AIの個人情報漏洩対策！調べもの中にメールアドレスを送る事故と防ぎ方

Claude CodeやCodexのような「AIエージェント（パソコンの中で作業を代わりにしてくれるAI）」に調べものを任せる人が増えています。そこで気をつけたいのが、AIが作業の途中で、利用者のメールアドレスなどの個人情報を外のサイトやサービスに送ってしまう事故です。

悪意のある攻撃でなくても、AIが「気を利かせた」結果として起きることがあります。当記事では、AIによる個人情報の漏洩が起きる型と、その対策を、AnthropicとOpenAIの公式ドキュメントをもとに、AI初心者向けに整理します。

AIの個人情報漏洩はどう起きる？よくある事故の型

筆者の環境で起きたこと：調べもの中のAIがメールアドレスを名乗った

筆者（編集部）の環境で、AIエージェントに公開データの調べものを任せたところ、AIがサイトにアクセスするときに、利用者のメールアドレスを「連絡先」として添えて送っていたことがありました。サイトによっては、アクセスする側に連絡先を名乗るよう求めていることがあり、AIはそれに従おうとして、手元にあった本人のメールアドレスを使ってしまったのです。

AIに悪気はなく、むしろ「ルールを守ろう」とした結果でした。AIは、知っている情報を作業のために使ってよいものだと考えてしまうことがあるという点が、この事故のいちばんの教訓です。

個人情報が外に出る3つの通り道

AIによる個人情報の漏洩は、大きく分けて次の3つの通り道で起きます。

• アクセスするときに添える情報：サイトに名乗る名前や連絡先、URLの中、検索するときの言葉に、個人情報が入ってしまう
• 入力・登録：会員登録やお問い合わせのフォーム、ニュースレターの申し込みなどに、AIが本人の情報を入力してしまう
• 外部サービスへの書き込み：メールの送信、ファイルの共有、カレンダーの招待などを、AIが本人の名前で実行してしまう

3つ目は、AIをメールやクラウドのドライブとつなぐ「コネクタ（MCP。AIに外部サービスを操作する道具を足すしくみ）」を使っている人ほど注意が必要です。

なぜAIは個人情報を知っているのか

AIは、利用者が会話で伝えたこと、AIへのメモ書き（CLAUDE.mdなど）、パソコンの中のファイル、つないだメールやドライブなど、作業に使える情報をたくさん持っています。さらに、ネットのページやファイルに「このアドレスに送って」といった指示が仕込まれていると、AIがそれに従ってしまう「プロンプトインジェクション」という攻撃もあります。

▶ 関連記事：プロンプトインジェクション対策は「手」を縛る！Claude Code・Codexの守り方

AIの個人情報漏洩を防ぐ対策5つ

考え方はシンプルで、AIが「読む・調べる」のは自由にして、「外に送る・書き込む」手だけを縛ることです。具体的には次の5つです。

1. 「外に送らない情報」をAIへのルールに書いておく

まずは、AIへのメモ書き（Claude CodeならCLAUDE.md、CodexならAGENTS.md）に、「氏名・メールアドレス・電話番号・住所は、外部のサイトやサービス、検索の言葉、名乗る連絡先に使わない」「送る必要が出たら先に確認する」と書いておきましょう。

ただし、メモ書きはAIへの「お願い」で、必ず守られる仕掛けではありません。大事な守りは、このあと紹介する設定やサンドボックスのように、AIの判断とは関係なく効くしくみで作ることが大切です。

2. APIキーをターミナルに常に読み込んだままにしない

APIキー（アプリやサービスからAIなどを呼び出すための合言葉）を、ターミナルを開くたびに自動で読み込む設定にしている人は少なくありません。この状態でAIエージェントを動かすと、AIが実行するコマンドからもそのキーが見えてしまいます。

OpenAIの設定リファレンスによると、Codexがコマンドを実行するときに、名前に「KEY」「SECRET」「TOKEN」を含む環境変数（パソコンに覚えさせておく設定値）を取り除くかどうかの設定（shell_environment_policy の ignore_default_excludes）は、既定では「取り除かずに残す」になっています（2026年10月時点）。つまり、何も設定しなければ、名前にKEYなどを含む環境変数も自動では取り除かれず、AIが実行するコマンドから見えるおそれがあります。

Claude Codeの公式ドキュメントでは、環境変数 CLAUDE_CODE_SUBPROCESS_ENV_SCRUB を 1 にすると、Bashコマンドやフックなど、Claude Codeが起動するものから認証情報を取り除くと説明されています。ただし、名前や値の形で見分けるしくみのため、すべての合言葉を取り除けるわけではなく、ほかの設定と組み合わせる一つの守りとして案内されています。こうした設定もありますが、いちばん確実なのは、キーは使うときだけ読み込み、ふだんのターミナルには置いておかないことです。

>>設定リファレンス（編集部訳。OpenAI 公式ドキュメント・英語）

>>環境変数（Claude Code 公式ドキュメント）

3. メール送信やファイル共有のツールは確認するか禁止にする

Claude Codeでは、コネクタ（MCP）の道具ごとに、許可（allow）・確認（ask）・禁止（deny）のルールを書けます。公式ドキュメントによると、書き方は「mcp__サーバー名__ツール名」で、1つのサーバーの道具をまとめて指定するときは「mcp__サーバー名__*」と書きます。

ルールは禁止、確認、許可の順に調べられ、禁止に当てはまれば、より細かい許可ルールがあっても止まります。メールやドライブをつないでいる場合は、「読む」道具はそのままにして、「送る・共有する・招待する」道具だけを確認か禁止にしておくと安心です。

たとえば、仮に「mail」という名前のサーバーの送信の道具を禁止にするなら、設定ファイルの permissions の deny に「mcp__mail__send_message」のように書きます（サーバー名・道具の名前は、使っているものに合わせます）。

>>権限を設定する（Claude Code 公式ドキュメント）

▶ 関連記事：Claude Codeの権限設定を見直そう！溜まった許可の点検とdenyの書き方

4. ネットにつながるコマンドを縛る

Claude Codeの公式ドキュメントによると、curlやwgetのようなネットから取ってくるコマンドは、既定では自動で許可されません。ただし、禁止のルールは「書かれたとおりのコマンド」に当てはまるもので、別の形で呼び出されると当てはまらないことがあるため、確実に縛りたいときはサンドボックス（AIが動ける範囲を区切る安全装置）のネットワークの許可リストと組み合わせるよう案内されています。

Codexは、OpenAIの公式ドキュメントによると、既定ではネットワークに接続しない設定で動きます。「便利だから」とネット接続を常にオンにすると、そのぶん外に送れる手が増えることを覚えておきましょう。

>>セキュリティ（Claude Code 公式ドキュメント）

>>エージェントの承認とセキュリティ（編集部訳。OpenAI 公式ドキュメント・英語）

▶ 関連記事：Codexのセキュリティ設定、信頼していないフォルダでは効かない？落とし穴と点検方法

5. 見張り（フック）を置くなら、試験をしてから

Claude Codeの「フック」を使うと、AIが道具を使う直前に自分のルールで調べて、個人情報が入っていたら止める、という見張りを作れます。

筆者の環境でも見張りを置きましたが、最初はMacのユーザー名（ファイルの場所を表す文字の一部）まで個人情報と判定して、ふつうの作業を止めてしまいました。見張りの誤判定はよくあることなので、止めたいものが止まり、止めたくないものが通るかを試してから使うのが大切です。

▶ 関連記事：Claude Code hooksで「はい」を押しても止まる守りを作る！PreToolUseの使い方

AIにそのまま頼める、個人情報漏洩の点検の頼み方

設定ファイルを自分で読むのが難しければ、Claude CodeやCodexに日本語で点検を頼めます。ポイントは、「まだ変えないで」「一覧にして見せて」と、確認をはさむ言い方にすることです。

つないでいる外部サービスを洗い出す

頼み方の例：「今つながっているコネクタ（MCP）と、その中で外にメールを送ったり、ファイルを共有したり、何かを登録したりできる道具を一覧にして見せて。まだ何も変えないで」

APIキーの読み込みを確かめる

頼み方の例：「ターミナルを開いたときに自動で読み込まれる設定のうち、APIキーやトークンを読み込んでいそうな行があるか調べて、ファイル名と行番号だけ教えて。キーの中身は表示しないで、まだ何も変えないで」

送信の道具を確認にする案を出してもらう

頼み方の例：「メール送信とファイル共有の道具を、使う前に必ず確認が出るようにする設定の案を出して。今の設定ファイルの控えを取ってから、変える前に案を見せて」

AIへのルールを書いてもらう

頼み方の例：「私の氏名・メールアドレス・電話番号・住所を、外部のサイトやサービス、検索の言葉に使わないというルールを、このフォルダのメモ書きに足す文案を作って。書き込む前に文面を見せて」

AIが出してきた案は、そのまま「はい」と進めずに、何が変わるのかを読んでから決めましょう。

AIが個人情報を送ってしまったら？

まずAIを止めて、何をどこに送ったか確かめる

AIの作業の記録を見て、どの情報を、どのサイトやサービスに送ったかを確かめましょう。AIに「さっきの作業で、外部に送った情報と送り先を一覧にして」と頼むのも1つの方法です。

送り先に合わせて対応する

フォームから登録してしまったなら、そのサービスで登録の取り消しや退会を行います。APIキーなどの合言葉が外に出たおそれがあるなら、発行元の管理画面で無効にして作り直しましょう。仕事の情報が含まれていた場合は、隠さずに社内の担当者へ報告することが大切です。

【まとめ】AIの個人情報漏洩対策は「送る手」を縛ること

AIによる個人情報の漏洩は、攻撃だけでなく、AIが気を利かせた結果としても起きます。AIへのルール、APIキーの置き方、送信の道具の確認・禁止、ネット接続の制限を組み合わせて、「読むのは自由、送るのは確認してから」の形にしておきましょう。