Claude の inference hooks：すべてのプロンプトの前に許可・拒否のチェック

inference hooks の仕組み

組織（またはそのセキュリティベンダー）が AI セキュリティサーバー、つまり HTTPS エンドポイントを運用します。誰かがプロンプトを送ると、Anthropic は会話のトランスクリプトを Standard Webhooks 方式で署名してそのエンドポイントに POST し、判定を待ちます。allow なら推論がそのまま進み、deny ならリクエストはモデルに届かず、ユーザーにはあなたが返した理由と、管理者があらかじめ設定した定型メッセージが表示されます。

• イベントは2種類です。prompt は管理対象の推論リクエストの前に毎回、tool_call は Validate tool calls（ツール呼び出しの検証）がオンのとき、Claude の応答に含まれるツール呼び出しが実行される前に送られます。
• 組織全体で設定は一度だけです。対象は claude.ai、Claude Desktop とモバイル、Claude Code（CLI を含む）、Cowork、Claude for Microsoft 365、Claude Tag、Claude in Chrome です。
• サーバーに届くのは、トランスクリプトのテキスト、ツール呼び出しとその結果、添付ファイルから抽出したテキストです。ファイルや画像の生データ、システムプロンプト、ツール定義は送られません。
• 判定は allow か deny のみです。プロンプトの書き換えやマスキングには対応していません。
• 拒否はすべて組織の Activity Feed（アクティビティフィード）に記録されます。

inference hooks、Claude Code hooks、Compliance API の比較

名前は似ていますが、3つは別のツールです。Claude Code hooks はプロジェクトごと・ユーザーごとに設定し、開発者のマシンで動きます。inference hooks は組織が一度だけ設定し、Anthropic 側で動きます。

inference hooks の設定方法

Owner または Primary owner のロール（Admin では足りません）と、443 番ポートで公開された HTTPS エンドポイントが必要です。ngrok などのトンネルはブロックされるので、テスト用サーバーも自分で管理するドメインに置いてください。

1. 機能を許可する

   claude.ai で Organization settings → Data and privacy（組織設定 → データとプライバシー）を開き、Inference hooks の Allow for your organization（組織で許可）をオンにします。これだけでは検査は始まりません。Enforce verdicts（判定の適用）はオフのままです。

2. エンドポイントを追加し、署名シークレットを保管する

   Configure（設定）をクリックし、https:// で始まる URL を入力して保存します。初回の保存時に webhook の署名シークレットが一度だけ表示されます。サーバーはこれを使ってすべてのリクエストを検証するので、必ず保管してください。

3. ヘッダーを追加してテストする

   サーバーが Anthropic からのリクエストを認証できるよう、静的ヘッダーを最大 16 個まで追加し、Test connection（接続テスト）をクリックします。合成プロンプトが送られ、判定結果と往復時間が表示されます。

4. 判定を HTTP 200 の JSON で返す

   すべてのリクエストに HTTP 200 と action を返します。200 以外のステータスは拒否ではなく、障害として扱われます。

   // リクエストを許可する
   { "action": "allow" }
   
   // 拒否する：deny_reason はユーザーに表示され（最大 500 文字）、
   // reference_id はコンプライアンス用のアクティビティフィードにだけ記録される
   {
     "action": "deny",
     "deny_reason": "このプロンプトには顧客のカード情報が含まれているようです。",
     "reference_id": "scan_01HXPT4R9V"
   }

5. 障害時の扱いとタイムアウトを決める

   Block the request（リクエストをブロック）はフェイルクローズ、Allow the request（リクエストを許可）はフェイルオープンです。判定のタイムアウトは 1〜10,000 ミリ秒で、デフォルトは 5,000 です。判定が遅れると到達不能とみなされます。失敗が続くとサーキットブレーカーが作動し、サーバーが回復するまで障害時の設定が適用されます。

6. 段階的に展開してから適用する

   まずは判定を送るだけで何もブロックしない Shadow mode（シャドーモード）で始め、一定の割合のリクエストだけを検査し、必要ならカスタムロールを除外してから Enforce verdicts をオンにします。変更はおよそ1分ですべてのサーバーに反映されます。

出典：Claude Platform ドキュメント、Inference hooks

制限と注意点

• Enterprise 限定です。Team、Pro、Max では使えず、Claude Platform（API）の組織や Amazon Bedrock、Google Cloud でも使えません。
• ドキュメントのスクリーンショットのような画像だけのコンテンツは検査されません。生データは一切送られないためです。
• 拒否されたメッセージはトランスクリプトに残り、以降のメッセージのたびに再送されます。Claude Code では、/rewind でそのメッセージを持ち込んだプロンプトまで戻るか、/clear でやり直してください。
• Anthropic 自身のバックグラウンドのモデル呼び出しの一部は対象外です。たとえばホスト型の Claude Security のスキャン、GitHub のプルリクエストでの Code Review、スマートレポートなどです。Claude Code でローカルに /code-review を実行した場合は対象になります。
• 音声モードではごく一部のツール呼び出しが送られないため、そこでは hooks を唯一の制御手段にしないでください。
• 同じ発表では、Claude、Cowork、Claude Code の設定を Anthropic の推奨構成と比較するセキュリティセンター（ベータ）と、ベータ版の一元管理・アクセス制御も追加されました。

自律的に動くエージェントにとって重要な理由

Claude Code が無人で、スケジュールに沿って、あるいはバックグラウンドで働くとき、送信前にプロンプトを一つひとつ読む人はいません。inference hooks があれば、エージェントがどこで動いていても、すべてのリクエストとツール呼び出しに会社として一つのインラインチェックをかけられます。シャドーモードを使えば、セキュリティチームは何かをブロックする前にポリシーを調整できます。1台のマシンでのプロジェクト単位のガードレールには、引き続き Claude Code 自身の hooks と権限ルールが使えます。権限モードについては Claude Code のプランモード をご覧ください。

あなたがいない間も働く AI 社員にガードレールを

Crewmark は、Claude Code、Codex、DeepSeek Harness、OpenCode のセッションを、職種・目標・勤務時間を持つ AI 社員に変え、ハートビートで起こしてボードから次の issue を取らせます。Claude Enterprise プランなら、inference hooks はほかの人と同じように AI 社員のプロンプトもチェックします。

1. あなたの承認が必要なことを決める

   公開、マージ、支払いなどリスクのある操作の前には、各社員があなたに確認を求めます。承認は一つの受信箱から行えます。

2. 記録をボードに残す

   issue ごとに社員のコメントとステータスの変更が残るので、社員の作業内容をセキュリティチームのログと突き合わせて確認できます。

3. ハートビートで仕事を始める

   勤務時間中、社員は同じ会話の中で 15 分、30 分、または 60 分ごとに起きます。Claude Code をプロアクティブにする方法とAI 社員とはもご覧ください。

Claude の inference hooks よくある質問