エージェントをサンドボックスやコンテナで動かしていても、CC Safety Net は必要ですか？
未コミットの作業を守りたいなら、必要です。Claude Code や Codex のサンドボックスは、書き込みをプロジェクトディレクトリに限定し、ネットワークアクセスを制限します。しかしgit reset --hard と rm -rf . が書き込むのはそのディレクトリの中で、git push --force の送り先は許可済みのリモートです。そのため、サンドボックスは 3 つとも通します。CC Safety Net はこれらをブロックします。
CC Safety Net は、プロセスの封じ込めもネットワークの制御もしません。主な懸念がプロンプトインジェクション、悪意のある依存関係、信頼できないコード、ネットワーク経由のデータ流出なら、サンドボックスのほうが適しています。両方を使ってください。
エージェントに権限の拒否ルールがあれば、CC Safety Net は不要ですか？
場合によります。2026 年 10 月時点で、Claude Code の拒否ルールは決定的で、bypassPermissions モードでも適用されます。1 つの CLI でいくつかの決まったコマンドを止めるだけなら、それで足りるかもしれません。
ただし拒否ルールはコマンド文字列をワイルドカードのパターンと照合するため、フラグの順序の入れ替え（rm -r -f）、シェルラッパー（sh -c "..."）、インタープリターを使うとすり抜けられます。CC Safety Net はコマンドが何をするかを解析するため、こうした変形も捕捉します。さらに、16 の CLI を 1 つのポリシーと 1 つの監査ログで管理できます。
各レイヤーが守る範囲と守れない範囲
レイヤーごとに判断の根拠が違うため、どのレイヤーにも、ほかのレイヤーが拾う見落としがあります。
CC Safety Net が守れないものと、それぞれを受け持つレイヤーは、既知の制限にまとめています。
サンドボックスが破壊的な git コマンドを許可する理由
サンドボックスが制限するのは、プロセスが書き込める場所で、そこで何をするかではありません。2026 年 10 月時点で、Claude Code のサンドボックスのドキュメントでは、書き込みは既定で作業ディレクトリに限定されます。そのため、プロジェクトに対するgit reset --hard と rm -rf . は許可された書き込みです。
git push --force はローカルに何も書き込まないため、ローカルの書き込み範囲では捉えられません。サンドボックスには、Git の履歴、未コミットの変更、スタッシュの内容といった概念がありません。
これらのコマンドが自動で実行されるか確認を求められるかは、エージェントのサンドボックスモードと承認ポリシーによって決まります。
~/.aws/credentials と ~/.ssh/ を挙げています。CC Safety Net は、設定なしでこれらのパスの内容へのアクセスをブロックします。
サンドボックスのほうが適している場面
主な懸念が次のいずれかなら、サンドボックスを使ってください。- プロンプトインジェクション：外向きの通信先ドメインを制限し、情報流出を減らす。
- 悪意のある依存関係：信頼できないパッケージによるファイルシステムへの書き込みとネットワークアクセスを制限する。
- 信頼できないコード：OS レベルの封じ込めは、コマンド文字列の解析より強い。
- ネットワークの制御：CC Safety Net にはネットワークのレイヤーがない。
許可プロンプトと自動承認の分類器
このレイヤーは、操作の前にユーザーか分類器モデルに確認します。2026 年 10 月時点で、Claude Code の権限モードのドキュメントによれば、Manual モードではほとんどの編集とシェルコマンドの前に止まって確認を求めます。auto モードでは「a second model, the classifier, reviews actions instead of you」とされ、分類器はgit reset --hard や git stash clear などの破壊的な git コマンドを既定でブロックします。
この審査は判断であり、無効にもできます。Anthropic は、auto モードの分類器について、実際の行き過ぎた操作に対する偽陰性率 17% を公表し、「not a drop-in replacement for careful human review」としています。bypassPermissions では、すべてが確認なしに実行されます。
CC Safety Net の拒否は、bypassPermissions を含むすべての権限モードで有効です。検証に使ったバージョンは Claude Code の権限モードとバイパスモードを参照してください。
コンテナ・VM・チェックポイント
使い捨てのマシンは本物の封じ込めで、Claude Code もbypassPermissions を「Isolated containers and VMs only」向けとしています。ただし、マシンの中の作業は守れません。
クラウドセッションはリポジトリをクローンし、実在のリモートにプッシュします。そのため git reset --hard はそこでも同じように未コミットの作業を失わせ、git push --force はチームメイトがプルするブランチを書き換えます。作業ツリーをマウントするローカルのコンテナも同じです。マウントは書き込み可能だからです。資格情報の面はクラウド環境で扱っています。
チェックポイントは、この隙間の一部を埋めます。2026 年 10 月時点で、Claude Code のチェックポイントのドキュメントには「Checkpointing does not track files modified by bash commands.」とあります。破壊的な git コマンドは bash コマンドとして実行されるため、それが捨てた作業は巻き戻しでは戻りません。
サンドボックスと CC Safety Net を併用する
サンドボックスは、どのコマンドが届く範囲も制限します。CC Safety Net は、その境界の内側でサンドボックスが許可してしまう破壊的なコマンドと資格情報の読み取りを止めます。 サンドボックスと許可リスト自体も破られることがあります。2026 年には、CVE-2026-25725 がsettings.json を介して Claude Code の bubblewrap サンドボックスを脱出し、CVE-2026-22708 が Cursor のコマンド許可リストを回避しました。手元にあるレイヤーは、すべて動かしてください。