2026年6月、Claude Code の CHANGELOG に、エージェントの「暴走」を防ぐ変更が立て続けに入った（v2.1.183〜187。日付はリリーストラッカー上で6月19日〜23日前後）。auto mode が破壊的な git / IaC コマンドを既定で拒否し、サンドボックス実行が秘密情報を読めなくする設定が追加された。同じ週、Gemini API では画像プレビューモデルの停止期日（6月25日）が迫っている。
無人実行や CI でエージェント CLI を回している人ほど、これは「動作が変わる」アップデートだ。何が拒否されるようになり、何を設定し直すべきかを、一次情報（CHANGELOG と公式ドキュメント）から確認できる範囲だけで整理する。
結論
| 確認項目 | ニュースの含意 | 直すこと |
|---|---|---|
| auto mode の破壊的コマンド遮断（v2.1.183） |
git reset --hard 等が「破棄」を明示しない限り拒否される |
スクリプト/プロンプトが破棄を明示しているか確認 |
| モデル非推奨の警告（v2.1.183） |
-p 実行時に stderr へ警告。サイレントなモデル自動更新に気づける |
-p の stderr をログ/監視へ取り込む |
sandbox.credentials（v2.1.187） |
サンドボックス実行が認証ファイル/秘密の環境変数を読めなくなる | managed settings に追加 |
| 組織によるモデル制限（v2.1.187） | 管理者が使用可能モデルを CLI 全体で制限。ANTHROPIC_MODEL でも回避不可 |
組織ポリシーで許可モデルを定義 |
| Gemini 画像プレビュー停止（6/25） | 該当モデルへの API 呼び出しが失敗するようになる | 6月25日までに移行 |
Claude Code v2.1.183：auto mode が破壊的コマンドを拒否
確認できる事実
CHANGELOG の v2.1.183 に、auto mode の安全性強化が記載されている。
原文: "destructive git commands (git reset --hard, git checkout -- ., git clean -fd, git stash drop) are now blocked when you didn't ask to discard local work"
日本語訳:「破壊的な git コマンド（git reset --hard, git checkout -- ., git clean -fd, git stash drop）は、ローカルの作業を破棄するよう求めていない場合はブロックされるようになった」（Claude Code CHANGELOG, v2.1.183）
同じ記述には、git commit --amend と IaC の destroy 系コマンドのブロックも含まれる。
原文: "git commit --amend is blocked when the commit wasn't made by the agent this session, and terraform destroy/pulumi destroy/cdk destroy are blocked unless you asked for the specific stack"
日本語訳:「git commit --amend は、そのコミットがこのセッションでエージェントが作成したものでない場合にブロックされる。また terraform destroy／pulumi destroy／cdk destroy は、対象スタックを明示して求めない限りブロックされる」（同上）
あわせて、モデルの非推奨・自動更新を知らせる警告も追加された。
原文: "Added a warning when the requested model is deprecated or automatically updated to a newer model, shown on stderr in print mode (-p)"
日本語訳:「要求したモデルが非推奨、または新しいモデルへ自動更新された場合に警告を表示するようにした。print mode（-p）では stderr に出力される」（同上）
実務解釈
- これは「便利機能」ではなく既定動作の変更だ。これまで auto mode／無人実行で通っていた
git reset --hardやterraform destroyが、意図を明示しないと拒否される。CI のジョブが「いつもの掃除コマンド」で止まる可能性がある。 - 対策はシンプルで、破棄してよい場面では「破棄してよい」と明示すること。逆に言えば、これまで暗黙に破壊的コマンドが走っていた箇所が可視化される。事故が一度でも怖いリポジトリほど、この既定は歓迎できる。
-
-p（print mode）でパイプライン的に使っている場合、stderr に出る非推奨警告を拾う設計にしておくと、モデルが裏で別バージョンへ差し替わって出力が変わる「サイレント障害」に先回りできる。
Claude Code v2.1.187：sandbox.credentials と組織モデル制限
確認できる事実
v2.1.187 では、サンドボックス実行からの秘密情報読み取りを止める設定が追加された。
原文: "Added sandbox.credentials setting to block sandboxed commands from reading credential files and secret environment variables"
日本語訳:「サンドボックス内のコマンドが認証情報ファイルや秘密の環境変数を読み取れないようにする sandbox.credentials 設定を追加した」（Claude Code CHANGELOG, v2.1.187）
同じバージョンで、組織管理者がモデルを制限できるようになった。
原文: "Added org-configured model restrictions to the model picker, --model, /model, and ANTHROPIC_MODEL, with a "restricted by your organization's settings" message when a restricted model is selected"
日本語訳:「モデルピッカー、--model、/model、ANTHROPIC_MODEL に組織設定によるモデル制限を追加した。制限されたモデルを選ぶと『組織の設定により制限されています』と表示される」（同上）
実務解釈
-
sandbox.credentialsは、プロンプトインジェクション経由のシークレット流出に対する具体的な防御線だ。エージェントが生成したシェルコマンドが.envや認証ファイルを読み出して外へ送る、という典型的な攻撃面を設定一つで塞げる。チームの managed settings に入れておく価値が高い。 - 組織モデル制限は、
ANTHROPIC_MODELの環境変数でも回避できない点が肝心だ。コストやコンプライアンスの理由で「このモデルしか使わせない」を、個々の開発者の手元設定に頼らず効かせられる。 - どちらも「個人の良心」ではなく仕組みで縛る方向の機能で、複数人・無人で AI ツールを回す組織ほど効いてくる。
Gemini API：画像プレビューモデルが6月25日に停止
確認できる事実
Gemini API の changelog（2026年5月28日付の告知）に、画像プレビューモデルの停止が明記されている。
原文: "The gemini-3.1-flash-image-preview and gemini-3-pro-image-preview models are deprecated and will be shut down on June 25, 2026."
日本語訳:「gemini-3.1-flash-image-preview と gemini-3-pro-image-preview は非推奨となり、2026年6月25日に停止される」（Gemini API changelog）
加えて、6月15日付で Veo 系モデルの停止（6月30日）も告知されている（veo-2.0-generate-001 / veo-3.0-generate-001 / veo-3.0-fast-generate-001）。
実務解釈
- 該当モデル ID を直に指定して呼んでいる場合、6月25日を境に呼び出しが失敗する。プレビュー版を本番で使い続けるリスクが現実化する典型例だ。
- 「とりあえず動いた preview モデルを固定で使う」運用は、こうした期日で必ず跳ね返ってくる。モデル ID は設定の一箇所に集約し、非推奨告知を定期的に確認する運用にしておきたい。
実装チェックリスト
Claude Code（auto mode / 無人実行）
-
auto mode や
-pを CI で使っている箇所を洗い出す -
その中で
git reset --hard/git clean -fd/terraform destroy等を流していないか確認する - 破棄が正当な処理は「破棄してよい」と明示する形に書き換える
-
-pの stderr を収集し、モデル非推奨/自動更新の警告を検知できるようにする
シークレット保護・モデル統制
-
managed settings に
sandbox.credentialsを追加し、サンドボックスからの認証情報読み取りを遮断する -
組織で許可するモデルを定義し、
--model//model/ANTHROPIC_MODEL全経路に効くことを確認する - バージョンを v2.1.187 以降に更新し、設定が反映されるか dry-run で検証する
Gemini API
-
gemini-3.1-flash-image-preview/gemini-3-pro-image-previewの利用箇所を grep する - 6月25日までに後継モデルへ移行する（Veo 利用者は6月30日も確認）
失敗パターン
パターン1：CI が「いつもの破棄コマンド」で突然止まる → v2.1.183 以降、auto mode は破棄の明示がない破壊的コマンドを拒否する。ジョブ失敗を「バグ」と誤認しやすい。意図的な破棄は明示する、が正しい対処。
パターン2：シークレット保護を「プロンプトの注意書き」で済ませる → 注意書きはインジェクションで上書きされうる。sandbox.credentials のような仕組み側の遮断に置き換える。
パターン3：モデル制限を各自の環境変数任せにする → ANTHROPIC_MODEL を個人が上書きできる前提では統制にならない。組織設定で全経路に効かせる。
パターン4：preview モデルIDをコードに直書きで固定 → 停止期日が来ると即障害。モデルIDは設定に集約し、非推奨告知を定期確認する。
参考リンク
- Claude Code CHANGELOG（anthropics/claude-code, GitHub）
- Gemini API changelog（Google AI for Developers）
- Gemini API deprecations
この記事を書いた人✏️@YushiYamamoto
ITPRODX.com代表 / AIアーキテクト
Next.js / TypeScript / n8nを活用した自律型アーキテクチャ設計を専門としています。
日々の自動化の検証結果や、ビジネス側の視点（ROI等）に関するより深い考察は、以下の公式サイトおよびnoteで発信しています。