待機リスト組より4日早くClaude Projectsを使い倒した俺の本音と失敗

10月10日の午前3時すぎ。Xを眺めていたら、ClaudeDevsが「Claude Code Projectsの待機リストに並んでいたProとMaxの人を全員招待した」と告知していた。

俺は二度見した。だってそれ、4日前から普通に使ってるんだが。笑

白状すると、俺はProjectsがまだ限定公開で、待機リストに並ばないと使えない代物だとは露ほども知らなかった。普通にアプリに出てきたから、みんな使っているものだと思っていた。新しいスマホを買ったら最初から入っていたアプリ、くらいの感覚で4日間いじり倒していたわけだ。

この記事は、待機リスト組より一足先にClaude Code Projects（以下Projects）を触ってしまった俺が、iPhoneから自分のMacを動かしながら4日間で踏んだ地雷を、実際のやり取りのまま並べたものだ。権限の壁、窓口のClaudeの言い間違い、Webを読ませる危うさ、そしてcompact。招待メールを開いたばかりのあなたが、同じ穴に落ちる前に読んでほしい。

「最初から使えた俺は一体どう言うわけなの？」

Projectsは、claude.aiの中にプロジェクトを作ると「窓口のClaude（コーディネーター）」がクラウドに常駐し、頼んだ作業を「スレッド」に振り分けてくれる仕組みだ。スレッドは、自分のMacのフォルダでClaude Codeを起こして動かすこともできる。つまりiPhoneから話しかけるだけで、（もちろんMacOS上のClaudeからも）家のMacの規約もスキルも自作ツールも、そのまま使える。

待機リスト組が招待された夜

告知を見た俺は、そのまま窓口に聞いた。

選ばれた理由は推測どまり。ここは盛らない。ただ、4日先に使ったのは事実だ。

というわけで、この記事が生まれた。初日にiPhoneから自分のMacが動いて「良いなこれ！」と声が出た話は別にまとめているので、ここではその翌日から先、使い倒した結果だけを書く。

2日ちょっとでスレッドが30本

4日間で一番変わったのは、俺がどこでClaudeとしゃべっているか、だった。

TEST-RUNは、俺がMacで雑談と実験をするための作業フォルダだ。そこで雑談して、ネタが育ったら作業に移る。これが今までの流れだった。それがProjectsの窓口に丸ごと引っ越した。X投稿を投げて「これどう思う？」と聞き、気になればそのままMacのスレッドで作らせる。2日で30本は、雑談の量そのものだ。

そして本数が増えれば、地雷を踏む回数も増える。ここからはその記録だ。

俺がじぴこに憑依した日

最初の地雷は、記事を作る道具の中にあった。俺はブログ記事をRelayPressという自作の仕組みで作っている。会話を吹き出しで並べるのが売りで、gpt4jp.comなら俺、じぴこ、そしてClaudeの3人が登場する。

10月6日の朝6時、初日の記事の草稿を見ていた俺は、妙なことに気づいた。

「俺は無表情でいいんだよw」

そう、じぴこの可愛いアイコンから、俺の口調が飛び出していたのだ。読者からすれば、じぴこが急にオッサンになったように見える。ホラーである。

俺のアイコンは1つしかない。喜ぼうが怒ろうが同じ顔だ。それで困ったことは一度もない。

メモリじゃなくソースで直せ

AIに「次から気をつけます」と言わせて終わり、というのが一番信用できない。だから念を押した。

窓口はMacのスレッドに調べさせ、原因を持ってきた。

ここで大事なのは、俺がMacの前にいなかったことだ。iPhoneから「ソースで直せ」と言っただけで、RelayPressのコードが直り、テストが付き、Claude Code用とCodex用の両方に反映された。

そういうことだ。今あなたが読んでいるこの吹き出しが、修正の証拠である。

「自爆してくれ」が通らない

便利さに浮かれたのは、ここまでだった。次に当たったのは、権限の壁だ。

まず仕組みを整理しておく。Macの前でClaude Codeを使うとき、俺は普段「権限バイパス」で動かしている。確認なしで全部やらせるモードだ。ところがProjectsでスマホから起こしたMacのスレッドは、そうはいかない。

窓口の言葉は、Macの許可にならない

10月6日の午前10時すぎ。プラグインを入れ替えたので、Macの Claude アプリを再起動したかった。俺はこれを「自爆」と呼んでいる。

頼もしい返事だ。ふと気になって聞いた。

窓口はクラウドにいるから、Macのアプリが落ちても消えない。ここまでは理屈どおりだ。ところが1分後。

窓口が「了解」しても、Mac側はそれを許可と見なさない。Macのスレッドは、そのスレッドの中で持ち主が直接書いた一言しか、取り返しのつかなそうな操作の許可として受け取らないのだ。受付に伝言を頼んだのに、現場の作業員が本人の口から聞くまで動かない。あれに近い。

結局、スレッドの中で俺がもう一度言ったら通った。

3秒で戻ってくるのは見事だ。二重に自爆しないよう気を回していたのも偉い。でも最初の空振りは、知らないと普通に戸惑う。

バイパスは使えない、警告は消えない

その夜、日本語入力がおかしくなったので、自作のkotというスキルを呼んだ。Macの日本語入力の設定をまとめてリセットするものだ。

公式ドキュメントと実機の両方で確かめた結果だ。スマホから始めたスレッドは、auto（自動モード）固定である。

そして、スレッドが始まるたびに必ずこれが出る。

2日後、俺はこう言っていた。

「たまに」じゃなかった。自分で言って自分で訂正した。

ただ、本音はこの2行のとおりだ。クラウドにいるのを忘れるくらいスムーズなのも事実で、ダイアログがだいたいいつも出るのも事実。両方を飲み込んで使っている。招待組のあなたも、このダイアログは故障ではないと知っておくだけで、イライラが半分になるはずだ。

長くなると怪しくなる窓口に「未確認で終わらせるな」

権限の次は、窓口そのものの信用の話だ。

Projectsには「事前承認済みのフォルダ」という設定がある。ここに入れたフォルダは、どのスレッドでも確認なしで作業場所にできる。俺はスキルとプラグインの置き場も足したかった。

できない、できる、やっぱりできない

できない、できる、やっぱりできない。3往復で答えが2回ひっくり返った。

窓口自身の説明によれば、長くなると古い部分を要約して持ち越し、一定の長さで新しい自分に交代するらしい。大事な決まりはプロジェクトのメモリに書いて引き継ぐ。長い会議の議事録を、要約だけ残して次の担当に渡すようなものだ。要約からこぼれた経緯は、次の担当は知らない。これは窓口の自己申告で、公式ドキュメントで確かめた話ではない。

言い間違いは、確かめずに推論した結果

翌朝、もう一つやらかした。Macのスレッドを、Claudeアプリの普段のセッション一覧に出せるかと聞いたときだ。

ここは招待組に役立つ事実だ。Projectsから起こしたスレッドは、Macのアプリでは普段のセッション一覧ではなく、左ペインの「Projects」の下にいる。

で、問題は言い間違いのほうだ。ここで俺はスイッチが入った。

窓口は「確かめていないことは未確認と書く」というルールを足そうと言ってきた。違う、そうじゃない。

ここでも権限の壁が顔を出した。規約の2行のうち1行は、Macのスレッドに止められた。窓口からの伝言では通らず、スレッドの中で俺が「OK」と打って、ようやく入った。

叱った内容が、その場でClaudeの規約に入る。ここまでiPhoneだけで済んだ。規約に入ったからといって二度と起きないわけではないのは、この後すぐ分かる。

iPhoneから門番フックを建てた

10月9日の午後4時前。Xで物騒な投稿を見つけた。知り合いがAIに作らせたクローラーに大量のサイトを読ませたら、ページに仕込まれた指示（プロンプトインジェクション）に従ってしまい、PCがマルウェアに感染したという話だ。

サンドボックスは聞き飽きた

Macのスレッドはまず、俺の環境にも同じ穴があると報告してきた。X投稿を読む自作ツールxrには、URLを貼ると本文を先に読み込むフックがある。そのフックは、ページの本文をまるごと、コマンドも打てるメインのセッションに流し込んでいた。

最初の案は「汚染モード」だった。外のページを読んだセッションに印を付け、落としたものを実行する、自動起動の場所に書く、秘密に触る、の3種類のコマンドだけ確認に回す。

公式ドキュメントを読んだ後に依存を更新すると止まる。スマホから動かしていると、確認待ちで作業が止まる。

ここからが面白かった。入館証の形だけ見て全員止める警備員ではなく、依頼した本人の言葉と照らし合わせる門番を置く。門番に渡すのは、俺の依頼文とコマンドだけ。読んだページは一切見せない。だから仕込まれた指示は門番まで届かない。「依存を最新にして」の後の npm install は素通りで、「この記事を読んで」と頼んだだけなのに curl … | sh が出てきたら、そこで初めて止める。

判定が遅くて素通りした門番

Macのスレッドは、俺が使っているRust製の自前フックに門番を足し、テストを23件書いて反映した。判定役はHaiku 5.5で、1回3秒前後。偽の操作で試すと狙いどおり止まったらしい。

ここで俺は思った。判定なら、もっと速い道具がある。

Jevは、選択肢から1つ選ぶような判定を速く返してくれるAIで、俺が普段使いのために環境を用意してある。そこへ、スレッドから訂正が飛んできた。

原因は判定ログに残っていた。フックの制限時間が5秒なのに、Haikuの判定が間に合わず、フックごと打ち切られていた。打ち切られると、コマンドは確認なしで通る。つまり門番は、本番では居眠りしていたのだ。

判定役をJevに替えると、同じ3つの例で判定はHaikuと同じ、速さは約0.3秒になった。5秒の制限に余裕で収まる。そしてスレッドの中で本番の試験をした。俺の画面に確認が出て、拒否を押した。今度こそ門番が出したものだった。判定ログでは、Jevは「依頼から出てくる確率44%」と答え、止める側に倒れていた。

バイパスの件もスレッドが試した。バイパスモードで門番が「確認」を返すと、その操作は実行されずに止まった。ただしこれは、コマンドラインから1回だけ動かす形での実験だ。普段の対話セッションで確認画面が出るのか、止まるだけなのかは、まだ俺の環境では起きていない。

正直に書いておくと、この門番は壁ではない。文字列で見張る部分があるので、凝った回避はすり抜ける。素朴な「落として実行」型を確実に引っかける鳴子だ。それでも、今回の事故の型には十分効くはずだ。

「WEBで調べたか？　一回でも。」

ところが話はここで終わらない。Jevを外した理由を、窓口がこう書いていたのだ。「Jevは元になったモデルや会社の所在が公開されていない」。

調べ直すと、JevはサンフランシスコのTypeSafe AIという会社が作っていた。2024年創業で、CEOは元OpenAIの研究者だ。出どころははっきりしている。窓口も、Haikuに寄せたのは自分がスレッドに「出どころを確かめて、場合によってはHaikuを候補に」と余計な一言を送ったせいでもあると認めた。

そう。規約に入れた翌々日に、同じ形の失敗がもう一度出た。規約は効く。でも規約だけでは足りない。だから持ち主が叱る。そして、止めるべきところはフックという仕組みで止める。門番の一件は、その両方を一度に見せてくれた。

compactが「賢くなった」と人類は言う

最後は、もう少し肩の力が抜ける話をしよう。

CHANGELOGには修正としか書いていない

10月8日の朝、Claude Codeのcompact（長くなった会話を自動で要約して、文脈の枠を空ける機能）が優秀になったという噂を聞いた。

長くなると怪しくなる窓口の話を思い出してほしい。要約で経緯がこぼれるのは、あの窓口も同じだ。だから「要約の前後で忘れない」ことの価値は、使っている側が一番分かっている。

その流れで、10月9日の夜にはもう一つ手を入れた。Xで「autocompactを400Kにすると具合がいい」という投稿を見つけたのだ。自動で要約を始める長さを、既定の約1Mトークンから400Kトークンに下げる設定である。投稿者の計算では使用量が約29%減るそうだ。ただしこれは投稿者が自分の使い方で出した見積もりで、俺の環境ではまだ測っていない。窓口に頼んでOpus 5.5にだけ /autocompact 400k を入れ、1週間ほど使って /usage で週の使用量を見ることにした。

窓口はHaikuでも回る、でもOpus

Haiku 5.5が出た日、窓口のモデルを替えて話してみた。

窓口の仕事は、受け取って、振り分けて、短く返すことが中心だ。軽いモデルでも務まる。実際、返事は一瞬で返ってきた。それでも俺の見立ては変わらなかった。

で、Opusに戻した。

窓口に必要なのは、速さよりも読み違えないことだ。複数のスレッドの結果を突き合わせて、何を優先するか決める。二転三転したフォルダの件を思えば、ここをケチる理由はない。

決め手はベンチじゃなくメタ認知

最後に、俺がなぜここまでProjectsに入れ込んでいるのか。

身びいきを自分で申告してくるあたり、やっぱりメタ認知は強い。

根拠は俺の体験だ。RelayPressは、別のAIで何度直しても、あっちを直せばこっちが壊れた。Opus 5.5に「まともに動くようにしてくれ」とだけ頼んだら、50か所以上の不具合や矛盾を指摘して、全部直した。ベンチの数字では測れないところで、決着がついている。

4日間をまとめると、こうなる。iPhoneからMacが動く便利さは本物だ。ただ、窓口のClaudeは確かめずに言い切ることがあるし、Macのスレッドは窓口の言葉を許可と見なさない。だから持ち主が叱って、規約とソースを直させる。止めるべきところはフックで止める。そこまでやって、初めて普段使いになった。

招待メールを開いたばかりのあなたに、先に踏んだ者から3つだけ渡しておく。

• 確認ダイアログと「権限バイパスは利用できません」の警告は故障ではない。スマホから始めたスレッドはauto固定で、取り返しのつかなそうな操作は、スレッドの中のあなたの一言を待っている。
• 窓口の会話は長くすると怪しくなる。目的ごとにプロジェクトを分け、大事な決まりは規約に書かせる。
• Webを読ませるなら、サンドボックス以外の手もある。依頼と照らし合わせる門番は、iPhoneからでも建てられる。

邪魔くさいダイアログは、たぶん今日も出る。それでも、クラウドにいるのを忘れるくらいスムーズだ。俺は当分、ここで雑談を続ける。