Claude Code向けセキュリティ対策プラグイン公開

米Anthropicは、エージェント型コーディングツール「Claude Code」用の新しいセキュリティガイダンスプラグインを一般公開しました。このプラグインは、開発者がコードを執筆している最中に、自ら加えた変更に対するセキュリティ脆弱（ぜいじゃく）性の自動レビューを行い、同一の開発セッション内でシームレスに修正を支援するものです。

1. 開発プロセスに応じた多層的なスキャン

プラグインは「フック」（プログラムの特定の処理タイミングで独自のコードを実行する仕組み）を基盤にしており、以下の3つの深さでコード変更をレビューします。

• ​ファイル編集時​: 動的コード実行や安全でないAPIなどの脆弱性パターンを、モデル不使用の高速スキャンで検出します。
• ​ターン（対話の1往復）終了時​: 変更された全内容をバックグラウンドでモデルがスキャンします。
• ​コミットまたはプッシュ時​: 周辺コードも読み込んで、より深いエージェント型のレビューを実行します。

2. レビューの独立性確保と社内実績

本プラグインは、コードを生成したClaudeインスタンスとは別のClaudeインスタンスが検証用の差分（diff）を元にレビューを行います。これにより、「セルフレビュー」（AI自身が生成したコンテンツを自ら評価すること）による脆弱性見落としのリスクを排除しています。同社の社内検証によると、本プラグインの導入により、PR（Pull Request：コード変更を反映させる要求）到達時点のセキュリティ指摘数が30〜40%減少したとのことです。

コードが共有リポジトリに届く前の「シフトレフト」（開発プロセスのより早期にテストや検証を行うこと）を実現する本機能は、開発者の手戻りを大幅に削減すると期待されます。API利用に伴いモデル利用料金は発生するものの、組織固有のカスタムルールも追加可能なため、エンタープライズ領域におけるセキュアなAI開発を推進する強力なツールとなるでしょう。