社内サーバが5秒でAI利用を可否判定。Claude Enterpriseが推論前ゲートを公開

Claude Inference hooks は、Anthropic が2026年8月5日にベータ公開した、プロンプトがモデルに届く前に組織自前のセキュリティサーバで許可・拒否を判定する Claude Enterprise 向けの機能です。

📖 この記事で分かること

• 推論の前にプロンプトを社内サーバへ回す仕組み
• 判定は allow / deny の2択、既定タイムアウトは5秒
• 社内サーバに見える情報と、渡されない情報の線引き
• 影の運用から始められる段階導入と現時点の制限

💡 知っておきたい用語

• Inference hooks: AIに質問が届く前に、社内の警備員が中身を見て「通す・止める」を決める仕組み。

最終更新日: 2026年8月6日

▶ 公式ページ

• Inference hooks: inline data loss prevention for Claude Enterprise(Anthropic 公式ブログ)
• Inference hooks 公式ドキュメント(Claude Platform Docs)

Inference hooks とは何か

この記事のポイント

• Anthropic が2026年8月5日、Claude Enterprise 向けに「Inference hooks」をベータ公開しました(2026年8月時点)。
• 送信されたプロンプトは、モデルに届く前に組織自前の「AI security server」へ HTTPS POST され、allow / deny の判定を受けます。
• 判定のタイムアウトは既定5秒(2026年8月時点)。設定には organization:manage 権限が必要です。

Inference hooks は、Claude Enterprise 組織が「統制対象のプロンプト」を推論の実行前に自組織のセキュリティサーバへ通し、その場で許可か拒否かを決められる機能です。従来の統制は、利用ログを後から取得して監査する形が中心でした。今回追加されたのは、モデルが動く前に割り込んで止める経路です。

判定を担う AI security server は、組織自身またはセキュリティベンダーが運用する HTTPS サービスとして用意します。Anthropic 側から見れば外部のエンドポイントであり、どういう基準で通すかは完全に組織側の実装に委ねられます。

注目すべきは、このフックが Anthropic のサーバ上で動く点です。リクエストがクライアントを離れた後、モデルが動く前という位置に挟まるため、利用者の端末には何もインストールも配布も必要ありません。端末ごとのエージェント配布に苦労してきた情報システム部門にとっては、統制の単位が「デバイス」から「組織」に移ることを意味します。

判定の流れと5秒のタイムアウト

処理は4段階です。利用者が統制対象の画面でプロンプトを送信すると、Anthropic が組織の設定したエンドポイントへ会話トランスクリプトを HTTPS POST します。組織のサーバが内容を評価して判定を返し、allow なら通常どおり推論へ進み、deny ならリクエストは棄却されてモデルには届きません。

リクエストは Standard Webhooks 仕様に従って署名されます。組織が署名シークレットを生成しておけば、受け取った側で「本当に Anthropic から来たリクエストか」を検証できます。判定を返すエンドポイントは外部公開の HTTPS サービスになるため、この署名検証は実装上の必須項目と考えたほうが安全です。

返す判定(verdict)は小さな JSON です。通す場合は {"action": "allow"} だけで済みます。拒否する場合は deny_reason フィールドに利用者向けの理由を入れます。タイムアウトは組織側で設定でき、既定値は5秒(2026年8月時点)です。DLP【ディーエルピー】スキャナを挟む構成では、この5秒に判定処理が収まるかどうかが実運用の分かれ目になります。

拒否されたときに利用者が見る画面は2部構成になります。1つ目はサーバが返した deny_reason、つまりそのリクエスト固有の理由です。2つ目は管理者があらかじめ設定した定型メッセージで、問い合わせ先や例外申請の導線をここに置きます。管理者が未設定の場合は、組み込みの既定文が管理者への連絡を促します。拒否はすべて組織の Activity Feed に記録されます。

何が見えて、何が見えないか

AI security server が受け取るのは、利用者が見ているのと同じ範囲です。トランスクリプトのテキスト、ツール呼び出しとその結果、添付ファイルから抽出されたテキストが対象になります。

一方で渡されないものが明確に定義されています。ファイルや画像の生バイト、システムプロンプト、Anthropic 内部のコンテキストは送られません。会話タイトルの生成のような付随リクエストもエンドポイントへは回りません。検査のために組織側へ流す情報を、実際の会話内容に絞る設計です。

現時点でフックイベントは prompt の1種類のみで、統制対象の推論リクエストごとに1回、推論開始前に発火します。出力側、つまりモデルが生成した応答に対する強制は「後日のイベント」として計画されている段階で、まだ提供されていません(2026年8月時点)。入口は塞げるが出口はまだ、という状態です。

障害時の挙動も設定項目になっています。サーバが到達不能、エラー応答、あるいはタイムアウト内に応答しない場合、組織の failure handling 設定に従って「リクエストをブロックする」か「検査なしで通す」かが決まります。可用性を取るか統制を取るかを、組織が明示的に選ぶ形です。

現時点の制限と対象範囲

導入は一気に切り替える必要がありません。実トラフィック上で判定を観測するだけでブロックしない shadow mode、検査するリクエストの割合を指定する rollout percentage、選んだロールのメンバーを丸ごと対象外にする exclusions が用意されています。初日から全員が止められる事態を避けられます。

制限は3点が公式に挙げられています。第一に、添付はメタデータと抽出テキストで表現されるため、画像のみのコンテンツは検査されません。文書をスクリーンショットで貼る経路は素通りします。第二に、判定は allow か deny の2択で、プロンプトの書き換えや伏字化には対応していません。第三に、Claude Platform 経由で API【エーピーアイ】アクセスする Platform 組織は対象外です。

対象範囲は組織横断です。1つのフックで claude.ai、Cowork、Claude Code のセッションを、Web・デスクトップアプリ・CLI のいずれで動いていても統制できます。MCP コネクタやスキル、プラグイン経由のツール呼び出しも含まれます。ただし Amazon Bedrock と Google Cloud では利用できず、ボイスモードも対象外です。設定には claude.ai の organization:manage 権限が必要で、組み込みの Admin / Owner / Primary owner ロールが保持します。

用途として公式が挙げているのは、DLP スキャナへの転送による機密内容の拒否、常に allow を返しつつ到着ごとに記録するリアルタイムのトランスクリプト保管、利用実態をその瞬間に計測するプロンプトのテレメトリ、そしてモデルの allowlist や勤務時間の制御といったポリシーエンジンです。最も一般的な導入形態は DLP だとされています。

編集部の見方

編集部は、この機能の本質は DLP そのものより 統制点が組織のインフラ側へ移ったことだと見ます。

• 根拠1: フックが Anthropic のサーバ上、クライアントを離れた後かつモデルが動く前に挟まるため、端末への配布が不要です。統制の抜け道が「エージェントを入れていない端末」ではなくなります。
• 根拠2: 1つのフックで claude.ai・Cowork・Claude Code を横断し、MCP コネクタやスキル経由のツール呼び出しまで届きます。面ごとに別々のゲートを組む必要がありません。
• 根拠3: 判定ロジックは組織が書く HTTPS サービス側にあります。何を機密とみなすかをベンダー製品の分類器に預けず、自社ルールとして持てます。

同時に、入口専用である点は運用設計に直結します。フックイベントは prompt のみで、出力側の強制は未提供です(2026年8月時点)。画像のみのコンテンツが検査されないことと合わせると、現段階の Inference hooks は「漏れを完全に塞ぐ壁」ではなく「主要な経路を塞ぐ関所」として位置づけるのが妥当です。既存の事後監査を止めて置き換える対象ではありません。

この見方が変わる条件は、計画されている出力側イベントが提供された場合です。応答にも判定が効くようになれば、入口の関所から入出力の双方向ゲートへ性格が変わり、事後監査に対する依存度そのものを下げられます。

よくある質問

Q: 判定サーバが落ちたら Claude が使えなくなりますか

A: 組織の failure handling 設定次第です。サーバが到達不能・エラー・タイムアウトのとき、リクエストをブロックする設定と、検査なしで通す設定のどちらかを選べます。

Q: いきなり全社員をブロックしてしまう心配はありませんか

A: 段階導入の仕組みがあります。ブロックせず判定だけ観測する shadow mode、検査対象の割合を指定する rollout percentage、特定ロールを除外する exclusions を組み合わせて広げられます。

Q: Compliance API との違いは何ですか

A: 作用するタイミングが逆です。Inference hooks は推論の前にインラインで allow / deny を返し、Anthropic が組織のサーバを呼びます。Compliance API は事後に組織側から Anthropic を呼び、アクティビティやチャットを監査・エクスポート用に取得します。

まとめ

Anthropic は2026年8月5日、Claude Enterprise 向けに Inference hooks をベータ公開しました。プロンプトはモデルに届く前に組織自前の HTTPS サーバへ送られ、既定5秒以内に返る allow / deny の判定で通過可否が決まります。フックイベントは現時点で prompt のみ、画像のみのコンテンツは検査対象外で、書き換えや伏字化にも対応していません。入口の統制を組織のインフラ側に持てるようになった一方、出力側の強制は今後のイベント提供を待つ段階です。

【用語解説】

• AI security server: 組織またはセキュリティベンダーが運用する HTTPS サービス。Anthropic から送られた会話トランスクリプトを評価し、allow か deny の判定を返す。
• DLP【ディーエルピー】: データ損失防止。機密情報や規制対象データが組織の外へ出るのを検知・遮断する仕組みの総称。
• shadow mode: 実際のトラフィックに対して判定を実行し結果を観測するが、ブロックは行わない運用モード。本番適用前の影響確認に使う。

引用元:

• [1] Inference hooks: inline data loss prevention for Claude Enterprise(Anthropic 公式ブログ)
• [2] Inference hooks(公式ドキュメント)(Claude Platform Docs)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。