AIが「セキュリティ研究者」のようにコードを読む。Anthropic公式「Claude Security」プラグインが話題

2026年7月23日、Claude関連の情報を発信する「Claude Code Digest」（@Claude_Digest）のポストが10万回以上表示され、話題になりました。内容は、Anthropicが公開したClaude Code向けの公式セキュリティプラグイン「Claude Security」（ベータ版）の紹介です。

注目されたのは、AIが単にコードのパターンを照合するのではなく、セキュリティ研究者のようにコード全体の文脈を読んだうえで、脆弱性の発見から修正パッチの提案までを行うという点です。公式ドキュメントでも仕様が公開されているため、内容を確認しながら整理します。

「自分はコードを書かないから関係ない」と思うかもしれません。ただ、AIで社内ツールを作る動きが広がるなかで、「そのコードは安全か」を誰がどう確かめるのかは、非エンジニアの現場でも避けて通れない話になりつつあります。順番に見ていきます。

Claude Codeが「脆弱性の診断」までできるようになった

公式ドキュメントによると、Claude SecurityプラグインはClaude Codeのセッション内で、複数のAIエージェントによる脆弱性スキャンを実行するものです。リポジトリ全体をスキャンすることも、ブランチの差分やコミット単位といった「変更部分だけ」をスキャンすることもできます。

そもそも「脆弱性スキャン」とは？

脆弱性（ぜいじゃくせい）とは、プログラムに残ってしまった攻撃に悪用されうる弱点のことです。たとえば、入力欄から不正な命令を送り込まれてデータベースを覗かれる、ログイン処理の抜け道を突かれて他人になりすまされる、といったものが該当します。

Anthropicの製品ページでは、Claude Securityが狙うのはメモリ破壊・インジェクション・認証バイパス・複雑なロジックの誤りといった、深刻度の高い脆弱性だと説明されています。いずれも、単純なパターン照合型のツールでは見逃されやすい種類のものです。

「AIの答え合わせをAIがする」のがポイント

ドキュメントによると、スキャンは複数のClaudeエージェントが分担して進みます。まずコードの構造を把握し、次に脅威モデルを組み立て、脆弱性を探し、すべての検出結果を独立した検証役のエージェントがレビューしてからレポートが書かれます。

この「独立した検証」が入ることで、レポートが短く読む価値のあるものになる、というのが公式の説明です。AIの出力をAIが検算する、という考え方は、セキュリティに限らず業務でAIを使うときの参考になります。

基本情報

なお、スキャン結果はリポジトリ内のタイムスタンプ付きフォルダに保存され、修正パッチもそのフォルダに置かれます。パッチが自動で適用されることはなく、利用者が自分で git apply を実行する仕組みです。

業務でどう使える？どう変わる？

エンジニア向けの機能ですが、「AIが作ったものの安全性をAIに点検させる」という発想自体は、非エンジニアの業務にも関わってきます。

職種別の活用アイデア

• 情報システム・社内DX担当：AIを使って社内ツールを内製する動きが増えています。公開範囲の広いツールを作った際に、リリース前の一次チェックとして脆弱性スキャンを挟む運用が考えられます
• 開発を外注している事業部：納品されたコードの品質を自分たちで確かめる手段がないケースは多いはずです。「セキュリティレビューをどう実施しているか」を発注時に確認する材料になります
• 管理部門・監査対応：スキャン結果はレポートとして残り、どのコミットを診断したかの記録も一緒に保存されます。診断を実施した証跡を整えやすくなります
• これから学ぶ人：検出結果には「なぜ問題なのか」「どう悪用されうるか」の説明が付きます。安全なコードの書き方を学ぶ教材として読む使い方もできます

ここから学べること

今回の設計でいちばん参考になるのは、「AIに作らせる」と「AIに点検させる」を別々の工程として分けている点です。しかも点検役は、検出したAIとは別のAIが担当します。

そして最後の適用判断は人間に残す。この「生成→独立した検証→人間の承認」という三段構えは、資料作成でも数値集計でも、AIを業務に組み込むときにそのまま使える型です。

よくある質問

まとめ：AIの成果物は、別のAIと人間の二重で確かめる

Claude Securityプラグインは、Claude Codeの中でコードの脆弱性を診断し、修正案まで出してくれるベータ版の公式プラグインです。開発者向けの機能ではありますが、「AIが出したものを、別のAIが検証し、最後は人間が承認する」という組み立て方は、あらゆる業務でAIを使う際のお手本になります。

今回の内容は、Claude Code Digest（@Claude_Digest）の投稿を参考にさせていただきました。導入コマンドからスキャン、パッチ適用までの流れを最短の手順で整理していて、「まず何をすればいいか」がひと目でわかる投稿です。

「まず自分がAIを業務で使える側になりたい」という方には、デイトラのAI業務活用コースで、プロンプトの基本からMCP・AIエージェントまで体系的に学べます。