Claude Codeに搭載された新しい「Security Guidance Plugin」の実力を検証する

2026年5月30日 H.Ueda

今回は、I Tested Anthropic’s (New) FREE Claude Code Security Plugin (Found Hidden Bugs) という記事を参考に、Anthropicが新しく公開したセキュリティプラグインの仕組みや使い勝手について整理してみます。

使ってみようかな。参考まで。

Anthropicからリリースされた「Security Guidance Plugin」は、Claude Codeを利用する全ユーザーに対して無料で提供されているツールです。このプラグインを導入すると、開発者が意識してコマンドを叩かなくても、バックグラウンドでセキュリティの脆弱性をチェックしてくれるようになります。

まずは、このプラグインがどのような仕組みで動作し、どのようなメリットをもたらすのか、要点から見ていきましょう。

セキュリティチェックの3つのレイヤー

このプラグインの最大の特徴は、単一のチェックではなく「3つの深さ」で検証を行う点にあります。状況に合わせて、軽量なパターンマッチングから、AIエージェントによる深い分析までを使い分けています。

各レイヤーの役割をまとめると、以下のようになります。

レイヤー	実行タイミング	チェック内容の例	特徴
パターンマッチング	ファイル編集時	`eval()` や `exec()` の使用	ゼロコストで高速に実行される
ターンレビュー	各ターンの終了時	SQLインジェクション、認証バイパス	ロジックの問題をバックグラウンドで確認
コミットレビュー	コミット・プッシュ時	コンテキストを含めた脆弱性検証	エージェントが周囲のコードを読み取る

処理の流れを図解すると、以下のようなイメージです。

flowchart TD
    A[コードを編集] --> B{パターンマッチング}
    B -- リスクあり --> C[即時フラグ立て]
    B -- クリア --> D[ターンの終了]
    D --> E{ターンレビュー}
    E -- 脆弱性検知 --> F[バックグラウンドで通知]
    E -- クリア --> G[git commit / push]
    G --> H{エージェント型レビュー}
    H -- 偽陽性の判定 --> I[修正案の提示]
    H -- 安全確認 --> J[完了]

Anthropic社内でもこのツールは活用されており、プルリクエストにおけるセキュリティ関連の指摘が30〜40％も減少したという報告もあります。人間が見落としがちな「ついうっかり」を、AIが先回りして防いでくれるのは心強いですね。

導入の前に準備すること

このプラグインを試すには、いくつか前提条件があります。まずは、ご自身の環境が以下の条件を満たしているか確認してみてください。

Claude Codeのバージョン: 2.1.144 以降であること
Gitリポジトリ: git init された環境で作業していること（差分を検知するため）
Python環境: Python 3.8 以上がPATHに通っていること（コミットレビューでエージェントが使用します）

バージョン確認は、以下のコマンドで行えます。

claude --version

もしプロジェクトがまだGitで管理されていない場合は、あらかじめ初期化しておきましょう。

git init
git add .
git commit -m "initial commit"

プラグインのインストール方法

準備ができたら、Claude Codeのセッション内で以下のコマンドを実行するだけでインストールが完了します。

/plugin install security-guidance@claude-plugins-official

一度インストールしてしまえば、あとは普段通りにClaudeと対話しながらコードを書くだけです。特定のコマンドを覚える必要がないのは、実務においてもストレスが少なくて良いですね。

実際にどのようなバグを見つけるのか

元記事の検証によると、意図的に脆弱性を含ませたプロジェクトでテストした際、プラグインは非常に鋭い指摘を返してきたとのことです。

たとえば、ハードコードされたシークレット（APIキーなど）や、安全でない外部コマンドの実行、さらにはプロンプトインジェクションにつながるような危うい実装など、多岐にわたる問題をフラグ立てしてくれます。

1. パターンマッチングによる即時検知

たとえば、Pythonで安易に eval() を使おうとすると、エディタレベルですぐに警告が出ます。これは、静的な解析に近いイメージで、動作が非常に軽快です。

2. コンテキストを理解したレビュー

面白いのは3つ目のレイヤーである「コミットレビュー」です。ここでは、単に特定のキーワードを探すだけでなく、周囲のコードを読み取って「この文脈において、そのパターンは本当に危険か？」を検証します。

たとえば、テストコード内での一時的な処理であればスルーし、プロダクションコードにおけるリスクであれば修正案を提示する、といった「文脈の読み取り」を行ってくれるようです。

使ってみた感想とまとめ

実際に導入してみると、セキュリティチェックが「特別な儀式」ではなく、日常のコーディングフローに自然に溶け込んでくる感覚があります。

もちろん、AIがすべてを完璧に防いでくれるわけではありませんが、以下のような点では非常に有用だと感じます。

開発の初期段階で気づける: PRを出した後に指摘されるのではなく、書いている最中に気づけるので手戻りが少ないです。
学習効果: 「なぜこれが危険なのか」をClaudeが解説してくれるため、開発者のセキュリティ意識も自然と高まります。
無料かつ自動: 追加コストなしで、バックグラウンドで常に「見守り役」がいてくれる安心感があります。

セキュリティ対策は、後回しにすればするほどコストが膨らむものです。Claude Codeを使っている方であれば、まずはこの公式プラグインを入れておいて損はないかと思います。一応、Pythonのバージョンなどは事前に確認が必要ですが、導入自体はとてもスムーズですので、ぜひ試してみてはいかがでしょうか。

MicroArchitectures

H.Ueda

Programmer

ブログ