---
title: 推論フック
url: https://platform.claude.com/docs/ja/manage-claude/inference-hooks
description: 推論が進行する前に、ガバナンス対象の各プロンプトを組織のAIセキュリティサーバーに送信し、許可または拒否の判定を受け取ります。
---
Inference hooksはベータ版で、Claude Enterprise組織で利用できます。設定にはclaude.aiの`organization:manage`権限が必要です。この権限を持つのはOwnerロールとPrimary ownerロールのみです。詳しくは[Inference hooksの設定](https://platform.claude.com/docs/ja/manage-claude/inference-hooks-configuration)を参照してください。
「Inference hooks」（推論フック）を使用すると、Claude Enterprise組織は、推論が実行される前に、ガバナンス対象のすべてのプロンプトをAIセキュリティサーバー（組織またはそのセキュリティベンダーが運用するHTTPSサービス）経由でルーティングできます。ユーザーがプロンプトを送信すると、Anthropicは会話のトランスクリプトをAIセキュリティサーバーに送信し、許可または拒否の判定を待ちます。拒否されたリクエストはモデルに到達することはありません。セキュリティチームとコンプライアンスチームは推論フックを使用してデータポリシーをインラインで適用し、開発者は各リクエストを評価するAIセキュリティサーバーを構築します。
フックはAnthropicのサーバー上で、リクエストがクライアントを離れた後かつモデルが実行される前に動作するため、ガバナンス対象のすべてのリクエストに一律に適用され、ユーザーのデバイスにインストールやデプロイするものは何もありません。
フックイベントは2つあります。`prompt`は、ガバナンス対象の推論リクエストごとに1回、推論が始まる前に発火します。`tool_call`は、**Validate tool calls**がオンになっている組織において、Claudeの応答にツール呼び出しが含まれる場合に、それらのいずれかが実行される前に発火します。
***
## 推論フックの仕組み
1. ユーザーがガバナンス対象のサーフェスでプロンプトを送信します。
2. Anthropicは、組織で設定されたAIセキュリティサーバーのエンドポイントにHTTPS `POST` を送信します。リクエストボディには会話のトランスクリプトが含まれます。組織が署名シークレットを生成すると、各リクエストは[Standard Webhooks](https://www.standardwebhooks.com/)仕様に従って署名されるため、サーバーはリクエストがAnthropicから送信されたものであることを検証できます。
3. AIセキュリティサーバーはコンテンツを評価し、組織が設定した判定タイムアウト（デフォルトでは5秒）以内に判定を返します。
4. `allow` の場合、推論は通常どおり進行します。`deny` の場合、リクエストは拒否され、ユーザーには2つの部分から構成される「ポリシーによりブロックされました」というメッセージが表示されます。1つ目はAIセキュリティサーバーが判定の `deny_reason` フィールドで提供したリクエストごとの理由、続いて管理者が設定する固定メッセージ（たとえば、連絡先や例外申請の窓口）です。管理者が固定メッセージを設定していない場合は、組み込みのデフォルトメッセージがユーザーに管理者へ連絡するよう案内します。各拒否は、組織の[アクティビティフィード](https://platform.claude.com/docs/ja/manage-claude/compliance-activity-feed)にも記録されます。
次の図は、1つの例（ClaudeがO365ツールも呼び出すCoworkリクエスト）をたどり、フローのどの部分がフックされるかを示しています。フックされるポイントは図のステップ1、2、3で、それぞれプロンプトが到着する時点、Claudeがツールを呼び出す時点、ツールの結果が返される時点です。いずれの時点でも、フローが続行される前にAIセキュリティサーバーが判定を返します。ステップ2は**Validate tool calls**がオンの場合にのみフックされ、その1つの判定が応答内のすべてのツール呼び出しを対象とします。
判定は小さなJSONオブジェクトです。`{"action": "allow"}` はリクエストの進行を許可し、拒否の場合はユーザー向けの理由が含まれます。判定の完全なスキーマについては、[判定を返す](https://platform.claude.com/docs/ja/manage-claude/inference-hooks-endpoint#return-a-verdict)を参照してください。
AIセキュリティサーバーが受け取るのは、ユーザーが目にする内容です。つまり、トランスクリプトのテキスト、ツール呼び出しとその結果、添付ファイルから抽出されたテキストです。ファイルや画像の生のバイト、システムプロンプト、Anthropic内部のコンテキストを受け取ることはありません。
Inference hooksシステムは、プロンプトやレスポンスのコンテンツの独自のコピーを保持しません。保存するのは、フックの設定と、判定、タイムスタンプ、リクエスト識別子などのフックのアクティビティに関するメタデータのみです。ご利用のClaude製品は、フックが有効かどうかにかかわらず、独自のデータ保持ルールに従ってプロンプトとレスポンスを保存します。たとえば、claude.aiでフックによってブロックされたメッセージは、会話内に残ります。
AIセキュリティサーバーに到達できない場合、エラーが返された場合、またはタイムアウト内に応答がない場合は、組織の障害処理設定によって結果が決まります。リクエストをブロックするか、検査なしで続行を許可するかのいずれかです。サーバーに起因する障害が継続すると、「circuit breaker」（サーキットブレーカー）が作動します。Anthropicはサーバーへの接続を停止してすべてのリクエストに障害処理設定を適用し、サーバーが再び判定を返していることを検出すると、サーキットブレーカーを自動的にリセットします。詳しくは[サーキットブレーカー](https://platform.claude.com/docs/ja/manage-claude/inference-hooks-configuration#circuit-breaker)を参照してください。
適用は組織のペースで段階的に展開できるため、初日から誰かがブロックされる必要はありません。シャドウモードでは何もブロックせずに本番トラフィックに対する判定を観察でき、ロールアウト率では選択した割合のリクエストを検査し、除外設定では選択したロールのメンバーを完全に対象外にできます。[推論フックの設定](https://platform.claude.com/docs/ja/manage-claude/inference-hooks-configuration)を参照してください。
リクエストとレスポンスの完全なスキーマ、署名検証、運用上の詳細については、[インテグレーションの開発](https://platform.claude.com/docs/ja/manage-claude/inference-hooks-endpoint)を参照してください。
***
## 拒否されたリクエストの後に会話を続ける
各リクエストには会話全体が含まれるため、拒否されたメッセージは以降のすべてのメッセージとともに再送信されます。AIセキュリティサーバーがトランスクリプト全体を評価する場合、それらのリクエストも拒否されます。会話を続けるには、ユーザーは、Claudeが再度読み込むファイルも含め、アプリが次に送信する内容から拒否されたコンテンツを削除します。
手順はアプリによって異なります。
* **claude.ai（Claude Desktopおよびモバイルアプリを含む）。** ユーザーは、修正したコピーを新しいメッセージとして送信するのではなく、拒否されたメッセージまたはそれより前のメッセージを編集します。WebおよびClaude Desktopでは、ユーザーが添付ファイルを削除しない限り、編集によってメッセージの添付ファイルが再送信されます。新しいチャットを開始することもできます。
* **Claude Code。** ユーザーは`/rewind`を実行し、最初にそのコンテンツを取り込んだプロンプトを選択します。確認を求められた場合は**Restore conversation**を選択し、入力フィールドに戻ったプロンプトを編集またはクリアします。`/clear`を使用すると最初からやり直せます。[Checkpointing](https://code.claude.com/docs/ja/checkpointing)を参照してください。
* **Cowork。** 拒否されたメッセージが最新のメッセージである場合、ユーザーはそれを編集します。編集すると添付ファイルが再送信され、**Restart from here**を使用するとメッセージ全体が変更されずに再送信されます。コンテンツがファイルまたはそれより前のメッセージに含まれている場合、ユーザーは**New task**を選択します。
* **Claude Tag。** Slackで、ユーザーはまず拒否されたメッセージを編集するか、返信であれば削除します。次に、Claudeが回答していた場所（そのスレッド内、またはチャンネルのトップレベル）で、`@Claude !restart`を単独で送信します。新しいセッションはSlackに残っているメッセージを読み直すため、編集または削除を先に行う必要があります。[`!restart`コマンド](https://claude.com/docs/claude-tag/users/commands#restart-a-stuck-or-wrong-context-session)を参照してください。
***
## ユースケース
* **データ損失防止（DLP）。** トランスクリプトをDLPスキャナーに転送し、規制対象または機密扱いの情報を含むプロンプトを拒否します。これが最も一般的な導入形態です。
* **リアルタイムのトランスクリプトアーカイブ。** 各トランスクリプトを到着時にアーカイブし、常に `allow` を返します。[Compliance API](https://platform.claude.com/docs/ja/manage-claude/compliance-api)をポーリングする代わりとなるプッシュベースの方法です。
* **プロンプトのテレメトリ。** 組織がClaudeをどのように使用しているかを、使用の瞬間に計測します。
* **ポリシーエンジン。** 推論の前に独自のルールを適用します。モデルの許可リスト、プロジェクト単位の制限、業務時間による制御などです。
***
## 現在の制限事項
* 添付ファイルはメタデータと抽出されたテキストで表現されます。生のファイルや画像のバイトは送信されないため、画像のみのコンテンツ（たとえば、ドキュメントのスクリーンショット）は検査されません。
* 判定は許可または拒否のいずれかです。プロンプトの書き換えやマスキングはサポートされていません。
* プラットフォーム組織（Claude Platform経由のAPIアクセス）は対象外です。
***
## 利用可能範囲
Inference hooksはClaude Enterprise組織で利用できます。設定には`organization:manage`権限が必要で、この権限を持つのはOwnerロールとPrimary ownerロールのみです。
1つのフックで、Claude Enterprise組織内のclaude.ai、Cowork、Claude Code、Claude Tagのセッションにおける会話を、Web、デスクトップアプリやモバイルアプリ、CLI、Slackのいずれで実行されているかにかかわらず管理できます。Inference hooksはAmazon BedrockやGoogle Cloudでは利用できません。
ガバナンス対象のリクエストとは、ユーザーの会話の背後にある推論リクエストです。付随的なリクエストはエンドポイントに送信されません。これには、会話タイトルの生成や、Claude TagがSlackに投稿した後にAnthropicがClaudeの返信に対して実行する測定が含まれます。システムプロンプトとツール定義が送信内容に含まれることはありません。音声モードでは、プロンプトとツール呼び出しもエンドポイントに送信されますが、ツール呼び出しのごく一部は送信されないため、音声に対する唯一の制御としてInference hooksに依存しないでください。音声モードでエンドポイントがリクエストを拒否した場合、通常は一般的なエラーメッセージとともに音声通話が終了し、拒否理由は表示されません。
**Validate tool calls**がオンの場合、`tool_call`イベントには、claude.ai独自の一部のツールへの呼び出しが含まれないことがあります。たとえば、コネクタ、プラグイン、スキルを一覧表示、検索、または提案するツール、リサーチの開始やWeb検索の有効化を提案するツール、他のツールを検索するツール、より大きなモデルに切り替えるツール、チャットを終了するツール、ユーザーの現地時刻をClaudeに提供するツール、ユーザー自身の過去のチャットや保存されたメモリを読み取るツールなどです。これらの呼び出しとその結果は会話内に残るため、その会話から次の`prompt`イベントがあれば、それらが含まれます。
Anthropicが組織のために実行する一部の機能は、独自にモデル呼び出しを行います。組織はそれらの呼び出しの結果を確認できますが、トランスクリプトは確認できません。これらの呼び出しはガバナンス対象のリクエストではなく、エンドポイントには送信されません。これには次のものが含まれます。
* **Claude Securityスキャン（ベータ版）。** [Claude Security](https://claude.com/product/claude-security)は、接続されたリポジトリに対してホスト型のスキャンを実行します。ユーザーが検出結果を修正するために開くセッションと、Claude CodeのClaude Securityプラグインはガバナンス対象です。
* **Code Review（リサーチプレビュー）。** [Code Review](https://code.claude.com/docs/en/code-review)は、GitHubのプルリクエストに対してレビューを実行します。ユーザーがClaude Codeで`/code-review`を使用してローカルで実行するレビューはガバナンス対象です。
* **スマートレポート（ベータ版）。** Anthropicは、組織の[スマートレポート](https://support.claude.com/en/articles/16893491-get-started-with-smart-reports)を作成するためにモデル呼び出しを行います。
***
## 推論フックとCompliance APIの比較
どちらの機能も、Claude Enterprise組織のセキュリティ、法務、コンプライアンスチームを対象としています。
| | 推論フック | Compliance API |
| --------- | ----------------------------- | -------------------------------------------------------------- |
| 動作するタイミング | インライン、推論の実行前 | 事後 |
| 実行内容 | ガバナンス対象の各リクエストをリアルタイムで許可または拒否 | 監査およびエクスポートのために、アクティビティ、チャット、ファイル、プロジェクト、セッショントランスクリプト、ユーザーを取得 |
| 方向 | AnthropicがAIセキュリティサーバーを呼び出す | お客様がAnthropicのAPIを呼び出す |
リクエストがモデルに到達する前に停止するには推論フックを使用し、その後に何が起きたかを監査するには[Compliance API](https://platform.claude.com/docs/ja/manage-claude/compliance-api)を使用してください。
***
## このセクションの内容
組織で推論フックを許可し、AIセキュリティサーバーをセットアップしてテストし、障害処理を選択し、判定を適用します。
AIセキュリティサーバーを構築するためのリクエストと判定のスキーマ、署名検証、運用上のセマンティクス、インテグレーションパターン。