3行で
- 自分のセッションログから Claude Code が実行した Bash コマンド 6,419 件を取り出して形を測った。
- **中央値 242 文字。80 文字以内に収まるのは 11.0%。26% はシェルではなく別言語のプログラムを流し込んでいる。**残りの純シェルも 91.3% が複合で、断片数の中央値は 5、最大 60。
- コマンド名で承認や監査をする仕組みは、この形の入力を前提にしていない。前方一致の許可リストは 13.2% を素通しさせる。
動機
前の記事で、ツール失敗 283 件のうち最多の原因がハーネスの承認ゲートだったことを書いた。承認は「コマンド」を単位に判定している。ではエージェントが渡している「コマンド」とは、実際にどういう形をしているのか。
人間がターミナルに打つものを想像していたら、まったく違った。
測り方
Claude Code は ~/.claude/projects/**/*.jsonl にセッションを残す。Bash 呼び出しは type: "tool_use" かつ name: "Bash" のブロックで、実行内容は input.command に文字列で入っている。
if blk.get("type") == "tool_use" and blk.get("name") == "Bash":
cmd = (blk.get("input") or {}).get("command")
これを全部集めて、長さ・区切り記号・先頭語を数える。スクリプトは末尾に置いた。実行するとこう出る。
Bash コマンド 6,419 件
別言語を埋め込んでいる 1661 = 25.9%
シェルだけ 4758 = 74.1%
python を標準入力へ 709 中央値 886 字 / 最大 13490 字
長さ: 中央値 242 / p90 1323 / p99 4795 / 最大 14489 字
80字以内 708 = 11.0%
埋め込みの無い 4,758 件について
複合（断片2個以上） 4345 = 91.3%
断片数 中央値 5 / 平均 6.3 / 最大 60
断片の先頭語 異なり 3,758 種 / 総数 30,176
上位12: echo:4950, head:3092, grep:2275, cd:2128, ls:1475, git:1380, cat:1021, sed:805, gh:613, find:606, do:574, done:570
許可リスト14語で判定すると
先頭語だけ見る 2018 = 42.4%
全断片を見る 1389 = 29.2%
差 629 = 13.2% が前方一致なら素通しになる
4件に1件は、シェルですらない
1,661 件（25.9%）は、シェルの構文の中に別の言語のプログラムを丸ごと入れている。ヒアドキュメント、あるいは python3 -c。
そのうち 709 件が python3 - << の形で、Python を標準入力から流し込んでいる。中央値 886 文字、最大 13,490 文字。
これは「シェルコマンドを実行した」と呼べる規模ではない。実態は、その場で書いた 886 文字のプログラムを、シェルを配管として提出している。
この事実の帰結が2つある。
1. シェルレベルの検査は中身を見られない。 python3 - <<'PY' の外側だけを見れば、これは python3 を呼ぶ無害なコマンドに見える。886 文字の中身は文字列リテラルの向こう側にある。
2. 失敗の出方が変わる。 前の記事で「実行時エラー 32 件」の中身が Traceback と SyntaxError だったのは、これが理由だ。シェルのエラーではなく、埋め込まれた Python のエラーが返ってくる。
純シェルの側も、1行ではない
別言語を含まない 4,758 件だけを見ても、91.3% が複合だった。断片数の中央値は 5。最大 60。
上位語の並びが実態をよく表している。
echo:4950, head:3092, grep:2275, cd:2128, ls:1475, git:1380,
cat:1021, sed:805, gh:613, find:606, do:574, done:570
echo が最多で、断片総数 30,176 のうち 4,950 を占める。これは出力ではなく区切りとして使われている。「=== 次のファイル === と印字してから次を表示する」という、人間向けの整形が入っている。do と done がほぼ同数（574 / 570）で並んでいるのは、for ループが日常的に書かれているということだ。
つまりエージェントは、1回の呼び出しで調査手順をまるごと1本のスクリプトとして提出している。ディレクトリを見て、見出しを出して、ループで各ファイルの先頭を表示して、最後に集計する。人間なら5回に分けて打つものが1件になる。
理由は分かる。1回の呼び出しに往復のコストがかかるなら、まとめたほうが速い。合理的な最適化だ。ただ、この形を前提にしていない仕組みが周りにある。
許可リストが機能しない
読み取り系の 14 語 — ls cat head tail wc grep find echo pwd git python3 rg sed awk — を許可リストにしたとする。
- 先頭語だけを見て判定すると 2,018 件（42.4%）が通る。
- 全断片を見て判定すると 1,389 件（29.2%）しか通らない。
- 差の 629 件（13.2%）は、前方一致では通るのに、中に許可外のコマンドを含んでいる。
これは実装の甘さの話ではなく、規模の話でもある。断片の先頭語は 3,758 種あり、そのうち 2,815 種が1回しか出てこない。上位何語で覆えるかを見ると、こうなる。
| 上位N語 | 断片のカバー率 |
|---|---|
| 10 | 60.8% |
| 20 | 71.4% |
| 50 | 77.3% |
| 100 | 81.0% |
| 500 | 87.7% |
500 語を列挙しても 12.3% が残る。 許可リストは、この分布に対しては原理的に追いつかない。上位 10 語で 6 割を覆えるのは効率がいいように見えるが、残り 4 割が 3,748 種に散っている。
私はこの数字を出すのにパーサを3回書き直した。それでもまだ間違っている
最初は \n | && ; で単純に分割した。ヒアドキュメントの本文が全部「断片」として数えられ、異なり語数が 22,394 になった。Python のコード行を「シェルコマンド」として数えていた。
次にヒアドキュメントの本文を落とした。異なり語数は 5,601 に下がったが、まだ import def print( が上位に出ていた。終端タグの検出が甘く、拾いきれていない。
3回目で、埋め込みを含む呼び出しを分析対象から丸ごと外した。それが上の 4,758 件。それでもまだ漏れている。
清浄集合に漏れている Python の予約語: {'def': 50, 'class': 22, 'from': 3, 'import': 1} 合計 76
全断片 30176 に対し 0.25%
0.25% なので結論は動かない。動かないが、残っていることが重要だ。
シェルの文法は正規表現で分解できない。クォート、ネスト、コマンド置換、ヒアドキュメント、$() の中のさらなるクォート。私は3回試して、それでも 76 個の Python 予約語をシェルコマンドとして数えている。
そして承認や監査の仕組みは、まさにこれをやっている。前の記事で見た This Bash command contains multiple operations. The following part requires approval: という判定は、この分解の上に成り立っている。分解が近似である以上、判定も近似になる。
これは Claude Code の欠陥という話ではない。シェル文字列を単位に権限を判定するという設計そのものが、この入力の形に対して無理をしているという話だ。
実務としてどうするか
計測から言えることは3つ。
1. 許可リストで安全性を担保しない。 前方一致は 13.2% を素通しさせ、完全一致にしても 3,758 種の語彙には追いつかない。許可リストは「よくある操作を毎回聞かれないようにする利便性の道具」であって、境界ではない。境界はサンドボックスや作業ディレクトリの制限のような、シェル文字列を解釈しなくても効く層に置く。
2. 埋め込みプログラムは、埋め込まずにファイルへ出す。 886 文字の Python をヒアドキュメントで流すと、検査も差分も再実行もできない。ファイルに書いてから python3 file.py で呼べば、シェル側からは1コマンドになり、中身は普通のコードとしてレビューできる。私自身、この記事のスクリプトは全部ファイルに置いている。
3. 長い複合コマンドは、失敗の切り分けを潰す。 断片が5個あって exit≠0 のとき、どれが落ちたのかは出力から読むしかない。前の記事で見た「出力はあるのに exit≠0」の 60 件は、全部この形だった。
この記事の限界
- 私1人のコーパスである。6,419 件は 35 プロジェクト分で、作業の内容（ログ解析やテキスト処理が多い）が語彙の分布に直接効いている。ビルドやデプロイが中心の環境ではまったく違う形になる。
- 断片の分解は近似である。上に書いたとおり、0.25% の漏れが残っている。比率の議論には耐えるが、個別の数字を厳密なものとして扱わないでほしい。
- 許可リスト 14 語は私が例として決めたもので、実在の設定ではない。「前方一致と完全判定でこれだけ差が出る」という構造を示すための例。
- コマンドが実際に何をしたかは見ていない。形だけの分析であって、危険度の分析ではない。
自分のログで測る
#!/usr/bin/env python3
"""Claude Code のセッションログから Bash コマンドを取り出し、形を測る。
python3 bash_shape.py [~/.claude/projects]
"""
import sys, os, glob, json, re, collections, statistics
# シェルの外側の言語を埋め込んでいる呼び出し
EMBED = re.compile(r"<<|(?:python3?|node|perl|ruby|uv run)\s+-[ce]\b")
# 承認の例として使う、読み取り系の許可リスト
ALLOW = {"ls", "cat", "head", "tail", "wc", "grep", "find",
"echo", "pwd", "git", "python3", "rg", "sed", "awk"}
def commands(root):
"""全セッションから Bash ツールに渡された command 文字列を集める。"""
for path in glob.glob(os.path.join(root, "**", "*.jsonl"), recursive=True):
with open(path, encoding="utf-8", errors="replace") as fh:
for line in fh:
try:
ev = json.loads(line)
except ValueError:
continue
content = (ev.get("message") or {}).get("content")
if not isinstance(content, list):
continue
for blk in content:
if (isinstance(blk, dict) and blk.get("type") == "tool_use"
and blk.get("name") == "Bash"):
cmd = (blk.get("input") or {}).get("command")
if cmd:
yield cmd
def frags(cmd):
"""区切り記号で割って、各断片の先頭語を返す。
これは近似でしかない。クォートもヒアドキュメントも解釈していないので、
埋め込まれた別言語の行が「断片」として数えられることがある。
"""
return [s.strip().split()[0]
for s in re.split(r"\n|\||&&|;", cmd) if s.strip()]
def main():
root = os.path.expanduser(sys.argv[1] if len(sys.argv) > 1 else "~/.claude/projects")
all_cmds = list(commands(root))
if not all_cmds:
print("Bash コマンドが見つからない。パスを確認する。")
return 1
embed = [c for c in all_cmds if EMBED.search(c)]
clean = [c for c in all_cmds if not EMBED.search(c)]
py_stdin = [c for c in all_cmds if re.search(r"python3?\s+-\s*<<", c)]
n = len(all_cmds)
print(f"Bash コマンド {n:,} 件")
print(f" 別言語を埋め込んでいる {len(embed):>5} = {len(embed) / n * 100:>5.1f}%")
print(f" シェルだけ {len(clean):>5} = {len(clean) / n * 100:>5.1f}%")
if py_stdin:
lens = [len(c) for c in py_stdin]
print(f" python を標準入力へ {len(py_stdin):>5}"
f" 中央値 {statistics.median(lens):.0f} 字 / 最大 {max(lens)} 字")
lens = sorted(len(c) for c in all_cmds)
pick = lambda p: lens[min(int(len(lens) * p), len(lens) - 1)]
print(f"\n長さ: 中央値 {statistics.median(lens):.0f} / p90 {pick(.90)} "
f"/ p99 {pick(.99)} / 最大 {max(lens)} 字")
short = sum(1 for x in lens if x <= 80)
print(f" 80字以内 {short} = {short / n * 100:.1f}%")
# 以降は、埋め込みの無い部分集合だけを見る
F = [frags(c) for c in clean]
m = len(clean)
cnt = [len(f) for f in F]
comp = sum(1 for x in cnt if x > 1)
print(f"\n埋め込みの無い {m:,} 件について")
print(f" 複合（断片2個以上） {comp} = {comp / m * 100:.1f}%")
print(f" 断片数 中央値 {statistics.median(cnt):.0f} / 平均 {sum(cnt) / m:.1f} "
f"/ 最大 {max(cnt)}")
u = collections.Counter()
for f in F:
u.update(f)
print(f" 断片の先頭語 異なり {len(u):,} 種 / 総数 {sum(u.values()):,}")
print(" 上位12: " + ", ".join(f"{k}:{v}" for k, v in u.most_common(12)))
first = sum(1 for f in F if f and f[0] in ALLOW)
full = sum(1 for f in F if f and all(t in ALLOW for t in f))
print(f"\n 許可リスト{len(ALLOW)}語で判定すると")
print(f" 先頭語だけ見る {first} = {first / m * 100:.1f}%")
print(f" 全断片を見る {full} = {full / m * 100:.1f}%")
print(f" 差 {first - full} = {(first - full) / m * 100:.1f}% が前方一致なら素通しになる")
return 0
if __name__ == "__main__":
sys.exit(main())
まとめ
エージェントが Bash ツールに渡しているのは、コマンドではなくプログラムだった。
- 中央値 242 文字。1行に収まるのは 11.0%。
- 25.9% はシェルの中に別言語を丸ごと入れている。Python の場合、中央値 886 文字。
- 純シェルでも 91.3% が複合。断片の中央値は 5。
- 先頭語は 3,758 種、うち 2,815 種は1回きり。上位 500 語でも 87.7% しか覆えない。
- コマンド名の前方一致で判定すると、13.2% が中身を見られずに通る。
「どのコマンドを許可するか」という問いの立て方が、入力の形に合っていない。境界は、シェル文字列を解釈しなくても効く場所に置く。
関連
「境界は、シェル文字列を解釈しなくても効く場所に置く」と書きました。規約もまったく同じで、書いた内容ではなく置いた場所で効き目が決まります。文書に書いただけの規則は、ここでの前方一致と同じく素通りします。
どの層に何を置くかと、効かなくなる4つのパターンをまとめた本があります。
→ AIコンテキスト設計ガイド ── 規約を配ったのに守られない理由（2,000円）
第3章「規約が効かなくなる4つのパターン」まで無料で読めます。
/compact の後もルートの CLAUDE.md は再注入されるが、サブディレクトリと paths: 付きは再注入されない ── 長いセッションで静かに落ちるのはどちらか、という章です。