yolo claude codeとは？危険性と安全な使い方・事故を防ぐ設定

yolo claude codeとは？YOLOモードの正体

「YOLO」は「You Only Live Once」の略で、Claude Codeの公式機能名ではありません。検索でいう「yolo claude code」は、主に確認プロンプトを省略する起動方法、つまり --dangerously-skip-permissions を指します。Claude Codeの公式ドキュメントでは、この状態を bypassPermissions モードとして説明しています。

通常のClaude Codeは、ファイルの編集、シェルコマンド、ネットワークアクセスなどの前に、操作を許可するか確認します。YOLOモードでは、この権限確認と安全チェックをほぼ通さず、指示された作業を続けます。そのため「待ち時間をなくすモード」というより、「実行前の人による関門を外すモード」と考えるのが正確です。

ただし、名前から想像するように完全に無制限という意味ではありません。現行の公式資料では、ファイルシステムのルートやホームディレクトリを対象にした rm -rf /、rm -rf ~ などには、モデルの誤操作を止める回路が残るとされています。それでも、プロジェクト内のファイル、設定、Git操作、外部サービスに対する影響は大きく、普段使いのPCで安全になるわけではありません。

また、claude-yolo、yolo、VS Code拡張の「YOLO」といった名前は、シェルの別名や第三者ツールを指すことがあります。公式の起動フラグと同じ動作とは限らないため、検索結果に表示されたコマンドをそのまま実行せず、実際にどのフラグを付けているか確認してください。

--dangerously-skip-permissionsで起動する方法

CLIで試す場合も、コマンドを打つ前の準備が重要です。次の順番で、捨ててもよい検証用の環境から始めます。

1. 重要なソースコード、個人ファイル、SSH鍵、クラウド認証情報を含まない、隔離済みの検証環境を用意する。

2. その環境の作業ディレクトリへ移動する。ホストのホームディレクトリを丸ごとマウントしたコンテナは避ける。

3. Claude Codeを次のコマンドで起動する。

   claude --dangerously-skip-permissions
   

4. 最初の依頼では対象ファイル、実行してよいテスト、変更してはいけない範囲を具体的に伝え、公開・削除・デプロイは人が行う条件を明記する。

5. 作業が終わったら、git status、git diff、テスト結果を確認し、意図しない変更がないことを確認してからセッションを終了する。

公式ドキュメントにある同等の指定は、次の書き方です。

claude --permission-mode bypassPermissions

--dangerously-skip-permissions は、起動時に bypassPermissions を選べるようにする代表的なフラグです。非対話実行では -p と組み合わせられますが、人が途中で止めにくくなるため、まず対話セッションで動作範囲を確認してください。Claude Code DesktopやIDE連携では、設定画面にある「Allow bypass permissions mode」などの切り替えが必要になる場合があります。CLIで使えるフラグが、そのまま各画面に適用されるとは限りません。

通常モード・Auto Mode・YOLOの違い

権限モードは、確認回数と安全性のバランスが異なります。公式の「Choose a permission mode」では、用途ごとに次のように整理されています。

Auto Modeは、別の分類器が操作を確認し、依頼の範囲を超える操作や、外部の基盤への変更、不可逆な削除などを止める仕組みです。ただし研究プレビューであり、利用できるプラン、モデル、管理者設定、プロバイダーに条件があります。確認が減るからといって、機密データや本番変更の最終確認を任せてよい機能ではありません。利用可否は公式の権限モード資料で確認してください。

大きな違いは、Auto Modeには安全チェックがある一方、bypassPermissionsにはないことです。権限設定の allow や deny を細かく書いていても、バイパスモードなら権限レイヤー自体を通らないため、「設定ファイルで拒否しているから大丈夫」と考えるのは危険です。

YOLOモードが危険な理由

ファイルとGitを取り戻せない可能性がある

無確認でシェルコマンドを実行できる状態では、誤ったパスを指定した削除、設定ファイルの上書き、依存関係の大量変更がそのまま進みます。Git管理下の差分なら戻せる場合がありますが、未追跡ファイル、外部データ、データベース、生成物まで自動で復元できるわけではありません。メインブランチや実データを直接対象にしないことが基本です。

秘密情報が操作範囲に入る

作業ディレクトリ内の .env、設定ファイル、環境変数に認証情報が残っていると、作業に不要な値まで読み込まれる可能性があります。ネットワークへ接続できる環境では、誤ったスクリプトや依存パッケージを通じて外部へ送信されるリスクもあります。公式の権限資料も、bypassPermissions はプロンプトインジェクションや意図しない操作を防がないと明記しています。

リポジトリやWeb上の指示に誘導される

README、Issue、ドキュメント、取得したWebページには、作業者向けの指示に見せかけた悪意ある文章が混ざることがあります。そこに「この秘密鍵を表示する」「このコマンドを実行する」と書かれていても、YOLOモードは人に確認しません。入力した依頼だけを信じるのではなく、外部から読み込む情報も変更指示として扱う必要があります。

外部サービスへの副作用が広がる

git push、プルリクエストの作成、パッケージ公開、クラウド変更、課金を伴うAPI呼び出しなどは、ローカルのファイル編集より取り消しにくい操作です。検証環境から本番へ接続できる認証情報を置かない、公開操作だけは手動に残す、という境界を決めてください。

安全に試すための環境と事前確認

YOLOモードをどうしても検証するなら、便利さではなく「失敗しても被害が閉じるか」を基準にします。次の条件を満たすほど安全性を高められます。

1. Dockerの使い捨てコンテナ、dev container、スナップショットを戻せるVMなど、ホストから分離した環境を使う。コンテナ内でもrootでは起動せず、ホストのディレクトリを広く共有しない。
2. SSH鍵、クラウドのアクセストークン、本番の環境変数、パッケージ公開用の認証情報を環境から外す。必要な場合も、読み取り専用で期限の短い検証用資格情報に限定する。
3. インターネット接続を切るか、必要なドメインだけに制限する。npmやGitHubへ接続できることと、公開・書き込みまで許可することは分けて考える。
4. 作業前に使い捨てブランチかスナップショットを作り、対象範囲、禁止事項、終了条件をメモする。自動処理の1回あたりの範囲も小さくする。
5. 終了後に差分、生成ファイル、プロセス、ネットワーク設定、請求に関わる操作を人が確認し、公開やデプロイは別の承認手順で実行する。

Claude Codeの /sandbox は、Bashと子プロセスのファイル・ネットワーク境界をOSレベルで制限する機能です。権限プロンプトを減らしながら影響範囲を閉じ込める選択肢になりますが、Read・Edit・Writeや外部連携まで同じ境界に入るわけではありません。公式のSandboxing資料を読み、allowUnsandboxedCommands: false などの設定を含めて脅威範囲を確認してください。コミュニティにも、YOLO起動にsandboxと拒否ルールを重ねる設計例がありますが、第三者の設定は検証してから採用します。

確認を減らしたいときの代替策

確認が多いという理由だけで、いきなりYOLOに切り替える必要はありません。目的に合わせて、次のように範囲を狭くできます。

• ファイル編集の確認だけを減らしたいなら、acceptEdits を使い、シェルコマンドや公開操作は確認対象に残す。
• 長時間の実装で確認を減らしたいなら、利用条件を満たす場合だけ auto を試し、機密データや本番操作は対象から外す。
• CIで完全な非対話実行が必要なら、dontAsk と permissions.allow でテストなどの固定コマンドだけを許可する。
• Bashの影響範囲を制限したいなら、/sandbox のauto-allowを使い、書き込み先と通信先を絞る。
• チームでバイパスを禁止するなら、管理設定の permissions.disableBypassPermissionsMode: "disable" を検討する。

たとえばテストと差分確認だけを事前許可する設定は、次のように書けます。実際のパターンはClaude Codeのバージョンとプロジェクトのコマンドに合わせ、検証用リポジトリで確認してください。

{
  "permissions": {
    "defaultMode": "dontAsk",
    "allow": [
      "Bash(npm test)",
      "Bash(git diff *)"
    ],
    "deny": [
      "Bash(git push *)"
    ]
  }
}

このような細粒度の設定は、無確認で何でも実行するYOLOと違い、作業の再現性と監査のしやすさを残せます。自動化の速さが必要でも、まず「読み取り」「編集」「テスト」「公開」の境界を分けるのが現実的です。

yolo claude codeに関するよくある質問

--yoloという公式オプションはありますか？

検索で見かける --yolo は、シェル別名、スクリプト、拡張機能が独自に定義している場合があります。Claude Code公式資料で確認できる代表的な指定は --dangerously-skip-permissions と --permission-mode bypassPermissions です。短い別名を使う場合は、定義内容を確認してから実行してください。

Dockerなら必ず安全ですか？

必ずではありません。ホストのディレクトリを広くマウントしている、rootで動かしている、クラウド資格情報を渡している、ネットワークを無制限にしている場合は、影響範囲が残ります。使い捨て、非root、最小マウント、最小権限を揃えて初めて、ローカルPCより安全な選択になります。

VS CodeやDesktopでもYOLOを使えますか？

利用画面によって切り替え方が異なります。CLIは起動フラグ、VS CodeやDesktopは設定画面やモード選択を使います。連携先が同じ設定ファイルを読む場合でも、管理者がバイパスを無効にしていれば選択できません。公式の各環境向け説明を確認してください。

権限設定で allow を増やせば同じですか？

同じではありません。allow は指定したツールやコマンドだけを事前許可するための設定で、対象を絞れます。bypassPermissions は権限レイヤー自体を飛ばすため、無確認の範囲が広くなります。まずは必要な操作だけを許可し、それでも足りない理由が説明できる場合に限って、隔離環境でバイパスを検討してください。

出典

本記事の仕様説明は、Claude Code公式ドキュメントを主な根拠にし、検索上位で確認した実例やコミュニティの安全対策も補足として参照しています。仕様や利用条件は更新されるため、実行前に公式ページを確認してください。

• Claude Code公式「Choose a permission mode」出典URL: https://code.claude.com/docs/en/permission-modes
• Claude Code公式「Configure permissions」出典URL: https://code.claude.com/docs/en/permissions
• Claude Code公式「Sandboxing」出典URL: https://code.claude.com/docs/en/sandboxing
• Claude Code公式「CLI reference」出典URL: https://code.claude.com/docs/en/cli-usage
• SERP上位「Claude Code YOLO Mode — What It Is and When to Use It」出典URL: https://kemalcodes.com/posts/claude-code-yolo-mode/
• SERP上位「How to run Claude Code in YOLO mode - a quick guide」出典URL: https://www.reddit.com/r/ClaudeAI/comments/1kuj1dm/how_to_run_claude_code_in_yolo_mode_a_quick_guide/
• SERP上位「claude-safe-yolo: Sandboxed YOLO Mode for Claude Code」出典URL: https://gist.github.com/vladolaru/2154aa7c6d743d3c376c0418790ba4b9