Anthropic、「Claude Code」向けセキュリティ監査プラグイン「security-guidance」を公開

米Anthropicは5月27日（日本時間）、ターミナル上で動作するエージェント型コーディング支援ツール「Claude Code」向けの新たなセキュリティ監査プラグイン「security-guidance」を発表しました。このプラグインは、デベロッパーがコードを記述・編集する際、バックグラウンドにおいて自動かつリアルタイムで脆弱性スキャンを実行し、潜在的な脅威を検出・警告するシステムです。すべてのプランのClaude Codeユーザーに対して無償で提供が開始されています。

1. 3つのレイヤーによる包括的なセキュリティレビュー

「security-guidance」プラグインは、特定のアクションに応じて自動的に処理を行う「フック（Hook）」システムを介して動作します。開発者が明示的にコマンドを実行して監査を行う必要はなく、以下の3つの異なるレイヤーでコードのチェックが自律的に実行されます。

• ​ファイル編集時​​：誤用されやすい危険なライブラリや関数の呼び出しなど、典型的なリスクパターンをスキャンします。このレイヤーは高速なパターンマッチングによって動作するため、LLMのモデル呼び出しが発生せず、トークン消費なしで超高速に結果を返します。
• ​ターン（会話）終了時​​：見落としがちなセキュリティ問題がないか、現在のセッション全体の変更履歴を走査します。懸念が見つかった場合は「Claude」にフィードバックされ、その場で修正案が提示されます。
• ​コミット時​​：周辺のコードベースも含めて深く読み込み、脆弱性の有無を検証する本格的なセキュリティレビューが行われます。

2. 高い検出能力と開発現場への効果

プラグインが検出可能な脆弱性には、コードインジェクションや危険なデシリアライズ、安全でないDOM操作、認証バイパスなど、実開発における代表的な脅威が含まれています。Anthropicの内部テストによると、このプラグインの導入後、プルリクエストに対して発生するセキュリティ関連の指摘コメントが30～40％も減少したことが確認されました。 また、この脆弱性の検出プロセスは、開発者が実際にコーディングを行っているメインのインスタンスとは別のコンテキストウィンドウ（実行環境）で処理されるため、バイアスのない独立した視点での公正なレビューが技術的に担保されています。

3. 簡単な導入方法と動作要件

プラグインのインストールは、Claude Codeの対話画面（CLI）から以下のコマンドを入力するだけで簡単に行えます。

/plugin install security-guidance@claude-plugins-official

動作させるための最小要件として、「Claude Code CLI」のバージョン 2.1.144 以上、および「Python 3.8」以上の環境がホストシステムにインストールされている必要があります。

今回の「security-guidance」プラグインの提供は、エージェント型AI開発支援ツールにおける安全性確保のベストプラクティスを大きく変える可能性があります。特に、ファイル編集時にパターンマッチングを使用することで、トークン制限やAPIコストを一切気にせずリアルタイムのフィードバックを実現する設計は実用性に極めて優れています。 開発者自身が気づかないうちに混入させてしまう危険なコードや脆弱性を、開発の最も初期段階であるエディタ（ターミナル）内かつコミット前に水際でシャットアウトできることは、ソフトウェアサプライチェーンの安全性を高める上で非常に強力なアプローチです。今後、チーム開発におけるレビュー負荷の軽減や、より安全なデプロイサイクルの構築に大きな役割を果たすことになるでしょう。