素の Claude Code を配るリスク

• 強力すぎる既定権限：rm -rf／sudo／任意の外部送信（curl・wget）まで届きうる
• 秘密情報の読取：.env／~/.ssh／~/.aws／認証情報がコンテキストに取り込まれる
• 破壊的 git 操作：force push／reset --hard で履歴やリモートを破壊
• 間接プロンプトインジェクション：読み込んだファイルやWebに仕込まれた指示で暴走
• シャドーAI化：各自バラバラの設定で“見えない使われ方”が組織に増殖

→ だからこそ「境界線＝managed settings」「道具＝starter-kit」を分けて設計する。