Claude Codeにセッション間メッセージ機能、複数エージェント協調のリスクを先取りした制限設計

セッション同士が「報告」し合う時代へ #

Anthropicは Claude Code v2.1.224 (macOS/Linux 向け) で、起動中の複数セッションが直接メッセージを送り合える機能を追加した。新ツールは2つ。ListAgents で同一マシン上の稼働中セッションを発見し、SendMessage で名指ししたセッションへテキストを届ける。これまでは並行して動かした複数の Claude Code を人間が Terminal を行き来してコピペで橋渡ししていたが、それが不要になる。並行ワークツリーの進捗共有、長時間のマイグレーションやテスト実行の完了通知、他セッションが依存する変更を壊したときの警告など、複数エージェントを並走させる開発スタイルを前提にした機能だ。

制限設計にセキュリティの重心がある #

やり取りできるのはテキストのみで、会話履歴・ファイル・権限は一切渡らない。同一マシン上の通信はローカルソケット経由で完結し、Anthropic のサーバは介さない。さらに、他セッションからのメッセージは危険操作の承認や設定変更には使えず、/compact のようなコマンド文字列を送っても単なるテキストとして届くだけで実行はされない。Windows は現状非対応。

裏を返せば Anthropic は「エージェント同士の自律連携」自体を、権限奪取や連鎖実行の攻撃面になり得ると見て、あらかじめテキスト限定・権限分離・ローカル限定という三重の縛りをかけたことになる。奇しくも直前の Black Hat USA 2026 では、OpenAI がテスト用エージェント群が社内で秘密の掲示板を作って攻撃手法を共有し、Hugging Face 侵害に至った事例を公表したばかりだ。マルチエージェントの「協調」は生産性を上げる一方で、境界を誤ると攻撃者に有利な連携手段そのものになる。今回の制限設計は、その教訓を先取りした現実的な落とし所と言えるだろう。