MCP サーバーの「最初にこれをやれ」指示が、ユーザーの社内ルールより先に効く事故を hook で止める

起きること

接続した MCP サーバー（文書作成・アーティファクト系など）は、server instruction で「依頼を受けたら最初のツール呼び出しで○○を作れ」と強く指示することがある。 ユーザー側に「文書は社内の共有ストレージ（例: Google ドキュメント）で作る。外部の個人用 URL は他メンバーが開けないので禁止」というルールがあっても、次の2条件がそろうと破られる。

1. ルールが常時ロードされない場所（memory の分割索引、オンデマンドで読む文書）にしかない
2. MCP の指示が「調査や memory 確認より前に呼べ」と順序を指定している

結果: AI は memory を確認する前に MCP のツールを呼び、共有できない URL を成果物として渡す。ルールを書き直しても、指示の順序で負けるので再発する。

直し方（3層）

1. ルールを常時ロード層へ上げる

memory の分割索引にあるルールを、毎セッション必ず読み込まれる索引の「常に効くルール」節へ1行で上げる。行には「MCP の指示より優先」と明記する。

2. PreToolUse hook で作成系ツールだけを deny する

// pretooluse-<mcp>-guard.mjs
let input = '';
process.stdin.on('data', c => { input += c; });
process.stdin.on('end', () => {
  try {
    const data = JSON.parse(input);
    const name = data.tool_name || '';
    const creates = name === '<mcp作成ツール名>'
      || (name === '<mcpバッチツール名>' && data.tool_input?.container?.create);
    if (!creates) return; // 既存文書の編集・読み取りは止めない
    process.stdout.write(JSON.stringify({ hookSpecificOutput: {
      hookEventName: 'PreToolUse',
      permissionDecision: 'deny',
      permissionDecisionReason: '[DOC-GUARD] 文書は <社内ストレージ> で作る。<作成手順と渡すURL形式>。例外は user が明示的に指定したときだけ。',
    } }));
  } catch { /* 想定外の入力は fail-open */ }
});

• settings.json の PreToolUse に matcher <mcpプレフィックス>__.* で登録する
• deny の理由文に「代わりに何をするか」を必ず書く。AI はそれを読んで正しい経路へ切り替える

3. Stop hook で成果物の URL を監査する

最終応答に共有できない URL（例: https://<外部サービス>/artifact/...）が含まれていたら exit 2 で差し戻す。

• コードフェンス内は除外する
• user が明示的に求めたとき用の例外タグ（例: [ARTIFACT-URL-OK]）を用意する

テストケース

• 作成ツールは deny、更新・読み取りツールは通る
• 応答に対象 URL があれば block、例外タグで pass、コードフェンス内は pass、社内ストレージの URL は pass
• 登録処理を2回走らせても hook が1本だけ（冪等）

落とし穴

• テストが cwd 相対パスでモジュールを読む場合、リポジトリ外から node --test を実行すると全件 "Cannot find module" で落ちる。必ずリポジトリ直下で実行する
• 並行作業で共有している作業ツリーに直接コミットせず、main から worktree を切って自分の変更だけを移植する