藤川の Permissions 7月24日現在
2026年7月24日の安全点検（第1次: deny/ask 強化、第2次: allow 厳選）適用後の全リストです。
この設定の読み方
優先順位は deny → ask → allow の順。同じ操作が複数のリストに当てはまる場合、より厳しい側が必ず勝ちます。記号の意味: * は「ここに何が来てもよい」、//**/ は「パソコン全体のどこにあっても」。
ALLOW 自動許可しているもの（39 件）
1. Claude Code の基本ツール（7 件）
狙い: 調べ物とファイル作業の土台。これがないと仕事になりません。ファイルの読み書きには deny の秘密ファイル保護が常に優先して効きます。
| 対象 | 解説 |
|---|---|
WebSearch / WebFetch | Web 検索と、Web ページの取得（2 件） |
Read / Edit / Write | ファイルを読む・直す・作る（3 件）。秘密ファイルは deny が優先して遮断 |
Glob / Grep | ファイル名検索と、ファイル内の文字検索（2 件） |
2. 検証済みの安全コマンド（16 件）
狙い: 7/24 の多段検証（候補 45 件 × 懐疑役 2 名 → 上位モデル監査）を通過した「絶対大丈夫」だけ。python3 や brew install のような便利でも万能すぎるものは、あえて通していません（慎重モードでは確認が出ます）。
| 規則 | 解説 |
|---|---|
Bash(sw_vers:*) Bash(uname:*) | macOS・システムの基本情報表示（読み取りのみ） |
Bash(system_profiler:*) | ハード・ソフト構成の一覧表示（読み取りのみ） |
Bash(df:*) | ディスクの空き容量表示 |
Bash(date:*) | 日時の表示（日誌やファイル名づくりで毎日使う） |
Bash(diskutil list:*) | ディスク一覧の表示。消去系の diskutil は deny のまま |
Bash(mkdir:*) | フォルダ作成。既存のものを上書きできない仕様なので安全 |
Bash(touch:*) | 空ファイルの作成。中身を消す機能がない |
Bash(shasum:*) | ファイルの「指紋」計算（重複ファイル探しに使用）。中身は表示されない |
Bash(brew list:*) Bash(brew info:*) Bash(brew search:*) Bash(brew outdated:*) | brew（アプリ管理）の一覧・情報・検索・更新チェック（4 件、読み取りのみ）。インストール自体は慎重モードでは確認 |
Bash(git switch -c:*) | git の新しい作業ブランチ作成「だけ」。作業を破棄できる派生形（-f 等）は通らない形に絞り込み済み |
Bash(git restore --staged --:*) | ステージ（コミット準備）の取り消し「だけ」。編集内容を破棄する派生形は通らない |
Bash(git init) | git 管理の開始。完全一致のみで、危険な追加指定は一切通らない |
3. Chrome の閲覧・操作（8 件）
狙い: 毎日の Web リサーチを止めないため。ページを読む・移動する・クリックするまでは自動、フォーム送信などの危険操作は ASK 側で確認、という線引きです（7/24 の摩擦検証に基づく判断）。
| 対象 | 解説 |
|---|---|
...read_page / ...get_page_text / ...find | ページの構造・本文を読む、ページ内を探す（3 件） |
...tabs_context_mcp / ...list_connected_browsers | タブや接続状態の確認（2 件） |
...navigate / ...tabs_create_mcp | ページ移動と新規タブ（2 件） |
...computer | クリック・スクロール・キー入力。調査作業で1セッション数十回使うため自動。送信ボタンの前はチャットで確認する行動規範が別途あり |
4. Google・Hugging Face の接続（3 件）
狙い: カレンダー・ドライブ・AI モデル置き場の閲覧を止めない。サーバー丸ごとの許可ですが、予定の作成・削除やファイル作成など「状態を変える」操作は ASK が優先して確認になります。
| 対象 | 解説 |
|---|---|
mcp__claude_ai_Google_Calendar | カレンダー（予定の閲覧・空き時間検索は自動、変更系は確認） |
mcp__claude_ai_Google_Drive | ドライブ（ファイルの検索・閲覧は自動、作成・複製は確認） |
mcp__claude_ai_Hugging_Face | AI モデル・データの検索と情報取得 |
5. Gmail の読み取り（5 件）
狙い: メールは「読むのは自動、変えるのは確認」。ここは読む系だけを 1 つずつ名指しで許可しています。
| 対象 | 解説 |
|---|---|
...search_threads / ...get_thread / ...get_message | メールの検索・スレッド閲覧・1 通の閲覧（3 件） |
...list_drafts / ...list_labels | 下書き一覧・ラベル一覧の表示（2 件） |
ASK 毎回確認するもの（34 件）
1. 安全装置そのものの書き換え（4 件）
狙い: 悪意ある Web ページが Claude をだまして安全設定を外す「プロンプト注入」攻撃への最重要対策。頼んだ覚えのない確認が出たら、それが攻撃のサインです。
| 対象 | 解説 |
|---|---|
Edit(//**/.claude/settings.json) | この権限設定ファイル自体の編集 |
Edit(//**/.claude/settings.local.json) | 補助の設定ファイルの編集 |
Edit(~/.claude/CLAUDE.md) | Claude の行動規範（家訓）の編集 |
Bash(claude config *) | コマンド経由での設定変更 |
2. 「後で勝手に動く仕組み」の設置（5 件）
狙い: 定期実行や自動起動は便利ですが、知らないうちに仕込まれると「無人で動き続ける攻撃拠点」になり得ます。設置・変更・削除に必ず目を通します。
| 対象 | 解説 |
|---|---|
mcp__scheduled-tasks__create_scheduled_task | 定期タスクの新規作成 |
mcp__scheduled-tasks__update_scheduled_task | 定期タスクの変更 |
mcp__scheduled-tasks__delete_scheduled_task | 定期タスクの削除 |
Bash(crontab *) | 予約実行（cron）の設定・確認 |
Edit(~/Library/LaunchAgents/**) | ログイン時自動起動の仕込みファイルの作成・編集 |
3. 取り消しにくい操作（4 件）
狙い: 失敗するとやり直せない操作の前に一呼吸。正当な用途もあるので禁止ではなく確認にしています。
| 対象 | 解説 |
|---|---|
Bash(git reset *--hard*) | セーブしていない作業の破棄。復元点への巻き戻しで正当に使うこともある |
Bash(defaults *write*) | Mac やアプリの設定の書き換え |
Bash(defaults *delete*) | 同・設定の削除 |
mcp__Read_and_Write_Apple_Notes__update_note_content | Apple メモの上書き（メモ帳側に「元に戻す」がないため） |
4. 最強クラスの遠隔操作ツール（3 件）
狙い: Mac 全体やログイン済みブラウザを直接操れるツールは、他の禁止をすべて素通りできてしまう「万能の手」。使う前に必ず確認します。
| 対象 | 解説 |
|---|---|
mcp__Control_your_Mac__osascript | AppleScript で Mac 全体を操作するツール |
mcp__Control_Chrome__execute_javascript | ログイン済み Chrome の中で任意のプログラムを動かすツール |
mcp__claude-in-chrome__shortcuts_execute | Chrome に登録された自動操作（ショートカット）の実行 |
5. Chrome での危険度の高い操作（4 件）
狙い: ページを見る・スクロールするのは自動（ALLOW）、フォームに書き込む・ファイルを送るなど「状態を変える操作」は確認、という線引きです。
| 対象 | 解説 |
|---|---|
mcp__claude-in-chrome__javascript_tool | ページ内で任意のプログラムを実行 |
mcp__claude-in-chrome__form_input | 入力欄への書き込み |
mcp__claude-in-chrome__file_upload | ファイルのアップロード（外部への送信） |
mcp__claude-in-chrome__tabs_close_mcp | タブを閉じる（作業中のページを失わないため） |
6. Gmail・カレンダー・ドライブの「状態を変える」操作（14 件）
狙い: 外部の相手に影響が及ぶ操作（招待・下書き・ファイル作成）は必ず目を通します。
| 対象 | 解説 |
|---|---|
...Google_Calendar__create_event | 予定の作成（相手に招待が飛ぶことがある） |
...Google_Calendar__update_event | 予定の変更 |
...Google_Calendar__delete_event | 予定の削除 |
...Google_Calendar__respond_to_event | 招待への出欠返信（相手に通知される） |
...Google_Drive__create_file | ドライブへのファイル作成 |
...Google_Drive__copy_file | ドライブのファイル複製 |
...Gmail__create_draft | メール下書きの作成（送信の一歩手前） |
...Gmail__create_label | ラベル（分類フォルダ）の新設 |
...Gmail__label_message / label_thread | メールへのラベル付け（2 件） |
...Gmail__unlabel_message / unlabel_thread | ラベル外し（2 件） |
...Gmail__apply_sensitive_message_label / ..._thread_label | 機密ラベルの付与（2 件） |
DENY 禁止しているもの（77 件）
1. 削除コマンド（7 件）
狙い: ファイル削除は必ず「ごみ箱経由」にする家訓の徹底。直接消すコマンドは、本体だけでなく抜け道もまとめて封鎖しています。
| 規則 | 解説 |
|---|---|
Bash(rm *) | ファイル削除コマンドの本体。ごみ箱を通さず即座に消してしまうため禁止 |
Bash(sudo rm*) | 管理者権限つきの削除。被害がシステム領域まで広がるため禁止 |
Bash(rmdir *) | フォルダ削除コマンド。同上 |
Bash(/bin/rm*) | 「住所（フルパス）で呼べば rm 禁止をすり抜けられる」という抜け道の封鎖 |
Bash(/usr/bin/rm*) | 同上の保険（この Mac には存在しない場所ですが念のため） |
Bash(xargs *rm*) | 別のコマンドに削除を「代行」させる抜け道の封鎖 |
Bash(*-exec rm*) | 検索コマンドに削除を実行させる抜け道の封鎖 |
2. ディスクの破壊（6 件）
狙い: ディスクの初期化・上書きは、実行した瞬間に取り返しがつかない最悪級の事故。全面封鎖です。
| 規則 | 解説 |
|---|---|
Bash(dd *) | ディスクやファイルを直接上書きする強力コマンド。誤用すると起動不能になる |
Bash(/bin/dd*) | 上のフルパス版の抜け道封鎖 |
Bash(mkfs*) | ディスクの初期化（フォーマット） |
Bash(*diskutil erase*) | Mac 標準のディスク消去 |
Bash(*diskutil apfs delete*) | Mac のディスク領域の削除 |
Bash(*diskutil partitionDisk*) | ディスクの分割し直し（中身が消える） |
3. git（作業履歴）の破壊（6 件）
狙い: git はコードの「セーブデータ」。過去のセーブを上書き・削除する操作は事故のもとなので禁止しています。
| 規則 | 解説 |
|---|---|
Bash(git push*--force*) | ネット上のセーブ履歴を強制上書き。他の履歴が失われる |
Bash(git push* -f*) | 上と同じ操作の省略形 |
Bash(git push* --delete*) | ネット上に保存した作業の束（ブランチ）の削除 |
Bash(git push* -d*) | 上と同じ操作の省略形（7/24 の検証で見つかった抜け道） |
Bash(git push* :*) | 同じ削除の特殊な書き方。これも抜け道として封鎖 |
Bash(*git clean*) | セーブしていないファイルの一括削除。ごみ箱を通らないため禁止 |
4. プログラム経由の削除（8 件）
狙い: Python や Node のプログラムに削除を書かせる抜け道への「柵」。よく使われる書き方を名指しで止めます（完全な壁ではありません。下の注意書き参照）。
| 規則 | 解説 |
|---|---|
Bash(*shutil.rmtree*) | Python のフォルダ一括削除 |
Bash(*shutil.move*) | Python の移動（上書きで消える事故を防ぐ） |
Bash(*os.remove*) | Python のファイル削除 |
Bash(*os.unlink*) | 同上（別名） |
Bash(*os.rmdir*) | Python のフォルダ削除 |
Bash(*pathlib*unlink*) | Python のファイル削除（もう一つの書き方） |
Bash(*fs.rm*) | Node（JavaScript）のファイル・フォルダ削除 |
Bash(*fs.unlink*) | 同上（別名） |
5. パスワード保管庫（キーチェーン）の読み出し（6 件）
狙い: Mac の「キーチェーン」には各サービスのパスワードが保管されています。そこから合言葉を抜き出すコマンドを全面封鎖（7/24 の点検で新設。それまで無防備でした）。
| 規則 | 解説 |
|---|---|
Bash(security find-generic-password*) | アプリのパスワードを平文で取り出すコマンド |
Bash(security find-internet-password*) | Web サイトのパスワードを取り出すコマンド |
Bash(security dump-keychain*) | 保管庫を丸ごと書き出すコマンド |
Bash(security export*) | 鍵や証明書のエクスポート |
Bash(security -i*) | 対話モードで上記を実行する抜け道の封鎖 |
Bash(/usr/bin/security *) | フルパスで呼ぶ抜け道の封鎖 |
6. システム防御・常駐サービスの操作（8 件）
狙い: Mac 自体の防御機能を切ったり、裏で動く常駐プログラムを操作したりする行為は、影響が大きすぎるため禁止。
| 規則 | 解説 |
|---|---|
Bash(*csrutil disable*) | Mac の中核防御（SIP）の無効化 |
Bash(*spctl --master-disable*) | 「未確認アプリの起動ブロック」の無効化 |
Bash(launchctl bootout*) | 常駐サービスの強制停止 |
Bash(launchctl unload*) | 常駐サービスの解除 |
Bash(launchctl load*) | 常駐サービスの追加（勝手に何かを常駐させない） |
Bash(launchctl bootstrap*) | 同上（別の書き方） |
Bash(*tmutil delete*) | Time Machine バックアップの削除 |
Bash(crontab -r*) | 予約実行の設定を一括で全消去するコマンド |
7. 秘密ファイルの読み取り（32 件）
狙い: パスワード・鍵・認証情報が入ったファイルは、そもそも読ませない。7/24 の点検で「今開いているフォルダ内しか守れていない」欠陥を修正し、パソコン全体（//**/）に効くようにしました。9 件は新規追加です。
| 規則 | 解説 |
|---|---|
Read(//**/.env) Read(//**/.env.*) | アプリの合言葉（API キー等）を入れる定番ファイル |
Read(//**/*.pem) Read(//**/*.key) Read(//**/*.ppk) | 暗号鍵ファイル各種 |
Read(//**/id_rsa*) Read(//**/id_ed25519*) Read(//**/.ssh/**) | SSH（サーバー接続）の秘密鍵一式 |
Read(//**/.kube/**) Read(//**/.aws/**) Read(//**/.config/gcloud/**) | クラウドサービス（AWS・Google Cloud 等）の認証情報 |
Read(//**/.credentials.json) | 各種ツールの認証ファイル（Claude Code 自身のものを含む） |
Read(//**/*.pfx) Read(//**/*.p12) | 証明書と秘密鍵のセット |
Read(//**/.netrc) Read(//**/.npmrc) Read(//**/.pypirc) Read(//**/.git-credentials) | 各開発ツールに保存されたパスワード・トークン |
Read(//**/Login Data) Read(//**/Cookies) | Chrome の保存パスワードとログイン状態（Cookie） |
Read(//**/.zsh_history) Read(//**/.bash_history) | ターミナルの入力履歴（パスワードが紛れ込みがち） |
Read(//**/Library/Keychains/**) | キーチェーンのファイル本体 |
Read(//**/.config/gh/hosts.yml) | 新規: GitHub CLI のトークン（アカウントの合鍵） |
Read(//**/.gnupg/**) | 新規: GPG（署名・暗号化）の秘密鍵 |
Read(//**/.docker/config.json) | 新規: Docker の認証情報 |
Read(//**/.cargo/credentials*) Read(//**/.gem/credentials) | 新規: Rust・Ruby の公開用トークン |
Read(//**/.huggingface/**) Read(//**/.cache/huggingface/token) | 新規: Hugging Face のトークン（モデル本体のキャッシュは対象外なので利用に支障なし） |
Read(//**/Local State) Read(//**/Web Data) | 新規: Chrome の暗号鍵と、保存されたカード・住所情報 |
8. 秘密ファイルの書き換え（4 件）
狙い: 読むだけでなく、書き換え（改ざん・すり替え）も止める。読み取り禁止だけでは新規書き込みを止められない仕様のため、別途明示しています。
| 規則 | 解説 |
|---|---|
Edit(//**/.env) Edit(//**/.env.*) | 合言葉ファイルの書き換え禁止 |
Edit(//**/.credentials.json) | 認証ファイルの書き換え禁止 |
Edit(//**/.ssh/**) | 新規: SSH 鍵のすり替え・改ざん禁止 |
大事な注意書き: この一覧は「事故防止の柵」であり、完璧な壁ではありません（公式ドキュメントも明言しています）。たとえば Python プログラムの中身までは検査できません。最後の砦は「送信・購入・削除の前はチャットで確認する」という Claude の行動規範と、藤川さんの「頼んだ覚えのない確認には『いいえ』を押す」習慣です。
