Claude Enterprise、全プロンプトを自社サーバで検査してから処理する「inference hooks」

Anthropicは2026年8月5日、Claude Enterprise向けの「inference hooks」を公開した。組織が有効にすると、Claudeに届くすべてのプロンプトとツール呼び出しの応答が、モデルに渡る前に自社のセキュリティサーバの検査を受ける¹。許可するかブロックするかを決めるのは組織側のサーバで、Claudeはその判定をリアルタイムで執行する¹。対象はchat、Claude Code、Claude Cowork などClaude Enterpriseの各面である¹。

生成AIを社内に入れる際、情報システム部門が最後まで残す懸念は「従業員が機密情報を入力してしまう経路をどう塞ぐか」であることが多い。既存のDLP（データ損失防止）製品はメールやファイル共有といった経路を押さえているが、LLMへのプロンプトは検査点の外側にあった。今回の機能は、そこに同期的な検査を差し込むものである。

従来はClaude Codeのクライアント側フックまでだった

Anthropicは発表の中で、セキュリティチームは従業員が機微なデータを動かしうるあらゆる経路が自分たちの制御する検査点を通ることを求めるとしたうえで、これまでネイティブなインラインの強制はClaude Codeのクライアント側フックに限られていたと説明している¹。

つまり、コーディングツール側では手を打てても、chatやCowork、あるいはMCPコネクタ経由のツール呼び出しは同じ仕組みでは押さえられなかった。inference hooksはこの隙間を、製品ごとに別々の統合作業やエージェントを必要としない単一の強制層で埋めるものだと位置づけられている¹。

モデルが生成を始める前に判定を待つ

仕組みは同期的である。組織がinference hooksを有効にすると、すべての推論リクエストが署名付きWebSocket接続でセキュリティサーバを経由する。モデルが生成を始める前に、Claudeがプロンプトとその周辺のコンテキストを組織のサーバへ送り、サーバはallowかdenyの判定を返す。Claudeはその判定を受け取ってから先に進む¹。

同じチェックはツール呼び出しにも走る。MCPで接続されたツール、スキル、プラグインを含め、Claudeがツールを呼び出したとき、その応答はモデルに返される前に検査される¹。入ってくる側と出ていく側の両方に検査点が置かれる構造で、GitHubがCopilotの使えるMCPサーバーを企業設定で制限できるようにした動きが「どのツールに繋いでよいか」を制御するのに対し、こちらは「そのツールが返した中身を通してよいか」を見る層にあたる。

検査の中身そのものはAnthropic側にはない。何をブロックするかの判定ロジックは組織のサーバが持ち、Claudeはその決定を執行する側に回る¹。したがって、この機能を入れれば機密情報の流出が止まる、という種類のものではなく、既存のポリシーを適用する場所が増える、と理解するのが正確である。

既存のDLPサーバに向けられる

導入の現実性という点で効いているのは、プロトコルが公開されたスキーマを持つオープンなwebhookベースである点である。Anthropicは、Netskope、Palo Alto Networks、Proofpoint、Zscaler など他のツールが既に報告している同じサーバや、自社で構築したAIセキュリティサーバに向けるだけで導入できると説明している¹。ゼロから検査サーバを作る必要がある場合と、既存のDLP基盤の宛先を1つ増やす場合とでは、社内の稟議にかかる時間がまったく違う。

有効化は組織レベルで一度行えば、MCPコネクタ・スキル・プラグイン経由のツール呼び出しを含め、Claude Enterpriseの各面に適用される¹。

段階導入の手段も用意されている。常に許可するシャドウモード、ロールベースの除外、割合指定のロールアウトがあり、失敗時ポリシーの許容度やタイムアウトなどを組織のリスク許容度に合わせて調整できる¹。同期的な検査を全社に一斉に入れると、検査サーバが応答しないときに業務が止まりうる。設定項目に「失敗時ポリシーの許容度」と「タイムアウト」が並んでいるのは、この可用性と統制のトレードオフを組織側で決めさせる設計と考えられる。シャドウモードから始めて、何がdenyに当たるかを観測してから強制に切り替える運用が想定しやすい。

セキュリティベンダー側については、文書化されたスキーマを持つプロトコルの上に作られているため、ベンダーが統合を作り、Claude Enterpriseの顧客が自組織をそのプラットフォームに向けられるとしている¹。

Anthropicは顧客の声として、Bandwidthの情報セキュリティ担当バイスプレジデントであるAndrew Grimmett氏のコメントを載せている。同氏は、inference hooksはモデルが見る前にClaudeへ流れているものをリアルタイムで検査するチェックポイントを追加するもので、これによって統制を手放すことなく安全にAIで速く動ける、と述べている¹。導入企業の評価であって、性能の検証ではない。

コンプライアンス側の要件を外しにいく週

同じ週、Anthropicは別の方向からも企業導入の障害に手を入れている。8月6日には、Claude Codeのセッションを自社インフラで動かすセルフホスト環境が公開ベータになった。web・モバイル・デスクトップ・ルーティンから始めたセッションが、Anthropicのインフラではなく自社ネットワーク内で走る²。

ただしセルフホスト環境でも、会話そのもの——プロンプト、応答、ツール結果（Claudeが読んだコードを含みうる）——は推論のためAnthropicに送られ、セッションのトランスクリプトは保存される²。実行環境を自社に寄せても、モデルに渡る内容は依然として外に出る。その内容に検査をかける手段がinference hooksであり、2つの発表は補い合う関係にある。

エージェントに何をどこまで許すかという設計は、ここ数か月の主要な論点であり続けている。Cloudflareがエージェントに身元と支出上限を持たせる構想を出したのは行動側の統制であり、Claude Codeが8月14日からauto modeを既定にするのは承認の設計を分類器に寄せる動きだった。inference hooksはそのいずれとも別の層——モデルに入る内容そのもの——に置かれている。

現時点でinference hooksはClaude Enterpriseの顧客向けのベータ提供で、一般提供の時期は示されていない¹。設定手順はAnthropicのドキュメントに記載されている。