- はじめに：AIエージェント利用における「セッションの漂流」を防ぐ
- 1. セッション終了時に必要な要素
- 2. なぜ「終わらせ方」が重要なのか
- 3. 実装：Claude Code セッション完了プロトコル
- 4. AIガバナンスの未来
- まとめ：ルールが AI の価値を最大化する
はじめに：AIエージェント利用における「セッションの漂流」を防ぐ
プライム上場企業のセキュリティ対策室で日々ガバナンスと向き合っている城咲子です。
私たちの現場でも Claude Code のような AI エージェントの導入が進んでいますが、プロフェッショナルが最も警戒すべきは「セッションの漂流」です。
AI との対話が長引くほどコンテキストは肥大化し、設計の意図は曖昧になり、トークンコストだけが積み上がります。これは組織にとって一種の「技術負債」であり、我々情シス担当者はこれをコントロールしなければなりません。
【関連記事】
1. セッション終了時に必要な要素
Claude Code を含む AI エージェントの運用において、セッションを跨ぐ際に必要となる「事実」は以下の通りです。
進捗状況の要約: 現時点での実装完了範囲と未完了タスク。
意思決定の記録: 特定の実装や設計を選択した論理的理由（ADR: Architectural Decision Records）。
トークン消費の最適化: 不要なファイルの除外と、次回のコンテキスト読み込みの最小化。
セキュリティ・ステータス: シークレットの混入チェックとテストの成否。
2. なぜ「終わらせ方」が重要なのか
セキュリティ担当の視点では、セッションを無計画に終わらせることは、施錠せずにオフィスを出ることに等しいリスクを伴います。
再現性の確保とROIの向上
新規セッションで「前回の続きを」と曖昧に指示すると、AI は過去の膨大なチャット履歴を読み直し、不要な推論を繰り返します。これはトークンコスト（経済合理性）の観点から極めて非効率です。セッション終了時に「外部メモリ」としてハンドオーバー資料を作成させることで、次回の開始コストを劇的に下げることが可能です。
セキュリティ・バイ・デザインの徹底
開発中のソースコードには、一時的なデバッグ情報や誤ってハードコードされたシークレットが紛れ込むリスクが常にあります。これらをセッションの最後に「強制的にスキャン・除去」させるプロセスを組み込むことで、組織的な安全性を担保します。
【関連記事】
生成AIのセキュリティリスクと対策｜情報漏洩・プロンプトインジェクションを防ぐ方法を専門家が解説｜Team Creative Lab
AIセキュリティガイドライン・ガバナンス解説｜国内外の動向と企業が取るべき対応を専門家が解説｜Team Creative Lab
3. 実装：Claude Code セッション完了プロトコル
私が社内で推奨している、Claude Code への指示用プロンプトの構成です。
ユーザーが「このセッションを完了します」と宣言した際に、以下のタスクを自律的に実行させます。
セッション完了時のタスクリスト
再現性の保存:
/summaryを実行し、変更ファイルと未完了事項をdocs/HANDOVER.mdに保存する。改善ポイントの抽出: 本セッションでのやり取りを分析し、次回に向けたプロンプトや
CLAUDE.mdの改善案を提示する。トークン節約の実施: 次回読み込む必要のない優先度の低いファイルを特定し、コンテキスト削減戦略を策定する。
セキュリティスキャン: APIキーやパスワードのハードコードがないか、デバッグログが残っていないか最終確認し、除去する。
テストステータスの確定: テストを実行し、コードが正常に動作する状態で終了することを保証する。
プライム上場企業のセキュリティ担当として、現場のエンジニアや社内SEが即座に導入できるよう、実務レベルまで落とし込んだ「Claude Code 向け命令セット」を整理しました。
これを CLAUDE.md に追記するか、セッション開始時に一度入力しておくことで、あなたの宣言一つで「安全かつ低コストな引継ぎ」が自動実行されるようになります。
以下のコードブロックをそのまま Claude Code にコピー＆ペーストして実行してください。
【コピペ用】完了プロトコル・テンプレート
# セッション完了プロトコルの設定 今後、私が「このセッションを完了します」と宣言した際、以下のステップを自律的に、かつ順序立てて実行してください。 ## 1. 再現性の保存（Handover） - `/summary` コマンドを実行し、本セッションでの変更箇所と未完了タスクを抽出してください。 - 抽出した内容と、なぜその実装を選んだかという「意思決定ログ（ADR）」を併せて `docs/HANDOVER.md` に保存してください。 ## 2. 改善ポイントの抽出（Meta-Learning） - 本セッションのやり取りを分析し、指示の齟齬や冗長だったプロセスを特定してください。 - 次回以降の精度を高めるため、`CLAUDE.md` やカスタム指示に反映すべき具体的な修正案を提示してください。 ## 3. トークン利用量の最適化（Cost Management） - 次回のセッション開始時に「読み込む必要のないファイル（優先度の低いファイル）」を特定し、リストアップしてください。 - コンテキストウィンドウを節約し、経済合理性を高めるための戦略を策定してください。 ## 4. セキュリティスキャン（Risk Management） - ソースコード内に API キー、パスワード、トークンなどの機密情報がハードコードされていないか、また不要なデバッグログが残っていないか最終確認してください。 - リスクを発見した場合は、即座に修正または除去を行ってください。 ## 5. 品質保証（Final Validation） - プロジェクト標準のテストコマンド（例: npm test, pytest等）を実行してください。 - 「コードが正常に動作する状態」であることを確認した上で、最終的なステータスを報告してセッションを終了してください。
現場のプロが教える「運用のコツ」
セキュリティ担当（城咲子）の視点
プライム上場企業の基準では、AI が生成したコードの「放置」はリスクと見なされます。このプロトコルにより、「テストが通ったこと」と「機密情報が含まれていないこと」をセッション終了時のエビデンスとして残すことが、監査対応上の重要な「ルール」となります。
経済合理性の視点
Claude Code の課金体系において、過去の冗長な履歴を読み込ませることは純粋な損失です。セッションの最後に docs/HANDOVER.md という「外部メモリ」を生成させることで、次回の開始時に最小限のトークンで「前回の続き」を正確に再開できるため、ROI（投資対効果）が劇的に向上します。
このテンプレートを導入して、AI 開発を「個人の裁量」から「組織的な管理」へとアップグレードしましょう。
【関連記事】
4. AIガバナンスの未来
今後の AI エージェント運用は、個人の裁量ではなく「システムによる自動的なハンドオーバー」へとシフトしていくと推測されます。特に大規模組織においては、AI が生成した成果物の「説明責任（アカウンタビリティ）」が問われるため、今回紹介したような完了ログの蓄積は、将来的な監査対応においても重要な証跡となると考えられます。
まとめ：ルールが AI の価値を最大化する
「自分が動くのではなくルールを変えて人と組織を動かす」のが私の信条です。
AI に対しても、セッションの「終わり」というルールを定義することで、次回の「始まり」をより強力なものに変えることができます。
この完了プロトコルを導入し、AI 開発負債を最小限に抑えつつ、最大限のパフォーマンスを引き出してください。
【関連記事】
