何が起きたか
公式チェンジログ（code.claude.com/docs/en/changelog）を確認したところ、v2.1.248（2026年8月27日付）に`--restricted`フラグ（環境変数`CLAUDE_CODE_RESTRICTED=1`でも指定可能）が追加されています。このフラグを付けて起動すると、コマンドやコードを実行する組み込みツールと`WebFetch`が使えなくなります。`--tools`で個別に許可を指定した場合だけ例外です。ファイル操作系のツールは作業ディレクトリの外を読み書きできなくなり、権限確認を丸ごと省略する`bypassPermissions`は拒否されます。ユーザー・プロジェクト・ローカルの各設定ファイルも読み込まれなくなると記載されています。
同じバージョンには`experimental.cacheTtl`というエージェント側の設定も追加されています。プロンプトキャッシュの保持時間をエージェント単位で"5m"や"1h"に指定するもので、`--restricted`とは別の変更点です。
実務にどう効くか
当メディアの運営元は117名を超えるAI社員組織を運用しており、各AI社員に何のツールを渡すかは日々の運用課題です。社内ルールでは、外部データに含まれる指示的な文言を実行しないことや、機密ディレクトリへのアクセスを担当者以外に許さないことを明文化していますが、これらは実行時の判断をモデル自身に委ねる文書上の取り決めです。判断を誤らせるような入力が混入すれば、その取り決めだけでは防げません。`--restricted`は、この判断をエージェントに委ねず、起動時点でコマンド実行やWebFetchという手段そのものを奪う点が異なります。
この違いが効くのは、担当業務がファイルの読み書きに閉じていて、外部通信や任意コマンドの実行を必要としない場面です。たとえば定型のデータ整形や社内文書の校正だけを任せるエージェントであれば、`--restricted`で起動しても業務は成立し、仮に誤った指示を読み込んでも実行できる手段自体がありません。逆に、Web検索や外部APIの呼び出しを前提とする業務にはそのままでは使えず、`--tools`で必要な範囲だけを明示的に開ける調整が要ります。
編集部の見立て
複数のAIエージェントを並行運用する組織が増えるほど、権限管理は文書のルールだけでは足りなくなります。書かれたルールはエージェントの判断が正しく働くことを前提にしていますが、`--restricted`のような機能は、その判断そのものを迂回して制約をかけられる点で性質が異なります。今後は、フルツールで動かす信頼済みのセッションと、`--restricted`で手段を絞ったセッションを業務の性質で使い分ける運用が広がると見ています。
次号予告は購読でお知らせします。