常に「自動承認」を使っていれば、Claude が誤判定したアクションの影響をまったく受けないということで、完全に安心してよいですか？
完全には安心できない。自動承認に組み込まれた安全性レビューは、Claude 自身が「安全でない」と判断したアクションを捕捉するために設計されている——つまり Claude 自身がリスクを認識できた状況は効果的にブロックできるが、客観的には本当にリスクがあるにもかかわらず Claude が安全だと誤判定してしまったアクションまで確実に捕捉できる保証はない。これこそがプロンプトインジェクション攻撃が危険である理由だ。ドキュメントやウェブページに巧妙に作り込まれた悪意ある指示が隠されていて、それがタスクの正常な一部だと Claude にうまく思い込ませてしまえば、このレビューの層は警告を発しない。
より正確な理解は、自動承認の安全性レビューを「リスクをなくす」仕組みではなく「リスクを減らす」仕組みとして捉えることだ——それはまったく誰も見ていなかった状況を、自動判定という層が見張る状況に変えるが、その見張りは完璧ではない。だからこそ公式ドキュメントは、自動承認モードであっても、機微なファイル、アカウント、高リスクなサイトに関わるタスクでは手動承認への切り替えを推奨すると特に注意を促している。
「すべての承認をスキップ」に切り替えた後、ファイル削除時の確認以外にも、まったく何のプロンプトも出なくなるのですか？
これは「すべての承認をスキップ」を理解する上で最も誤解しやすい点だ。公式ドキュメントの原文は「何もそのアクションをチェックしない」であり、これは安全性レビューという層が取り除かれたことを指しているのであって、あらゆる種類のプロンプトが消えるという意味ではない。ファイル削除時の特定の確認プロンプトは、承認モードとは独立して常に存在するハードルールであり、「安全性レビューがあるかどうか」とは別の話だ——すべての承認をスキップした状態でも、この特定の確認は依然として表示される。なぜならそれは安全性レビューの仕組みの一部ではなく、承認モードの影響を受けない独立した防衛線だからだ。
言い換えれば、「すべての承認をスキップ」が取り除くのは「Claude が自らリスク評価を行い、問題があると判断した場合だけ立ち止まって確認する」という仕組み全体であり、「特定の高リスクなアクションについては、どのモードであっても必ず明示的な同意が必要」というルールではない。この2つは別々に設計されているため、削除確認がたまに表示されるのを見て、そのモードの下でも実は安全性レビューが動いていると誤解しないほうがよい。
タスクが最初は低リスクな日常業務として自動承認で始まったものの、途中で機微なファイルに触れる必要が出てきた場合、承認モードは自動的に調整されますか？
自動的には調整されない。承認モードはユーザーが能動的に選択し能動的に切り替える設定であり、タスクの内容が途中で変わったからといって自動的にアップグレードやダウングレードされることはない。つまり、最初は低リスクだと判断して自動承認を選んでいても、途中で Claude が当初想定していなかった機微なファイルへのアクセスが必要だと判断した場合、自動承認に組み込まれた安全性レビューがその特定のアクションをブロックし、立ち止まって確認を求めてくることはあり得るが、それは安全性レビューの仕組み自体がトリガーした一時停止であって、システムが承認モードを自動的に手動承認へ切り替えたわけではない。
だからこそ Anthropic は「タスクを監視すること」を、一度設定したら手放してよいものではなく、継続的な行動として推奨している。背後で自動レビューが動いていても、Claude が当初言及していなかったファイルやサイトにアクセスしていないかを自分自身で注意しておくことは、推奨される実践の一つだ。タスクの範囲が当初想定していたものを超えていることに気づいたら、システムが自動的に調整してくれるのを待つよりも、自分から能動的に手動承認へ切り替えるほうが確実だ。
コンピュータ操作（computer use）機能も、同じ自動承認／すべての承認をスキップのロジックが適用されますか？
コンピュータ操作は特に注意が必要な項目だ。そのリスク構造が他のツールとは異なるためだ。Anthropic のドキュメントは、権限チェックを経るファイル操作や、隔離環境内で実行されるコード実行とは異なり、コンピュータ操作には Claude とあなたの画面上の内容との間にサンドボックスが一切存在しないと明確に述べている。つまり Claude があなたの画面を直接クリックし、入力し、操作するという行為自体のリスク構造は、ファイルの読み書きとはまったく同じではなく、公式が特に名指しで格別の注意を求めているカテゴリーだ。
コンピュータ操作について公式が特に注意を促しているのは次の点だ：Claude は許可されたアプリしか使用できないが、あるアプリ内でリンクをクリックした場合、そのリンクの先にあるアプリへのアクセスを許可していなくても、そのリンクは開かれてしまう。つまり承認モードのロジックはコンピュータ操作にも適用されるが、画面との相互作用が直接的かつ即時的であるため、自動承認モードであっても、承認モード自体が提供する保護だけに頼るのではなく、機微なアプリ（医療ポータル、銀行、出会い系アプリなど）をブロックするといった追加の予防策を組み合わせることを、公式は依然として推奨している。
Claude Cowork がタスクをこなしている間、画面には毎ステップ「このアクションで問題ないですか？」というプロンプトが表示されるわけではない——これは Cowork が複数の承認モードを提供しており、Claude が毎回停止して確認を求めるべきかどうかをユーザーが選べるようになっているためだ。その中の「自動承認」（Automatically approve）と「すべての承認をスキップ」（Skip all approvals）という2つのモードは、名前も似ており、どちらも「毎回手動で承認をクリックしなくてよい」という点では共通している。しかし Anthropic の公式ドキュメントがこの2つの違いを説明しているのは実質1文だけであり、その1文の差が、タスク実行中に本当に何かがあなたを見守っているかどうかを決めている。
Anthropic の安全ガイドはこの2つのモードを並べて直接対比させている：「自動承認」モードでは、Claude は各アクションを実行する前に依然として安全性をレビューする。「すべての承認をスキップ」モードでは、何もそのアクションをチェックしない。短い一文だが、そこに引かれている違いは本質的なものだ——「自動承認」が省いてくれるのは、1つずつ手動で「許可」をクリックする手間であり、その背後では依然として安全性レビューの層が動いている。「すべての承認をスキップ」は、その手動ステップに加えて安全性レビューの層まで一緒に取り除いてしまう。
Anthropic のドキュメントによれば、自動モードでは Claude が各アクションの実行前に安全性を評価し、安全でないと判断したものはブロックする。あるアクションがブロックされた場合、Claude はより安全な方法を探すか、直接立ち止まってユーザーに確認する。つまり「自動承認」は「何も考えずにすべてを通す」ことではなく、「段階的な確認の代わりに、Claude 自身がまずリスクスクリーニングを行い、そのスクリーニングを通らなかったものだけ立ち止まって確認する」ということだ。あなた自身ではないが、誰も見ていないわけでもない、自動化されたゲートキーピングの層が間に挟まっている。
特に覚えておく価値があるのは、どちらの承認モードを選んでいても、Cowork はファイルを完全に削除する前に明示的な許可を必要とするということだ——許可を求めるプロンプトが表示され、「許可」を選択しなければ Claude は削除を実行できない。このルールは承認モードによって変わらない。つまり「すべての承認をスキップ」に切り替えて安全性レビューを完全にオフにしていても、ファイルの削除に関しては依然として確認プロンプトが表示される——これはモードの切り替えによっても変わらない、数少ない絶対的な防衛線の一つだ。
Anthropic のドキュメントは、見落とされがちな事実についても率直に述べている：自動承認であれ、すべての承認をスキップであれ、Claude がタスクの途中で悪意のあるコンテンツ（つまりプロンプトインジェクション）を読み取った場合、あなたが気づく前にその指示に従って行動してしまう可能性がある。つまり「自動承認」に組み込まれた安全性レビューは、Claude 自身が安全でないと判断したアクションを捕捉するために設計されているが、プロンプトインジェクションが十分に巧妙に作られていて Claude に悪意あるアクションを安全だと誤判定させてしまえば、そのレビューの層が確実にそれを捕捉できる保証はない。2つのモードの違いは「レビューが行われるかどうか」であって、「どちらのモードでもプロンプトインジェクションを完全に防げるかどうか」ではない——これは両者に共通する弱点であり、モードを切り替えるだけで解決する問題ではない。
Anthropic はいくつかの具体的な状況で手動承認（Manually approve）への切り替えを推奨している：タスクが機微なファイル、アカウント、サイトに触れる場合。新しいツール、プラグイン、サイトを初めて使う場合。そしてメッセージの送信や購入のように、間違えると元に戻すのが難しい操作を伴う場合だ。つまり「自動承認」も「すべての承認をスキップ」も、固定的なデフォルトとして使い続けるべきものではなく、タスクの性質に応じて動的に切り替えるべきものだということだ。日常的でリスクの低い作業は自動承認で時間を節約し、タスクの性質が変わってリスクが高まった瞬間に手動承認に戻して自分で段階的に確認する——それが Anthropic が実際に推奨しているやり方だ。
現在デフォルトで「すべての承認をスキップ」を使っているなら、まず自分に問いかける価値がある問いが1つある。そのモードを選んだのは、このタスクに関わるすべてのツール、コネクタ、ファイル、アプリを本当に完全に信頼しているからか、それとも単に承認のクリック回数を減らしたいからか？このモードに関する Anthropic 自身のガイダンスは明確だ——関わるすべてのアクション、コネクタ、ファイル、アプリを完全に信頼している場合にのみ使うべきだとされている。もし正直な答えが後者に近いなら、「自動承認」に切り替えても操作上の体感はほとんど変わらない（引き続き連続して実行され、段階的な確認は不要だ）が、その代わりにアクション実行前にリスクを評価する層が1つ追加される。この切り替えのコストはほぼゼロであるのに対し、得られる保護は実質的なものであり、特にそのタスクに関わるすべてのドキュメントとすべてのサイトが完全にクリーンで悪意のあるコンテンツを含まないと保証できない場合には、その価値は大きい。