【ITニュース解説】I replayed two months of my Claude Code sessions. $1,675 at API prices, and 117 rm -rf.

現代のソフトウェア開発において、人工知能（AI）エージェント、特にチャット形式でコード生成やタスク実行を支援するAIアシスタントの活用が進んでいる。これらのAIは、開発者の生産性を飛躍的に向上させる可能性を秘めている一方で、その利用には潜在的なリスクも存在する。このニュース記事は、AIエージェントの利用におけるコストと安全性の問題に焦点を当て、その解決策となるツールの有効性を具体的なデータに基づいて解説している。

記事の筆者は、AIエージェントとそれが実行しようとする操作の間に立ち、不適切な操作を未然に防ぐ「Paveo（パベオ）」というツールを開発した。このPaveoの効果を検証するため、筆者は自身が日頃から利用しているAIアシスタント「Claude Code」の過去2ヶ月間、合計59日間の全セッション記録を分析した。この期間に、筆者はPaveoの開発を進めており、その過程でClaude Codeを頻繁に利用していた。分析対象となったのは106のセッション、8,113回のAIモデルへの問い合わせ、そして8,176回のツール（外部コマンドなど）の呼び出しである。

まず、AIエージェントの利用にかかる費用についてだ。筆者は当時サブスクリプション（月額定額制）でClaude Codeを利用していたため、実際に料金を請求されることはなかった。しかし、もしAPI（プログラムからAIを呼び出すためのインターフェース）経由で利用した場合、どれくらいの費用がかかるかをPaveoで試算した。その結果、2ヶ月間の利用で合計約1,675ドル（日本円で約25万円相当、1ドル150円換算）という金額が算出された。これはかなりの高額であり、特に一日で最も費用がかかった日は約137ドル、一回のセッションで最も高額だったケースでは約453ドルもの費用が発生していたことが判明した。サブスクリプション環境では「普通に長い午後」としか感じなかったセッションが、API経由で無人稼働しているエージェントであれば、それは「インシデント（事故や障害）報告」の対象となるほどの出来事だったと筆者は述べている。この試算には、AIモデルの種類（Opus 5が約1,300ドル、Opus 5.5が約374ドル）ごとの呼び出し回数と費用も含まれており、AIモデルの種類によってコストが大きく変動することも示されている。このデータは、AIエージェントをAPI経由で利用する際には、コスト管理が非常に重要であることを強く示唆している。

次に、Paveoのようなガードツールが何を阻止できるのかという点だ。Paveoの初期設定では、作業を破壊する可能性のあるコマンドや、AIエージェント自身の設定ファイル、あるいはPaveo自身の設定ファイルへの変更を拒否するようになっている。このポリシーを適用して8,176回のツール呼び出しを再検証した結果、合計670回の危険な操作が阻止されるはずだったことがわかった。

具体的に阻止されるはずだった操作の内訳は以下の通りだ。 一つ目は、「rm -rf」というコマンドが117回。これはファイルやフォルダを強制的に、そして再帰的に（つまり、指定したフォルダの中身すべてを）削除する非常に危険なコマンドである。もし誤って重要なファイルを指定してしまうと、取り返しのつかないデータ損失につながる。 二つ目は、「git clean -f」が3回、「git reset --hard」が2回、「git push --force」が1回。これらはバージョン管理システムGitに関するコマンドで、特に強制的な操作は、それまでの作業履歴を消したり、共有リポジトリに予期せぬ変更を押し付けたりする可能性がある。 そして三つ目が、Claude Codeのエージェント設定ファイルやPaveo自身のガードファイルへの編集が547回。AIエージェントが自身の振る舞いを決定する設定や、それを監視するガードの設定を勝手に変更できてしまうと、あらゆる安全策が無効にされてしまう恐れがある。

筆者はこれらの数字について正直な見解も述べている。例えば、117回のrm -rf全てが「間違い」だったわけではない。AIエージェントが一時的に作成したビルドフォルダをクリーンアップするために使われたケースも多かったという。しかし、Paveoのようなガードがあれば、エージェントは別の安全な方法を探すか、ユーザーに許可を求めるようになる。筆者は「一度拒否されても、再試行すれば済む程度の不便さ（false refusal）よりも、重要な作業が破壊されてしまうこと（missed one）の方がはるかに大きな損失である」という考えから、このトレードオフを受け入れている。また、設定ファイルの編集の拒否に関しては、547回のほとんどが誤検知だったとしている。これは、Paveo自体が.paveoという隠しファイルに設定を持つツールであり、AIエージェントがPaveoの開発中にこれらのファイルを頻繁に触っていたためだ。しかしそれでも、筆者はこのルールを残しておくべきだと主張している。「AIエージェントが自身の設定やガードの設定を編集できる」という状況は、他のあらゆる制限を無効にされる最悪の事態につながるため、たとえノイズが多くても、ガード自身を守るためのルールは不可欠だという考えだ。

これらの経験を踏まえ、筆者はAIエージェントを運用する全ての人に対し、三つの重要なアドバイスを提示している。 一つ目は、API経由での利用に移行する前に、現在のセッションにかかる費用を試算することだ。セッションの記録はすでに手元のディスクにあるため、簡単に確認できる。ストリーミングされるメッセージは複数行に分かれることがあるため、メッセージIDごとに一度だけカウントするなどの注意点はあるが、これにより予期せぬ高額請求を防ぐ準備ができる。 二つ目は、AIエージェントの各実行セッションに対して、開始前にコストの上限を設定することだ。月ごとの利用アラートでは、高額なセッションが発生した後に通知されるため、手遅れになる可能性がある。しかし、各呼び出しの前に上限をチェックする仕組みがあれば、上限を超えそうになった呼び出しを事前に拒否できる。 三つ目は、「絶対に許さない操作」のリストを短く、そして機械的に記述することだ。再帰的削除や強制プッシュなど、検出が容易で、かつ大きな損害やコストを伴う操作がこれにあたる。拒否の通知は「それを別の方法で再試行せず、何をしようとしたのかを私に伝えなさい」といった具体的な指示として与えるべきであり、「あなたの操作は間違っている」というような評価にすべきではない。そうしないと、AIは別の抜け道を探そうとする可能性があるからだ。

最後に、筆者はPaveoのレポジトリを公開する予定であると述べている。Paveoはユーザー自身のプロセス内で動作し、外部ネットワーク通信を行わず、Claude Codeだけでなく、CodexやCursorなど他のAIエージェントにも適用できる汎用的なツールとなる。このニュース記事は、AIエージェントの潜在能力を最大限に引き出しつつ、同時にその危険性から身を守るための実践的な知見と、そのための具体的な解決策を示している。システムエンジニアを目指す上では、このような新しい技術の恩恵とリスクの両方を理解し、安全に活用するための知識とツールを身につけることが不可欠である。