AI業務大全運営 株式会社デイトラ

今日

毎朝のAIニュース
業務から探すお役立ち資料無料相談
  1. トップ
  2. ニュース
  3. 「セキュリティチェックして」の一言でPCからクラウドまで点検。Claude Code用スキル「claude-security-scan」が無料公開

ニュース

「セキュリティチェックして」の一言でPCからクラウドまで点検。Claude Code用スキル「claude-security-scan」が無料公開

staff

Claude Codeに「セキュリティチェックして」と頼むだけで、Mac・手元のコード・GitHub・クラウド・Gmailまでを読み取り専用で点検してくれるスキルが、GitHubで無料公開されてX上で話題になりました。APIキーの漏れやMFAの設定漏れといった「うっかり」を、まとめて見つけるための道具です。

3行でわかる今回のニュース
  • Claude Code用のスキル「claude-security-scan」が、MITライセンスで無料公開された
  • Claude Codeを使って開発や社内ツール作りをしている人、クラウドやGitHubを自分で管理している人に関係する
  • まずは見本データでレポートの見た目を確かめてから、1回だけ全体をスキャンしてみる

情報漏えいは、高度な攻撃よりも「コミット履歴に残ったAPIキー」「本番に一緒に上がった .env」のような見落としから起きることがあります。どれも見に行けばすぐ分かるものの、確認する場所が散らばっているため、定期的に全部を見て回るのは大変です。このスキルは、その見回りをClaude Codeに任せるためのものです。

「セキュリティチェックして」の一言で、開発環境をまとめて点検できるようになった

claude-security-scanは、デジライズCEOのチャエンさんが公開したClaude Code用のスキルです。READMEでは、Mac・手元の全gitリポジトリ・GitHub・Vercelと公開サイト・クラウド（AWS / Google Cloud / Azure / Cloudflare / Supabase）・Gmailを読み取り専用で横断スキャンし、重要度別のレポートと「前回から増えたもの」を出すと説明されています。

依頼、読み取り専用で点検、レポート、前回との差分の4段階でスキャンが進む流れを示した図
頼むと読み取りだけで点検し、レポートと前回からの差分を出す

どんな仕組みなのか（初心者向け）

中身は、Pythonで書かれた点検プログラムと、それをClaude Codeから動かすためのスキルの説明書きです。Claude Codeに「セキュリティチェックして」と頼むと、点検プログラムが動き、結果をClaude Codeが日本語で説明してくれます。

点検には、すでにパソコンに入っているCLI（GitHubの gh、AWSの aws など）と、ログイン済みのアカウントが使われます。入っていないものは止まらずに「確認できなかった項目」として理由つきで表示されます。READMEでは、「確認できなかった」を「問題なし」と混同しないことをこのツールの方針としています。

コードの中に残った秘密情報の検出にはgitleaks、依存パッケージの既知の脆弱性の確認にはosv-scannerという公開ツールが使われます。結果は reports/<日時>/report.html に保存され、重要度・領域・新しく出たものだけ、で絞り込んで見られます。

基本情報

話題になった日

2026年10月18日

できること

Mac・手元のgitリポジトリ・GitHub・公開サイト・クラウド・Gmailを読み取り専用で点検し、重要度別のレポートと前回からの差分を出す

主な点検対象

Mac本体の設定、コミット履歴の秘密情報、GitHubの2段階認証、AWS・Google Cloud・Azure・Cloudflare・Supabaseの公開設定やMFA、公開サイトのHTTPSや .env の露出、Gmailの自動転送やフィルタ

入れ方

git clone https://github.com/chaenmasahiro0425/claude-security-scan ~/.claude/skills/security-scan → bash ~/.claude/skills/security-scan/scripts/install-tools.sh

必要なもの

Claude Code、Python 3.11以上。各領域はそれぞれのCLIにログインしておく（入っているものだけでよい）

作者

チャエンさん（株式会社デジライズ）

ライセンス

MIT

一次情報

claude-security-scanのリポジトリ（GitHub） / 投稿者のポスト

業務でどう使える？どう変わる？

一言でいうと、「気づいた人がたまに見る」だった点検を、「AIに頼めば毎回同じ範囲を見てくれる」状態に変える道具です。READMEでは、Claude Codeから次のような頼み方が紹介されています。

  • セキュリティチェックして
  • 前回から新しく出たリスクだけ教えて
  • 直せるところある？
  • 毎週月曜にスキャンするようにして
キー漏れ、設定漏れ、乗っ取りの3つの見落としを点検できることを示した図
キーの漏れ、設定の漏れ、乗っ取りの痕跡をまとめて見る

職種別の活用アイデア

  • エンジニア：リリース前に、手元のリポジトリにAPIキーや .env が紛れ込んでいないか、依存パッケージに既知の脆弱性がないかを確かめる
  • AIで社内ツールを作る非エンジニア：Claude Codeで作ったツールを公開する前に、公開サイトのHTTPSや .env の露出を点検する
  • 情シス・小さな会社の管理者：GitHubの組織で2段階認証が必須になっているか、外部コラボレーターが残っていないかを定期的に確認する
  • PM・チームリーダー：「前回から新しく出たリスクだけ教えて」で差分だけを見て、対応の優先順位を決める
注意点
  • 個人が公開しているスキルです。クラウドやGmailにログインした状態で動かす道具なので、仕事の環境で使う前に中身を確かめ、社内のルールに沿って導入しましょう
  • レポートは自分のPCにだけ保存されますが、READMEでは「弱点の一覧なので共有に注意」とされています
  • Mac本体の点検はmacOSのときだけ動きます。毎週月曜8時に自動実行するスクリプトもmacOS向けです
  • Google Workspace全体の管理設定は対象外です。AWSのリージョン単位の検査は、既定で東京とバージニアだけです
  • 自分が管理するサイトだけを対象にしてください。READMEでは検出は手がかりで、最終判断と修正は人が行うよう書かれています

よくある質問

スキャンで設定が書き換えられることはありますか？

READMEでは、点検は読み取りだけで、設定の書き換え・送信・削除は一切しないと説明されています。スキルの説明書きでは、直すときは1件ずつ利用者の承認を取るとされています。

クラウドやGmailを使っていなくても使えますか？

使えます。入っているCLIとログイン済みのアカウントだけを使い、無いものは「確認できなかった項目」に理由つきで表示されるだけで、スキャンは止まりません。

まず何から試せばよいですか？

READMEでは、python3 ~/.claude/skills/security-scan/scan.py --demo --open で見本データのレポートを開き、見た目だけ確かめる方法が案内されています。そのうえでClaude Codeに「セキュリティチェックして」と頼みます。

APIキーなどの値がレポートに残りませんか？

READMEでは、gitleaksの結果は伏せ字にし、Vercelの環境変数は名前と種類だけ、AWSのキーIDは末尾4桁だけを記録すると説明されています。レポートは権限を絞って自分のPCにだけ保存されます。

まとめ：まずは1回、自分の環境をスキャンしてみる

claude-security-scanは、Claude Codeに「セキュリティチェックして」と頼むだけで、PC・コード・GitHub・クラウド・Gmailを読み取り専用で点検できるスキルです。前回からの差分も出るので、定期的な見回りにも使えます。

まずは見本データでレポートの見た目を確かめてから、手元の環境で1回だけ全体をスキャンしてみてください。

今回の内容は、チャエンさん（@masahirochaen）の投稿をきっかけに紹介させていただきました。ご自身が日頃から回している点検の仕組みを、誰でも使える形で公開してくださった、ありがたいポストです。

「AIを業務で使える側になりたい」という方は、デイトラのAI業務活用コースで、プロンプトの基本からMCP・AIエージェントの活用まで体系的に学べます。

AI活用の導入支援・研修のご相談はデイトラへ

株式会社デイトラでは、企業向けのAI研修・AI業務効率化の導入支援を行っています。「何から手を付けるべきか」「自社ならどのツールを選ぶべきか」といった相談段階からお気軽にどうぞ。

無料で相談する

お役立ち資料のダウンロードはこちら

あわせて読む