Claude Securityプラグイン｜コミット前に脆弱性検出

「動くものは速く出せた。でも、あのコードに脆弱性は残っていないだろうか」——1人でコードを書いて世に出す立場ほど、この不安はコミットボタンの直前に必ず訪れます。

結論から言うと、2026年7月22日にbeta公開されたClaude Security プラグインを使えば、コミットする前に「今回の差分」だけを脆弱性スキャンし、必要ならコードベース全体の監査まで、ターミナルの中だけで完結できます。追加のSaaSも別料金の契約も要りません。

株式会社Fyveは、中小企業がAIを業務に取り入れる伴走をしています。私自身も常時起動のマシンでコードを書くジョブを無人で回す立場にあり、「出荷前に自分でどう点検するか」は日々の関心事です。この記事では、公式の挙動を一次情報で押さえたうえで、1人でコードを出す立場から見た運用の勘所まで解説します。

Claude Security プラグインとは（2026年7月22日 beta公開）

Claude Security プラグインは、Anthropicが2026年7月22日にpublic betaとして公開した、ターミナル内で動くマルチエージェント型の脆弱性スキャナです。Claude Codeのプラグインとして提供され、既存のClaude Codeセッションの中からリポジトリのセキュリティスキャンを走らせます。

できることは大きく3つのモードに分かれます。

• 差分スキャン：直近のコード変更（ブランチやPRの差分）だけを対象に、コミット前に脆弱性を洗い出す
• 全体監査：コードベース全体を対象に、より深いセキュリティレビューを走らせる
• パッチ生成：見つかった問題に対する修正案を `.patch` ファイルとして提示する

検出の狙いは、軽微な書式の乱れではなく実害の大きい欠陥です。具体的には、インジェクション（SQLインジェクション等）、認証バイパス、メモリ破損、そしてロジックの欠陥といった深刻な脆弱性に焦点を当てています。

コードのセキュリティ点検をAIエージェントに任せるという発想そのものは、すでに大規模事例で実証が進んでいます。その全体像は、こちらの記事で詳しく解説しています。

AIでコードをセキュリティ監査する方法｜Claude実践事例

従来のスキャンツールと何が違うのか

既存の静的解析ツールの多くは、あらかじめ登録された「危険なパターン」に一致する箇所をフラグする、パターンマッチ型です。速くて確実な一次スクリーニングですが、複数のファイルにまたがって初めて成立するロジックの穴や、業務フロー上の認証の抜け道までは拾いきれません。

Claude Security プラグインは、コードが複数ファイルを横断してどう動くかを読んだうえで問題を特定します。だからパターンマッチが見逃しがちな、文脈依存の複雑な欠陥まで射程に入ります。

裏側では、複数の専門エージェントが役割分担で動きます。コードベースの棚卸し、脅威モデリング、調査、抜け漏れを埋めるスイープ、そして指摘の妥当性を独立に確かめる検証——という多段の工程を経て、最後にレポートと修正案がまとまります。指摘は複数の投票者が合意して初めてレポートに載る設計になっており、AIにありがちな「それらしいが的外れな指摘」を減らす作りです。

レビューの層も一段ではありません。編集中に走る軽量なパターンマッチ、Claude Codeとのやり取りのたびに走る点検、そしてコミット時点でのエージェント主導の深いレビュー——という多層構えになっています。「書いている最中」から「出荷の直前」まで、点検のタイミングが複数用意されているのが特徴です。

この違いは、実務では「拾える問題の種類」に効いてきます。たとえば、ある関数が受け取った入力を検証せずに別ファイルのクエリ生成に渡している、といった構造は、1ファイルだけを眺めても脆弱性には見えません。呼び出し元と呼び出し先を横断して初めて「ここが注入経路になる」と分かります。パターンマッチ型が苦手とするのは、まさにこの種のファイルをまたいだ文脈です。コードの流れを読んで指摘できることが、AIエージェント型の実利になります。

読者特典・無料ダウンロードClaude Codeを「素のまま」使うな無料でダウンロード →↓

導入と使い方｜有効化からスキャンまで

導入はプラグインのインストールから始まります。公式マーケットプレースから、Claude Codeのセッション内で次の順に実行します。

• /plugin install claude-security@claude-plugins-official でインストール
• /reload-plugins でプラグインを読み込み直して有効化

利用にはいくつか前提があります。Claude Code v2.1.154 以降、有料プラン、Python 3.9.6 以降、そしてGitが必要です。組織で使う場合は管理コンソール側で機能を有効化する運用になります。

有効化できたら、あとは目的に応じてモードを選ぶだけです。日々の開発では、コミット前に差分スキャンを走らせて「今回書いた分」に穴がないかを確かめます。区切りのタイミングでは、コードベース全体の監査を走らせて棚卸しします。

スキャンが終わると、見つかった問題と、それぞれに対する修正案をまとめたレポートが提示されます。指摘に対しては修正案が `.patch` ファイルとして出てくるので、内容を確認してから `git apply` で当てる、という流れになります。丸ごと鵜呑みにするのではなく、どの指摘を採り、どの修正を当てるかは人が選ぶ——ここが後述する運用の勘所につながります。

権限やパスの設定を含め、Claude Code側の土台をきちんと整えておくと、こうしたプラグインの挙動も安定します。設定の落とし穴については、こちらもあわせて確認しておくと安心です。

Claude CodeClaude Codeの権限ルールの罠｜黙って効かない指定

1人でコードを出す立場から見た運用の勘所

ここからは、実際に無人でジョブを回している立場としての使い方の判断です。ツールの機能そのものより、どこにゲートを挟むかが本番では効きます。

修正は必ず人が確認してから当てる

このプラグインは、パッチを自動では適用しません。提示されるのは `.patch` ファイルで、当てるかどうかは人が判断します。さらに、各パッチが指摘した問題を本当に解消しているか・新たな穴を持ち込んでいないかを、別の検証エージェントが独立に確かめます。それでも最後に `git apply` する前の目視は省かない——「AIが提案し、人が判断してから世に出す」という順序を崩さないことが、速く出す個人ほど大事になります。

差分スキャンを日常に、全体監査を節目に

速く出荷する1人事業にとって、毎回コードベース全体を監査するのは時間的にもコスト的にも現実的ではありません。だから私は、コミット前の差分スキャンを日常のゲートに据え、機能の区切りやリリース前といった節目にだけ全体監査を回す、という使い分けを軸に考えています。今回書いた差分だけなら数十秒〜数分で済み、コミットのリズムを止めません。

トークン消費を予算として見る

スキャンは、利用プランのトークン上限を消費します。手動で一度回すだけならさほど気になりませんが、無人ジョブやCIに組み込んで頻繁に走らせると、トークンは静かに積み上がります。無人で回すなら、この点検も他の自動処理と同じく「予算のある工程」として上限を意識しておくべきです。委任や実行回数の天井をどう決めるかは、こちらの記事の考え方がそのまま応用できます。

Claude CodeClaude Codeのサブエージェント上限｜暴走委任を防ぐ

信頼できないコードには自前の隔離を

もう一点、見落としやすい注意があります。このプラグイン自体は実行環境の隔離を持ちません。素性の知れないリポジトリをそのままスキャンにかけるのは危険なので、信頼できないコードを扱うときは、サンドボックスなど自分で隔離の仕組みを用意してから走らせるのが安全です。自分が書いたコードを自分のマシンで点検するぶんには気にしすぎる必要はありませんが、外部から受け取ったコードや依存を丸ごとスキャンする場合は一段構えを足しておきます。

beta段階として割り引いて使う

現時点（2026年7月）ではpublic betaです。深刻な脆弱性の検出に焦点を当てているぶん、書式レベルの細かな指摘まで網羅するツールではありませんし、AIによる検出である以上、見逃しも過検出もゼロにはなりません。だからこれ1本で「セキュリティは万全」と考えるのではなく、従来のレビューや静的解析に一枚重ねる層として位置づけるのが現実的です。無料のパターンマッチによる一次点検と、エージェント主導の深いレビューを併用できる設計は、まさにこの「重ねて守る」考え方と噛み合っています。

まとめ｜「出荷の直前」に自分で点検する工程を持つ

Claude Security プラグインは、2026年7月22日にbetaで登場した、ターミナル内で完結するマルチエージェント型の脆弱性スキャナです。コミット前に差分だけを点検し、節目には全体を監査し、修正案は人が確認してから当てる——この一連の流れを、追加ツールなしでClaude Codeの中に組み込めます。

速くコードを出す個人にとって本質的なのは、ツールの有無そのものより「出荷の直前に、自分で一度点検する工程を持っているか」です。私たちは、その工程を無理なく日々の開発に埋め込むための設計を、これからも実運用のなかで検証していきます。