Claude Codeは初期設定だとパソコン中のファイルを書き換えられる｜止め方を教えます

Claude Codeに何かを頼むたびに「実行していいですか」と聞かれ、「はい」を押す。

1日に何十回も繰り返しているうちに、中身を読まずに押すようになっていませんか。

その状態でAIが動かすコマンドは、初期設定のままだと作業と関係ないフォルダまで書き換えられます。

お客様の見積書が入ったフォルダも、共有フォルダも、書き換えができてしまいます。

読まずに押した「はい」の1回によって、ファイルが消えてしまうなんてことも。。。

もしかしたら、あなたのパソコンもいまその状態かもしれません。

怖いと思ったらすぐに1か所だけ設定を確認してください。

Claude Codeの設定画面にある「ローカルサンドボックス」をオンにすると、AIが動かすコマンドは作業中のフォルダの外に書けなくなります。

この設定は初期状態でオフになっています。
つまり、作業フォルダ以外の場所も書き換えができてしまう状態です。

Codexは逆で、最初からオンです。
なので少しは安心です。

この記事では、オフのままだと何が起きるのか、オンにする場所、オンにしたあとに実際に何が変わったかを書きます。

この記事でわかること
サンドボックスは「AIの作業部屋に鍵をかける仕組み」
Claude Codeは初期状態でオフ。守りは「毎回の確認」だけ
オンにするのは設定画面の1か所
1. ターミナルで使っている場合
2. 会社で使うなら、プロジェクトごとに設定ファイルで固定する
「厳格なサンドボックスモード」はオフのままでいい
オンにして何が変わったか、実際に試した結果
Codexは最初からオン。「フルアクセス」をオフのままにする
1. Codexもプロジェクトごとに設定ファイルで確認する
安心して使うために確かめる3か所
よくある質問
あなたのClaude Codeは、いまどちらですか
参考にした情報

この記事でわかること

初期設定のままだと、AIがパソコンのどこまで触れるのか
Claude Codeでオンにする場所（デスクトップアプリとターミナルの両方）
オンにしたあと、日常の作業で何が変わるのか
Codexで確認する場所と、Claude Codeとの初期設定の違い
会社で使うときに、プロジェクトごとに設定を固定する方法

サンドボックスは「AIの作業部屋に鍵をかける仕組み」

Claude CodeもCodexも、頼んだ作業をこなすためにパソコンの中でコマンドを動かします。

ファイルを作る、書き換える、消す、外部のサービスに接続する、といった操作です。

放っておくと、この操作はパソコンのどこでも操作できてしまいます。

作業とは関係ないフォルダの書類も、ブラウザが保存したパスワードも、メールの下書きも、その範囲に入ります。

そこで、AIが動かすコマンドを「作業中のフォルダの中だけ」に閉じ込める仕組みが用意されています。

これが『サンドボックス』です。

砂場（サンドボックス）の中なら自由に遊んでいいが、砂場の外には出られない、という意味の名前です。

会社にたとえると、外部の作業員に1つの部屋を貸して、その部屋の中では自由に作業してもらい、隣の部屋に入ろうとしたら扉が開かない、という状態です。

扉が開かないのは、AIが「入らないように気をつけている」からではありません。

パソコンの基本ソフト（macOSなど）が扉に鍵をかけているので、AIが間違えても、悪意のある指示を読み込んでしまっても、物理的に外へ出られません。

サンドボックスの仕組み。作業フォルダの部屋の中でAIが作業し、隣の部屋（ほかのフォルダ・パスワードのファイル）への扉に鍵がかかっている図

Claude Codeは初期状態でオフ。守りは「毎回の確認」だけ

Claude Codeの公式リファレンスでは、サンドボックスの設定項目（sandbox.enabled）の初期値はオフ（false）と書かれています。

私のデスクトップアプリでも、開いた時点ではオフでした。

「危ない仕組みが初期状態で無効になっている」と聞くと不安になりますが、これには理由があります。

Claude Codeは、サンドボックスとは別の守り方を最初から持っています。

ファイルを書き換えるときやコマンドを動かすときに、1回ずつ「実行していいですか」と聞いてくる方式です。

初期設定では、AIが何かするたびに人が確認して許可します。

この確認方式が土台で、サンドボックスはその上に足す「柵」という位置づけです。

柵が無くても、確認を毎回読んでいれば事故は起きません。

問題は、そのうち面倒くさがって読まなくなることです。

1日に何十回も「はい」を押していると、中身を読む前に指が動きます。

私も見に覚えがないとは言いません･･･。

そのときに、コマンドが作業フォルダの外へ届かない柵があれば、押し間違いが事故になりません。

危ないのは、この柵が無いまま「はい」を押し続けている状態です。

初期状態は「毎回確認」の1層だけ。サンドボックスをオンにすると「確認」と「柵」の2層になることを示す図

オンにするのは設定画面の1か所

Claudeのデスクトップアプリで設定します。

画面左下の自分のアカウント名を押し、「設定」を開く（キーボードの command キーと「,」を同時に押しても開く）
左の一覧から「Claude Code」を選ぶ
下へ送って「ローカルサンドボックス」のスイッチをオンにする

Claudeデスクトップアプリの設定画面。「ローカルサンドボックス」のスイッチをオンにした状態

説明文に「新しいセッションに適用されます」とあるとおり、いま開いている会話には反映されません。

オンにしたら、新しいセッションを開き直してください。

ターミナルで使っている場合

ターミナル版のClaude Codeでは、入力欄に /sandbox と打ちます。

「Mode」というタブが開くので、矢印キーで「Auto-allow」か「Regular permissions」のどちらかを選んで Enter キーを押します。

どちらを選んでもサンドボックスはオンになり、違いは「柵の中のコマンドまで毎回確認するか」だけです。

迷ったら「Regular permissions」を選ぶと、いままでどおり確認が出ます。

会社で使うなら、プロジェクトごとに設定ファイルで固定する

会社で複数の人が使うなら、「各自が設定画面でオンにする」より「プロジェクトを開いたら必ずオンになっている」状態にしておくほうが確実です。

設定画面のスイッチは、その人のパソコンにしか反映されません。

プロジェクトのフォルダに設定ファイルを置いておけば、誰がそのフォルダを開いても同じ設定になります。

プロジェクトのフォルダの中に .claude というフォルダを作り、その中の settings.json に次のように書きます。

{
  "sandbox": {
    "enabled": true,
    "network": {
      "allowedDomains": ["github.com", "*.githubusercontent.com"]
    }
  }
}

allowedDomains は、確認なしで通信してよい接続先の一覧です。

ここに書いた先以外へ初めて接続しようとすると、確認が出ます。

GitHub（プログラムの保管場所）のように、そのプロジェクトで必ず使う接続先だけを書いておきます。

自分のパソコン全体に同じ設定をかけたい場合は、ホームフォルダの .claude/settings.json に同じ内容を書きます。

Windowsで直接動かしているClaude Codeでは、サンドボックスは使えません。

公式ドキュメントでは、WindowsではWSL2（Windowsの中でLinuxを動かす仕組み）の中でClaude Codeを動かすように案内されています。

「厳格なサンドボックスモード」はオフのままでいい

「ローカルサンドボックス」の下に、もう1つ「厳格なサンドボックスモード」というスイッチがあります。

オフのままにします。

Claudeデスクトップアプリの設定画面。「厳格なサンドボックスモード」のスイッチがオフのままの状態

サンドボックスの中では動かせないコマンドがあります。

サーバーに接続するssh、別のフォルダへファイルを書き出す処理などです。

厳格モードがオフなら、こうしたコマンドに当たったときにClaudeが「サンドボックスの外で実行してもいいですか」と聞いてきます。

厳格モードをオンにすると、この確認が出ずに、コマンドがそのまま止まります。

慣れていない人には「なぜか動かない」としか見えません。

「確認を読んで自分で判断する」で十分安全なので、厳格モードは、会社として一律に禁止したい場合の選択肢と考えてください。

オンにして何が変わったか、実際に試した結果

オンにして、3つの操作をClaude Codeに頼んで試しました。

試した操作	結果
作業フォルダの外にファイルを作る	止まった（Operation not permitted）
作業フォルダの外のファイルを読む	読めた
外部サービス3件に接続する（Chatwork・Google・GitHub）	3件とも接続できた

書き込みだけが止まり、読み取りは通りました。

通信が通ったのは、私が「自動」モード（Claudeが確認の要否を判断するモード）で使っているためです。

公式ドキュメントによると、「手動」モードでは初めての接続先ごとに確認が出ます。

読み取りは原則として止めません。
AIが作業のために周りのファイルを参照する必要があるからです。

パスワードが書かれたファイルを読まれたくない場合は、別途「読ませないファイル」を設定で指定します（公式ドキュメントの sandbox.credentials という項目です）。

試したあと、ふだんの作業に戻ったら、その日のうちに1回止まりました。

ダウンロードフォルダにあるファイルの整理を頼んだときです。

ダウンロードフォルダは作業フォルダの外なので、そこからファイルを動かす操作が止まりました。

Claudeは「サンドボックスの中では実行できなかったので、外で実行する」と断ってから動きました。

たとえば「デスクトップのファイルをまとめて」「別のフォルダに書き出して」と頼むと、同じことが起きます。

「手動」モードなら、そのときに次のような確認画面が出ます。

イメージです。

確認画面の見出しには「Bash command (unsandboxed)」と付きます。

「unsandboxed」は「サンドボックスの外」という意味で、これが付いていたら、柵の外に出ようとしている合図です。

ここで中身を読んで「許可」を押すのが、オンにしたあとに増える作業のすべてです。

Codexは最初からオン。「フルアクセス」をオフのままにする

ChatGPTのデスクトップアプリの設定画面には、「サンドボックス」という名前の項目がありません。

代わりに「権限」という見出しの下に、「デフォルト権限」と「フルアクセス」の2つのスイッチがあります。

ChatGPTアプリの設定を開く
「一般」を選ぶ
「権限」の「フルアクセス」がオフになっていることを確かめる

ChatGPTデスクトップアプリの設定画面。「権限」の「デフォルト権限」がオン、「フルアクセス」がオフの状態

Codexの公式ドキュメントには、初期状態の権限モードではサンドボックスが自動で適用されると書かれています。

つまり「デフォルト権限」がオンの状態が、Claude Codeで言う「ローカルサンドボックスがオン」に当たります。

書き込みは作業フォルダの中だけ、ネットワークへの接続は初期状態でオフ、という範囲です。

「フルアクセス」をオンにすると、このサンドボックスが外れます。

説明文にも「承認なしにコンピューター上のあらゆるファイルを編集し、ネットワークを使用するコマンドを実行できます」と書かれています。

Codexで確かめるのは、この1点です。

Codexもプロジェクトごとに設定ファイルで確認する

Codexには「workspace-write」という設定があります。

作業フォルダ（ワークスペース）の中だけ書き込める、という意味です。

書く場所は、プロジェクトのフォルダに置く .codex/config.toml というファイルです。

sandbox_mode = "workspace-write"

[sandbox_workspace_write]
network_access = true

Codexのサンドボックスは、ネットワークへの接続も初期状態で止めます。

GitHubなどに接続する必要があるプロジェクトだけ、network_access = true を書いて通信を許可します。

接続先を1つずつ指定するClaude Codeに対して、Codexは「通信する／しない」の2択です。

会社で複数のプロジェクトを動かしている場合は、各プロジェクトのこの設定を1回まとめて確認しておくと、あとが楽です。

2つを並べると、初期設定が逆になっています。

	Claude Code	Codex（ChatGPTアプリ）
サンドボックスの初期状態	オフ	オン
確認する設定	「ローカルサンドボックス」をオンにする	「フルアクセス」をオフのままにする
設定の場所	設定 → Claude Code	設定 → 一般 → 権限
初期状態の守り方	操作のたびに人が確認する	サンドボックスで閉じ込める
通信の許可	接続先を1つずつ指定	通信する／しないの2択
プロジェクトごとの設定ファイル	.claude/settings.json	.codex/config.toml