エラーを直してほしいときは、ログを丸ごと渡してしまうのが一番手っ取り早く感じます。画面の状態を見てほしいときも、スクリーンショットをそのまま貼りたくなります。ただ私も一度、貼る直前に見返して、画面の端にアカウント名や非公開のURLが残っていることに気づいたことがありました。
一人会社だと、開発も会計も顧客対応もサイト運営も、同じパソコンの上で行うことになりがちです。人数が少ないから漏れにくい、ということはなくて、むしろ他人のチェックが入らない分、自分で線引きを作っておく必要があると感じています。
もちろん、AIサービスごとのデータの取り扱い条件を確認することも大切です。ただ、どのプランを選んだとしても、「そもそも渡す必要のない情報は渡さない」という運用は変わらず必要になります。
見せてよい情報と見せない情報
| そのまま使いやすい | 加工してから使う | 原則として渡さない |
|---|---|---|
| 公開済みの記事、公開URL、公式情報 | 秘密を削ったログ、匿名化したエラー例 | APIキー、OAuthトークン、Cookie、パスワード |
| 一般的な設定例、ダミーデータ | 実在しない顧客・取引で作った再現用データ | 顧客名、メール、住所、銀行・カード情報 |
| 再現用に作った小さなコード | 管理画面を必要箇所だけ切り出した画像 | 売上、報酬、ASP管理画面、Search Console生データ |
私の基準は単純で、「この内容を、作業と関係のない外部の人に見られても困らないか」です。困るのであれば、AIに見せる前に必要な部分だけに削ります。非公開のメモであっても、あとで記事にコピーされる可能性はあるので、パスワードのような秘密そのものは書かないようにしています。
ファイルと作業場所を分ける
- パスワードやAPIキーは専用の保存場所に分けて、公開するフォルダには置かない
- 生の分析データ、管理画面から書き出したデータ、顧客データを作業フォルダに入れない
- 非公開メモは公開対象から外すが、そこを認証情報の保管庫にもしない
- 公開用のサンプルにはYOUR_API_KEYのような、見るからにダミーと分かる値を使う
- AIに読ませるフォルダを、その作業に必要な範囲だけに絞る
「Gitに入れなければ大丈夫」というわけでもありません。AIがパソコン内のファイルを読める設定になっていれば、Gitの管理外にあるファイルも読まれる可能性があります。読ませない設定と、AIに与える権限と、依頼するときの言葉。この三つをそろえて、はじめて範囲が決まります。
ログとスクリーンショットを小さくする
ログの全文が必要な場面は、意外と多くありません。エラーの前後だけを取り出して、認証に関わる部分やメールアドレス、ユーザーID、パソコン内のパスを削っても原因を追えるか、まず試してみます。
- ターミナルの上側に環境変数や実行コマンドが残っていないか
- ブラウザのタブ名、アドレス、ブックマーク、プロフィール名が映っていないか
- 管理画面の金額、顧客名、アカウントIDが映っていないか
- 画像を切り抜いた後もメタデータや別ウィンドウが不要に残っていないか
マスク加工には、どうしても見落としが出ます。記事にとって必須の画面でないなら、最初から使わないのが一番確実です。
調査を頼む前に自分に確認していること
- そのファイルを読ませなくても、公開情報や要約だけで作業できないか
- 生データではなく、数件のダミーデータで再現できないか
- 外部通信が必要なら、送られる内容を把握しているか
- 作業結果を将来公開しても困らない粒度でメモできるか
ログイン済みのブラウザや外部サービスを操作させるときは、必要な画面だけを対象にしています。ログインできるからといって、全部見てよいことにはなりません。見るだけの調査と、設定を変えたり何かを送信したりする操作も、分けて考えるようにしています。
公開・コミット前に検索する
長い変更の中に紛れ込んだ秘密情報は、人の目だけではまず見落とします。私は公開やコミットの前に、変更されたファイルの一覧を確認したうえで、認証情報に使われやすい単語やメールアドレス、非公開メモの印を機械的に検索するようにしています。
- 変更ファイル一覧に、環境設定、資格情報、分析データ、非公開メモがないか
- token、secret、passwordのような単語が変更内容に出ていないか
- 実在するメールアドレス、顧客名、非公開URL、金額がないか
- 作業記録やコメントに、管理画面の内容を書き写していないか
- 追加ファイルの理由を説明できるか
とはいえ、自動の検索はあくまで補助です。鍵の形式はサービスごとに違いますし、個人情報かどうかは機械では判定しきれないので、公開前には結局、自分でも変更内容を読んでいます。
渡してしまったときの初動
秘密情報を渡してしまったと気づいたときは、表示を消して終わり、にはできません。パスワードやAPIキーであれば無効化や再発行をして、どこまで保存・共有された可能性があるかを確認します。顧客情報が関わる場合は、契約や法令に沿った連絡も必要になります。
- 作業を止め、対象の情報と共有範囲を確認する
- APIキー、トークン、パスワードを失効・再発行する
- Git履歴、チャット履歴、共有ファイル、ログの残り方を確認する
- 不審な利用やアクセスがないかを見る
- 原因と再発防止を、秘密を再掲しない形で記録する
各サービスの保存やデータ利用は契約・設定で異なります。CodexはOpenAIの承認とセキュリティ、Claude CodeはAnthropicのセキュリティとデータ利用の公式説明を契約時点で確認してください。
公開前にどの順番で確認しているかは、AIが変更した内容の公開前チェックリストにまとめています。