Claude Code にコマンド実行を任せる範囲が広がるほど、無視できなくなる問いが二つあります。ひとつは「エージェントが動かすサブプロセスに認証情報が渡っていないか」、もうひとつは「git の破壊的操作でローカルの作業が消えないか」です。この記事では、2025 年 6 月に一般公開されたフック機能と、2026 年に相次いで追加された秘密情報スクラブ・破壊的 git ブロックの各設定を組み合わせ、ゼロから動く「秘密情報ガード + git 自動化」の防護層を通しで構築します。

フック機能と本番防護に使える設定の全体像（2026-09-02 時点）

Claude Code のフックはバージョン 1.0.38（2025 年 6 月 30 日）で一般公開された機能です。

Released hooks. Special thanks to community input in https://github.com/anthropics/claude-code/issues/712 . Docs: https://code.claude.com/docs/en/hooks

変更履歴（changelog）に一般公開時の記載があり、フックのドキュメントは https://code.claude.com/docs/en/hooks に置かれています。フックはツールの実行前後などのタイミングでスクリプトを起動する仕組みで、本番防護の中核になります。

2026 年に入ってから、フック単体では担いきれない防護をエンジン側の設定で補う機能が段階的に追加されました。設計方針を決めるうえで、本番で使える主な部品は次の三系統に整理できます。

第一に、サブプロセスへの認証情報漏れを止める系統です。環境変数 CLAUDE_CODE_SUBPROCESS_ENV_SCRUB=1（バージョン 2.1.83）で Bash ツール・フック・MCP stdio サーバーのサブプロセス環境から Anthropic とクラウドプロバイダーの認証情報を削除できます。加えて sandbox.credentials 設定（バージョン 2.1.187）で、サンドボックス内コマンドが認証情報ファイルとシークレット環境変数を読むこと自体を禁止できます。

第二に、破壊的 git 操作を止める系統です。バージョン 2.1.183 で git reset --hard などがユーザーの明示要求なしにはブロックされるようになりました。

第三に、フック自体の絞り込みと拡張です。バージョン 2.1.85 で追加された if フィールドにより、フックの起動条件をパーミッションルール構文で絞り込めます。

無料プレビューでは最初の一歩まで、有料本文でこの三系統をゼロから通しで組み上げます。

References

[1] https://code.claude.com/docs/en/changelog