Anthropicが7月22日（現地時間）に出した「Claude Security Plugin for Claude Code」は、かなり実務寄りのツールです。派手なデモ映えより、現場で「これ欲しかった」が先に来るタイプだと思います。
ざっくり言うと、Claude Code の作業中に、コードの危ないところを探して、何が問題かを検証し、どう直せばよさそうかまで示してくれるプラグインです。しかも1つのAIが全部をやるのではなく、複数のエージェントが協力します。コードの構造を把握する役、脅威モデルを作る役、脆弱性を洗い出す役、そして検出結果を独立に確かめる役がいる、というイメージです。人間のセキュリティレビューに近い発想で、ここは素直に面白いところです。
セキュリティの世界では、「見つける」だけでは不十分です。誤検知もあれば、見逃しもある。だから、検出結果を別のエージェントが検証するという設計には意味があります。AIが1回それっぽいことを言っただけでは危ないので、二重チェックを入れているわけです。私はこのあたり、かなり堅実だなと感じました。
スキャンの対象は広くて、リポジトリ全体を丸ごと見ることもできますし、変更した部分だけに絞ることもできます。具体的には、特定ブランチの差分、プルリクエストの差分、単一コミットも対象にできるとのこと。実務では「全体監査」より「この修正、危なくない？」の確認のほうが頻繁なので、差分に絞れるのはかなり便利です。レビューの途中で使う光景が目に浮かびます。
さらにうれしいのは、見つかった脆弱性に対して修正パッチの提案までしてくれる点です。ただし、自動で勝手に当てるわけではありません。ユーザーがレビューして承認してから適用する方式です。ここは強く評価したいです。セキュリティツールなのに自動修正を前に出しすぎると、今度は別の事故が起きかねない。最後の責任を人間に残しているのは、現実的で好感が持てます。
このプラグインはユーザーのセッション内でローカルに動作し、各スキャンは契約プランの利用枠を消費します。つまり、勝手に裏で常時動くというより、「必要なときに呼び出して使う」道具です。常駐監視ではないぶん、使いどころは選びますが、その分だけ手元の作業に組み込みやすいとも言えます。
Anthropicは別に、Enterprise向けのマネージド型「Claude Security」製品もベータ提供しています。そちらはリポジトリを継続的に監視するタイプです。今回のプラグイン版は、GitLabやBitbucketでホストされているリポジトリなど、マネージド製品が届きにくい範囲もカバーできるのが売りです。要するに、企業の“常時監視”と、開発者が手元で使う“その場チェック”を分けているわけです。この分業はかなり筋がいいと思います。
導入条件は少しだけあります。有料プランが必要で、対応環境は Windows、Mac、Linux。Claude Code は v2.1.154 以降、Python は 3.9.6 以降が必要です。Proプランでは /config で Dynamic workflows を有効にする必要もあります。ブランチ差分やパッチ適用には Git も必要です。とはいえ、バージョン管理なしのディレクトリでも全体スキャンはできます。完全に手軽とは言わないまでも、既存の開発環境に寄せた条件になっています。
インストールは、Claude Code のセッション内で次を実行するだけです。
/plugin install claude-security@claude-plugins-official
/reload-plugins
導入後は、新しく追加された /claude-security コマンドから「コードベースのスキャン」「変更点のスキャン」「修正パッチの提案」を選べます。メニュー式なので、難しい操作を覚える必要はありません。こういうところは、かなり“普通の開発者向け”に作られていて好印象です。
この発表で一番大事なのは、AnthropicがClaude Codeを「コードを書くAI」から「コードを点検するAI」へ少し広げてきたことだと思います。生成AIはどうしても「作る」側が目立ちますが、実際の開発では“壊れていないか確認する”ほうが地味に重い。そこにAIを入れるのは筋がいいですし、セキュリティ監査の補助としてかなり実用的ではないでしょうか。
もちろん、AIが見つけた脆弱性をそのまま信じ切るのは危険です。最終確認は人間の仕事です。でも、レビューのたびに「ここ危なくない？」を一緒に見てくれる相棒としてはかなり頼れそうです。特に変更差分だけをすぐ診てもらえるなら、コードレビューの心理的なハードルが少し下がるはずです。これは地味ですが、かなり効くはずだと思います。
参考: 「Claude Code」プラグイン「Claude Security」がベータ公開 ～複数エージェントが脆弱性を指摘／検証・修正案の提示までを行うセキュリティ支援ツール - 窓の杜
