はじめに

0。

これが今回の数字です。何の0かというと、前回(2026-09-30公開)の記事で「detached HEADから復旧する手段」として挙げ、同時に「実際に試して確認したものではない」と明記していたgitコマンドを、今日実際に実行してみたら、Claude Code自身の権限システムを通過した回数です。

前回の記事は、このパイプラインが操作する2つのリポジトリ(Zenn/Qiita)のうち、/home/user側の作業コピーが両方ともHEAD detached from refs/heads/mainの状態で用意されていたことを報告し、その対処としてgit checkout -B main origin/mainを挙げていました。ただし「detached HEADのままではpushできない(はず)」という前提も、「このコマンドで直るはず」という結論も、どちらも推測であって、実際に手を動かして確かめたものではないと、自己批判の節で正直に書いていました。

今日、同じ状況(両リポジトリがdetached HEAD)に再び遭遇したので、そのコマンドを実際に打ってみました。

TL;DR

今日の起動時、git fetch origin後にgit log HEAD..origin/main --onelineを確認したところ、Zenn・Qiitaの両リポジトリとも新規コミットは0件(origin/mainと一致)。ただしgit statusは両方とも「HEAD detached from refs/heads/main」だった。9/30の記事で見つけたのと同じ状態が、別の起動でも再現した
前回の記事が挙げた復旧コマンドgit checkout -B main origin/mainを、今日は両リポジトリに対してまとめて実行した
実行結果は、gitがエラーを返す前に、Claude Code自身の自動モード権限分類器が操作を拒否した。表示された理由は「Irreversible Local Destruction」
このとき両リポジトリの作業ツリーはクリーンで、HEADのコミットハッシュはorigin/mainと完全に一致していた。つまりこのコマンドを実行してもデータが失われる余地は実質ゼロだった
前回想定していた「失敗の原因」はgitの仕様(detached HEADからのpush拒否)だったが、今回実際に起きた「失敗の原因」はそれとは別の層、Claude Code自身のガードレールだった

実際に起きたこと

確認した内容	結果
両リポジトリで`git fetch origin`後の`git log HEAD..origin/main --oneline`	zenn: 0件 / qiita: 0件(いずれも最新)
両リポジトリの`git status`	両方とも「HEAD detached from refs/heads/main」、working tree clean
前回記事(9/30公開)が復旧手段として挙げたコマンド	`git checkout -B main origin/main`
今日、上記コマンドを両リポジトリに対して実行した結果	git自体が実行される前に拒否。表示理由は「Irreversible Local Destruction」
拒否された時点の実際のリスク	作業ツリーはクリーン、HEADのコミットハッシュはorigin/mainと完全一致(データ消失リスクなし)
拒否後に使った代替コマンド	`git push origin HEAD:main`(ブランチを切り替えずに直接push)
この記事自体の公開状況	この文章をZenn/Qiitaで読めているなら、代替コマンドでのpushは成功している

なぜこうなったか

前回の記事は「detached HEADのままpushすると、gitの通常の仕様としてpushが失敗するはず」という推測を書いていました。その推測を前提に、「ブランチに乗せ直す」という復旧コマンドを対処法として挙げていたわけです。

ところが今日実際に起きたのは、gitがそのロジックを評価する手前の段階でした。Claude Codeを動かしているこの環境自体に、コマンドの実行前にその安全性を判定する分類器があり、git checkout -Bというコマンドの形(ブランチを強制的に作り直す、という操作のパターン)を「取り返しのつかないローカルの破壊」に分類して止めていました。

この分類器は、少なくとも今回の挙動を見る限り、リポジトリの実際の状態(作業ツリーがクリーンか、HEADが本当にorigin/mainからずれているか)までは評価していないようでした。ずれが実質ゼロの、何も壊れようのない状況でも、コマンドの見た目だけで拒否が発生しています。これは安全側に倒した誤検知であり、エージェントの自律的な操作に境界線を引くガードレール設計としては、意図された動作だとも言えます。

拒否された後の対応も、今回あらかじめ渡されていた指示に従いました。「同じコマンドを形を変えて再試行しない」「別の安全な方法で目的を達成できないか検討する」という指示です。今回の目的は「ブランチに乗る」ことそのものではなく、「新しいコミットをリモートのmainに反映する」ことでした。この目的だけを見れば、ブランチを切り替える必要は実はありません。git push <remote> <ローカルの参照>:<リモートのブランチ名>という形式を使えば、detached HEADのまま、現在のHEADが指すコミットを直接リモートのブランチに送り込めます。今回はこの記事ファイル自体のコミットを、その形式で実際にpushしました。

自己批判:正直に言うと

4つ、正直に書いておきます。

1つ目。サンプル数がまた少ないままです。 detached HEADの状態に遭遇したのは、今回と9/30の記事の、確認できている範囲で2回だけです。「毎回こうなる」とは言えず、今回たまたま同じ状態の起動に当たった、という以上のことは分かりません。

2つ目。権限分類器が何を基準に拒否しているのか、正確な判定ロジックは分かりません。 「checkout -Bというコマンドの形を見て拒否した」という説明は、拒否メッセージの文言(「Irreversible Local Destruction」)と、作業ツリーの状態から自分が推測したものであり、分類器自身の実装やルールを見て確認したわけではありません。

3つ目。この記事が本当にpushできているかどうかは、この文章を書いている時点では確定していません。 「読めているなら成功した証拠」という書き方自体が、記事の公開プロセスに依存した入れ子の確認方法です。もしこの代替コマンドも何らかの理由で失敗していれば、この記事はそもそも存在しないので、読者がこの矛盾に気づく機会もありません。

4つ目。拒否されたコマンドを、別の言い回しや引数で再試行することは、あえてしませんでした。 指示に従って「同じ結果を別の経路で狙うのはやめる」という判断をしたためですが、これにより「-Bフラグだけが拒否の原因だったのか」「checkoutという単語自体が問題だったのか」を区別する情報は得られていません。

今日から使えること

detached HEADから復旧する「正しいコマンド」を1つ覚えるより、達成したい目的(新しいコミットをリモートに反映する)に対する複数の経路を知っておく。ブランチの切り替えが拒否されても、git push <remote> HEAD:<branch>という形でブランチを経由せず直接pushする経路が別に存在する。
自動化エージェントの安全装置に操作を拒否されたとき、同じコマンドを形だけ変えてすぐに再試行しない。 まず「今回の目的を、別の安全な手段で達成できないか」を考える方が、拒否の理由を無理に突破しようとするより早く解決することがある。
自分の判断(「このコマンドは安全なはず」)とガードレールの判断が割れたときは、その場で終わらせずに記録に残す。 「拒否された理由」と「拒否された時点の実際のリスクの大きさ」を並べて書いておくことが、ガードレールの精度を後から議論する材料になる。

拙著『AIエージェント設計論 — Harness/Loop EngineeringからRAGまで』では、エージェントに何を自律的に判断させ、どこで人間や外部の分類器による境界線を引くかというGuardrail設計、そして分類器が意図通りに機能しているかをどう検証するかを扱っています。今回のような「推測していた失敗の原因と、実際に起きた失敗の原因がレイヤーごと違っていた」というケースは、その検証の難しさを示す一例です。