管理推論フック

推論フック

Copy page



推論が進行する前に、ガバナンス対象の各プロンプトを組織のAIセキュリティサーバーに送信し、許可または拒否の判定を受け取ります。

「Inference hooks」（推論フック）を使用すると、Claude Enterprise組織は、推論が実行される前に、ガバナンス対象のすべてのプロンプトをAIセキュリティサーバー（組織またはそのセキュリティベンダーが運用するHTTPSサービス）経由でルーティングできます。ユーザーがプロンプトを送信すると、Anthropicは会話のトランスクリプトをAIセキュリティサーバーに送信し、許可または拒否の判定を待ちます。拒否されたリクエストはモデルに到達することはありません。セキュリティチームとコンプライアンスチームは推論フックを使用してデータポリシーをインラインで適用し、開発者は各リクエストを評価するAIセキュリティサーバーを構築します。

フックはAnthropicのサーバー上で、リクエストがクライアントを離れた後かつモデルが実行される前に動作するため、組織内のすべてのClaude製品にわたって、ガバナンス対象のすべてのリクエストに一律に適用され、ユーザーのデバイスにインストールやデプロイするものは何もありません。

フックイベントは2種類あります。promptは、ガバナンス対象の推論リクエストごとに、推論が開始される前に1回発火します。tool_callは、Validate tool callsがオンになっている組織において、Claudeの応答にツール呼び出しが含まれる場合に、それらのいずれかが実行される前に発火します。

---

推論フックの仕組み

1. ユーザーがガバナンス対象のサーフェスでプロンプトを送信します。
2. Anthropicは、組織で設定されたAIセキュリティサーバーのエンドポイントにHTTPS POST を送信します。リクエストボディには会話のトランスクリプトが含まれます。組織が署名シークレットを生成すると、各リクエストはStandard Webhooks仕様に従って署名されるため、サーバーはリクエストがAnthropicから送信されたものであることを検証できます。
3. AIセキュリティサーバーはコンテンツを評価し、組織が設定した判定タイムアウト（デフォルトでは5秒）以内に判定を返します。
4. allow の場合、推論は通常どおり進行します。deny の場合、リクエストは拒否され、ユーザーには2つの部分から構成される「ポリシーによりブロックされました」というメッセージが表示されます。1つ目はAIセキュリティサーバーが判定の deny_reason フィールドで提供したリクエストごとの理由、続いて管理者が設定する固定メッセージ（たとえば、連絡先や例外申請の窓口）です。管理者が固定メッセージを設定していない場合は、組み込みのデフォルトメッセージがユーザーに管理者へ連絡するよう案内します。各拒否は、組織のアクティビティフィードにも記録されます。

次の図は、1つの例（ClaudeがO365ツールも呼び出すCoworkリクエスト）をたどり、フローのどの部分がフックされるかを示しています。フックされるポイントは図のステップ1、2、3で、それぞれプロンプトが到着する時点、Claudeがツールを呼び出す時点、ツールの結果が返される時点です。いずれの時点でも、フローが続行される前にAIセキュリティサーバーが判定を返します。ステップ2はValidate tool callsがオンの場合にのみフックされ、その1つの判定が応答内のすべてのツール呼び出しを対象とします。

判定は小さなJSONオブジェクトです。{"action": "allow"} はリクエストの進行を許可し、拒否の場合はユーザー向けの理由が含まれます。判定の完全なスキーマについては、判定を返すを参照してください。

AIセキュリティサーバーが受け取るのは、ユーザーが目にする内容です。つまり、トランスクリプトのテキスト、ツール呼び出しとその結果、添付ファイルから抽出されたテキストです。ファイルや画像の生のバイト、システムプロンプト、Anthropic内部のコンテキストを受け取ることはありません。

推論フックシステムは、プロンプトやレスポンスのコンテンツの独自のコピーを保持しません。保存するのは、フックの設定と、判定、タイムスタンプ、リクエスト識別子などのフックのアクティビティに関するメタデータのみです。ご利用のClaude製品は、フックが有効かどうかにかかわらず、独自のデータ保持ルールに従ってプロンプトとレスポンスを保存します。たとえば、claude.aiでフックによってブロックされたメッセージは、会話内に残ります。

AIセキュリティサーバーに到達できない場合、エラーを返した場合、またはタイムアウト内に応答しない場合は、組織の障害処理設定によって結果が決まります。リクエストをブロックするか、検査なしで続行を許可するかのいずれかです。サーバーに起因する障害が継続すると、サーキットブレーカーが作動します。Anthropicはサーバーへの接続を停止してすべてのリクエストに障害処理設定を適用し、サーバーが再び判定を返していることを検出すると、ブレーカーを自動的にリセットします。サーキットブレーカーを参照してください。

適用は組織のペースで段階的に展開できるため、初日から誰かがブロックされる必要はありません。シャドウモードでは何もブロックせずに本番トラフィックに対する判定を観察でき、ロールアウト率では選択した割合のリクエストを検査し、除外設定では選択したロールのメンバーを完全に対象外にできます。推論フックの設定を参照してください。

リクエストと応答の完全なスキーマ、署名の検証、運用の詳細については、推論フックインテグレーションを開発するを参照してください。

---

拒否されたリクエストの後に会話を続ける

各リクエストには会話全体が含まれるため、拒否されたメッセージは以降のすべてのメッセージとともに再送信されます。AIセキュリティサーバーがトランスクリプト全体を評価する場合、それらのリクエストも拒否されます。会話を続けるには、ユーザーは、Claudeが再度読み込むファイルも含め、アプリが次に送信する内容から拒否されたコンテンツを削除します。

手順はアプリによって異なります。

• claude.ai（Claude Desktopおよびモバイルアプリを含む）。 ユーザーは、修正したコピーを新しいメッセージとして送信するのではなく、拒否されたメッセージまたはそれより前のメッセージを編集します。WebおよびClaude Desktopでは、ユーザーが添付ファイルを削除しない限り、編集によってメッセージの添付ファイルが再送信されます。新しいチャットを開始することもできます。
• Claude Code。 ユーザーは/rewindを実行し、最初にそのコンテンツを取り込んだプロンプトを選択します。確認を求められた場合はRestore conversationを選択し、入力フィールドに戻ったプロンプトを編集またはクリアします。/clearを使用すると最初からやり直せます。チェックポイントを参照してください。
• Cowork。 拒否されたメッセージが最新のメッセージである場合、ユーザーはそれを編集します。編集すると添付ファイルが再送信され、Restart from hereを使用するとメッセージ全体が変更されずに再送信されます。コンテンツがファイルまたはそれより前のメッセージに含まれている場合、ユーザーは新規タスクを選択します。
• Claude Tag。 Slackで、ユーザーはまず拒否されたメッセージを編集するか、返信であれば削除します。次に、Claudeが回答していた場所（そのスレッド内、またはチャンネルのトップレベル）で、@Claude !restartを単独で送信します。新しいセッションはSlackに残っているメッセージを読み直すため、編集または削除を先に行う必要があります。!restartコマンドを参照してください。

---

ユースケース

• データ損失防止（DLP）。 トランスクリプトをDLPスキャナーに転送し、規制対象または機密扱いの情報を含むプロンプトを拒否します。これが最も一般的な導入形態です。
• リアルタイムのトランスクリプトアーカイブ。 各トランスクリプトを到着時にアーカイブし、常に allow を返します。Compliance APIをポーリングする代わりとなるプッシュベースの方法です。
• プロンプトのテレメトリ。 組織がClaudeをどのように使用しているかを、使用の瞬間に計測します。
• ポリシーエンジン。 推論の前に独自のルールを適用します。モデルの許可リスト、プロジェクト単位の制限、業務時間による制御などです。

---

現在の制限事項

• 添付ファイルはメタデータと抽出されたテキストで表現されます。生のファイルや画像のバイトは送信されないため、画像のみのコンテンツ（たとえば、ドキュメントのスクリーンショット）は検査されません。
• 判定は許可または拒否のいずれかです。プロンプトの書き換えやマスキングはサポートされていません。
• Claude Platform組織（Platform経由のAPIアクセス）は対象外です。

---

利用可能範囲

推論フックはClaude Enterprise組織で利用できます。設定にはorganization:manage権限が必要で、この権限を持つのはオーナーロールとプライマリオーナーロールのみです。

1つのフックで、Claude Enterprise組織内のすべてのClaude製品（claude.ai、Cowork、Claude Code、Claude for Microsoft 365、Claude Tag、Claude in Chromeを含みますが、これらに限定されません）にわたる会話を、Web、デスクトップアプリやモバイルアプリ、CLI、Slackのいずれで実行されているかにかかわらず管理できます。推論フックはAmazon BedrockやGoogle Cloudでは利用できません。

ガバナンス対象のリクエストとは、ユーザーの会話またはセッションの背後にある推論リクエストです。システムプロンプトとツール定義が送信内容に含まれることはありません。音声モードでは、プロンプトとツール呼び出しもエンドポイントに送信されますが、ツール呼び出しのごく一部は送信されないため、音声に対する唯一の制御として推論フックに依存しないでください。音声モードでエンドポイントがリクエストを拒否した場合、通常は一般的なエラーメッセージとともに音声通話が終了し、拒否理由は表示されません。

Validate tool callsがオンの場合、tool_callイベントには、claude.ai独自のツールの一部への呼び出しが含まれないことがあります。たとえば、次のことを行うツールです。

• コネクタ、プラグイン、またはスキルの一覧表示、検索、または提案
• リサーチの開始やWeb検索の有効化の提案
• 他のツールの検索
• より大きなモデルへの切り替え
• チャットの終了
• ユーザーの現地時刻をClaudeに提供
• ユーザー自身の過去のチャットや保存されたメモリの読み取り

これらの呼び出しとその結果は会話内に残るため、その会話からの次のpromptイベント（存在する場合）にはそれらが含まれます。

Anthropicが組織のために実行する一部の機能は、独自にモデル呼び出しを行います。組織はそれらの呼び出しの結果を確認できますが、トランスクリプトは確認できません。これらの呼び出しはガバナンス対象のリクエストではなく、エンドポイントには送信されません。これには次のものが含まれます。

• Claude Securityスキャン（ベータ版）。 Claude Securityは、接続されたリポジトリに対してホスト型のスキャンを実行します。ユーザーが検出結果を修正するために開くセッションと、Claude CodeのClaude Securityプラグインはガバナンス対象です。
• Code Review（リサーチプレビュー）。 Code Reviewは、GitHubのプルリクエストに対してレビューを実行します。ユーザーがClaude Codeで/code-reviewを使用してローカルで実行するレビューはガバナンス対象です。
• スマートレポート。 Anthropicは、組織のスマートレポートを作成するためにモデル呼び出しを行います。レポートの作成時にユーザーが入力またはアップロードする内容はガバナンス対象です。

---

推論フックとCompliance APIの比較

どちらの機能も、Claude Enterprise組織のセキュリティ、法務、コンプライアンスチームを対象としています。

リクエストがモデルに到達する前に停止するには推論フックを使用し、事後に何が起きたかを監査するにはCompliance APIを使用します。

---

このセクションの内容