifier への問い合わせそのものが失敗して cannot determine the safety が返ってくることがあります。 公式ドキュメント にも “usually transient” と書いていて、確認を挟む側に倒れる分には安心していい動きです。 「回数で止まる」: classifier が3回続けてブロックするか、セッション通算で20回に達すると、auto mode がいったん止まって確認が戻ってきます。出てきた確認を承認すればまた auto に戻りますし、途中で1つでも通れば連続のカウントはリセットされます。閾値は変えられません。さっき「classifier に拒否されても自分には聞かれない」と書きましたが、確認が戻ってくるのはここです。 「auto mode の停止」: もう一つ、auto mode がそもそも動かなくなることもあります。こちらは 公式ドキュメント が “not a transient outage” と書いているとおり一時的ではなくて、自分もセッションを再起動して直らず manual に戻したことがあります。 問い合わせの失敗が安心できるからといって、判定の揺れまで安心していいわけではありません。判定の揺れでは classifier がちゃんと判定を返しているので、問い合わせの失敗とは別の場所で起きています。逆に言うと、通ってしまう側に振れるのは判定の揺れだけです。残りの3つは、確認が戻ってくるか、そもそも止まるかで、安全側に倒れます。 で、どうしているか こういう判定の揺れに対して、自分がやっているのは原因を追いかけるのをやめることです。追っても割に合わないので。 かといって、揺れた当のものを permissions に移したわけでもないんですよね。submodule の削除は、いまも autoMode の soft_deny に置いたままです。 rm を permissions で塞ぎにいくと、Claude Code が元から持っている安全装置と役割がかぶるので、そこは重ねずに任せているという判断です。 じゃあ何をしているかというと、どれを classifier に預けているかを自覚しておく、くらいのことです。確実に止めたいものは、揺れの話とは関係なく最初から permissions に置いてあります。機密ファイルの読み出しは Read(パス) の deny、複数セッションで事故りやすい git add -A は Bash(...) の deny。ここは classifier の判断を待たずに手前で決着するので、そもそも揺れません。逆に classifier に預けたものは、揺れることを承知で預けている。どこに書くかの使い分けって、結局そこの線引きなんだと思います。 スマホから渡して回すときの運用は 別記事 に書いていて、そこでは「何を触らせるかは分かったうえで渡す」という前提を先に置いています。 で、自分のは今どうなってる？ CLAUDE.md に書いておけば止まっていると思ってた僕みたいな人は、一度 claude auto-mode config で自分の autoMode の中身を確認しておくといいと思います。project の .claude/settings.json や settings.local.json に書いた autoMode が読まれているかどうかも、ここに出るかどうかで分かります。 ひとつだけ注意点があって、出力をそのまま grep に掛けるのはやめたほうがいいです。途中の説明文にたまたま引っかかって、変な断定をしたことがあるので。まず、パースが通ることを確かめてから中身を見てください。 claude auto-mode config | python3 -c "import json, sys; json.load(sys.stdin)" これでエラーが出なければ、 allow や soft_deny の中身を安心して読みにいけます。 ここまで書いておいてなんですが、この記事の内容も、測った版から動いている可能性があります。実際 Monitor の件がそうでした。だから最後に置くのは答えじゃなくて、自分の手元を確かめる方法のほうかなと思ってます。 ご覧いただきありがとうございます！ この投稿はお役に立ちましたか？ 役に立った 役に立たなかった 0人がこの投稿は役に立ったと言っています。 The post Claude Code の auto mode はどう動く？追加ルールを書く場所を整理してみた first appeared on SIOS Tech Lab .