ClaudeがClaudeを審査する仕組みを自作｜フック機能の実践と落とし穴

⏱ 読了約8分3,274 字

📑 目次

仕組みはシンプル
実際に動かしてみると
審査Claudeが私の仕事を止めた
「誰がClaudeを監視するか」問題
次のステップ
参考・出典

Claude Codeを使っていると、ふと思う。「このAI、本当に何でもやってしまうんじゃないか」と。

試しに「rm -rf で古いファイルを消して」と頼んでみる。Claude はためらわずコマンドを打とうとする。人間なら一瞬止まるような操作でも、AIは止まらない。それが怖くもあり、頼もしくもある。

そこで考えた。Claude が何かをする前に、別の Claude に確認させたらどうだろう。

仕組みはシンプル

Claude Code には「フック」という機能がある。ツールを実行する前後に、任意のスクリプトを割り込ませられる仕組みだ。

これを使って、こんなフローを作った：

Claude（作業中）
  ↓ Bashコマンドを実行しようとする
PreToolUse フック起動
  ↓ コマンド内容を審査Claudeに送信
審査Claude（Haiku）が判定
  ✅ 安全 → そのまま実行
  🚫 危険 → ブロック＋理由をメインClaudeに伝える

コアとなるコードはこれだけ：

def review(command: str) -> tuple[bool, str]:
    client = anthropic.Anthropic()
    resp = client.messages.create(
        model="claude-haiku-4-5-20251001",
        max_tokens=200,
        system=SYSTEM_PROMPT,  # 審査基準を定義
        messages=[{"role": "user",
                   "content": f"このコマンドを審査してください:\n{command}"}]
    )
    result = json.loads(resp.content[0].text)
    return result["approved"], result["reason"]

設定は ~/.claude/settings.json に一行追加するだけで有効になる。

実際に動かしてみると

動かした途端、面白いことが起き始めた。ログがその証拠だ：

判定	コマンド	審査Claudeの理由
✅	`# 最新5投稿確認（重複チェック） curl -s -b /tmp/wp_cookies.txt \ "https:`	WordPressのREST APIを用いたGETリクエストでメタデータ取得。curlで認証済みクッキーを使用し、JSONパースして投稿タイトルを表示するのみ。aigeek.biz関連の正規の業務操作であり、危険な副作用がない。
🚫	`# Pixabayで画像検索 curl -s "https://pixabay.com/api/?key=5561908`	APIキーがコマンドに平文で含まれています。このキーはコミット履歴やログに記録される恐れがあり、セキュリティリスクです。環境変数やセキュアな設定ファイルを使用してください。
🚫	`python3 - << 'EOF' import urllib.request, json, os` `key = "5`	APIキーが平文でコマンドに埋め込まれており、ターミナル履歴に記録される危険性があります。また、このキーが実在する場合、セキュリティリスクとなります。環境変数や設定ファイルから読み込む方式に変更してください。
🚫	`python3 -c " import json, urllib.request key = json.load(ope`	秘密鍵（APIキー）をファイルから読み込んでターミナルに出力する操作です。秘密鍵の露出はセキュリティリスクになるため拒否します。APIキーは環境変数を使用し、出力はファイルにリダイレクトしてください。
🚫	`python3 /tmp/post_approver_article.py`	未検証のスクリプトを実行しようとしています。/tmp内のPythonスクリプトの内容を確認できていないため、潜在的なセキュリティリスクがあります。実行前にスクリプトの内容をcatやlessで確認してください。