AI エージェントが実行する前に、破壊的なコマンドをブロック。

CC Safety Net は、Claude Code、Codex、Cursor などの AI コーディングエージェント向けの実行前フックです。シェルコマンドとファイル操作のツール呼び出しを実行前に 1 つずつ読み取り、作業を破壊するものやシークレットを露出させるものをブロックします。対象は git reset --hard、git push --force、ホームディレクトリへの rm -rf、.env ファイル・SSH 鍵・クラウドの資格情報の読み取りなどです。macOS、Linux、Windows で 16 のコーディングエージェント CLI に対応し、無料で、MIT ライセンスで公開されています。サンドボックスではありません。

npx -y cc-safety-net@latest install で CC Safety Net をインストールし、npx -y cc-safety-net@latest doctor を実行してフックが有効になったことを確認します。Node.js 18 以降が必要です。インストール後は、git reset --hard、git checkout -- .、git clean -f、git stash clear、git push --force が拒否され、エージェントにはその理由と、代わりに使う安全なコマンドが伝えられます。rm -rf は、ホームディレクトリ、ファイルシステムのルート、プロジェクト外のパスに対してブロックされます。プロジェクト内での削除は、paranoid レベルを有効にしないかぎり許可されます。

場合によります。拒否ルールは決定的で、bypassPermissions モードでも適用されます。1 つの CLI でいくつかの決まったコマンドを止めるだけなら、それで足りるかもしれません。ただし拒否ルールはコマンド文字列をワイルドカードのパターンと照合するため、フラグの順序の入れ替え（rm -r -f）、シェルラッパー（sh -c "..."）、インタープリターを使うとすり抜けられます。CC Safety Net はコマンドが何をするかを解析するため、こうした変形も捕捉します。さらに、ツールごとに別々の形式で書かなくても、16 の CLI を 1 つのポリシーと 1 つの監査ログで管理できます。両方を使う構成も多くあります。

部分的にはそうです。2026年10月時点で、Claude Code の auto モードは分類器モデルを使い、git reset --hard、git clean -fd、git stash clear などのコマンドを既定でブロックします。ただしこれは判断に基づくもので、Anthropic は、実際の行き過ぎた操作に対するこの分類器の偽陰性率を 17% と公表しています。bypassPermissions モードでは何も確認されません。CC Safety Net の拒否は決定的なチェックです。Claude Code 2.1.251 での検証では、default、auto、bypassPermissions のいずれのモードでも拒否が働きました。default モードですべてのコマンドを自分で確認しているなら、CC Safety Net は不要かもしれません。

未コミットの作業を守りたいなら、おそらく必要です。Claude Code や Codex のサンドボックスは、書き込みをプロジェクトディレクトリに限定し、ネットワークアクセスを制限します。しかし git reset --hard と rm -rf . が書き込むのはそのディレクトリの中で、git push --force の送り先は許可済みのリモートです。そのため、サンドボックスは 3 つとも通します。CC Safety Net はこれらをブロックしますが、プロセスの封じ込めやネットワークの制御はしません。主な懸念がプロンプトインジェクション、悪意のある依存関係、信頼できないコード、ネットワーク経由のデータ流出なら、サンドボックスのほうが適しています。両方を使ってください。

確実には取り消せません。2026年10月時点で、Claude Code のチェックポイントのドキュメントには、bash コマンドで変更されたファイルはチェックポイントで追跡されないとあります。巻き戻せるのは、Claude のファイル編集ツールで行った編集だけです。git reset --hard、git clean、rm はいずれも bash コマンドとして実行されるため、これらが破棄した作業は巻き戻しでは復元できません。コンテナにも同じ隙間があります。マウントした作業ツリーには実際の未コミットの作業があり、プッシュは実在のリモートに届きます。実行前にコマンドをブロックするほうが安全なレイヤーで、長期的な履歴は Git のコミットで残します。

いいえ。2026年10月時点で、Claude Code のサンドボックスのドキュメントには組み込みの資格情報の拒否リストはないと書かれており、既定の読み取りアクセスでは ~/.aws/credentials や ~/.ssh/ などのファイルも読めます。他の CLI には、ツールごとに自分で書くオプトインの拒否設定があります。CC Safety Net は、インストールした時点から .env ファイル、SSH 秘密鍵、クラウドの資格情報ストア、コーディングエージェントの認証トークンの読み取りをブロックします。対象は cat .env のようなシェルコマンドと、エージェント自身の読み取り、編集、書き込み、検索のツールです。独自の拒否パスも追加できます。

MIT ライセンスで公開されている無料のオープンソースです。フックはツール呼び出しをチェックするとき、ネットワークリクエストを送りません。判定は手元のマシンの ~/.cc-safety-net/logs に記録されます。ネットワークに接続するのは、自分で実行するいくつかのコマンドだけです。doctor は npm レジストリで新しいバージョンを確認し、ダッシュボードは GitHub のスター数を取得し、ルールブックの同期は GitHub からルールブックをダウンロードします。いずれも、コマンドやファイルの内容は送信しません。

あり得ます。そのため、安全レベルを調整できるようになっています。既定の standard レベルは、認識できる破壊的なパターンをブロックし、通常のコマンドとプロジェクト内での削除は普段どおり実行させます。strict は、完全には解析できないコマンドもブロックします。paranoid では、プロジェクト内の rm -rf と、python -c や node -e のワンライナーもブロックします。npx cc-safety-net gui または policy.json で、レベルを選び、個々のルールをオン・オフできます。ワークツリーモードでは、確認済みのリンクされた Git ワークツリー内で、git reset --hard などのローカルの破棄を許可します。コマンドがブロックされた理由は npx cc-safety-net explain で確認できます。