マルチエージェントClaude Code プラグインは安全？入れる前の確認手順
この記事の要点
- プラグインは、あなたと同じ権限でパソコンの上でプログラムを動かせる。入れる前に中身を確かめるのが基本
- マーケットプレイスの名前でわかるのは「誰の目録か」まで。公式の名前でも、プラグインごとに中身を見る
- 確かめる順番は、出どころ → 入る物の一覧 → フックとサーバーの中身 → 部品の一覧、の4つ
活用例：チームで使う Claude Code のプラグインを選んで配る前の安全確認
- 部署
- 情報システム・開発
- 使うもの
- Claude Code の /plugin と claude plugin details
- AIに任せる
- プラグインの部品の一覧づくりと、フックやサーバーが何を動かすかの読み上げ
- 人が決める
- 入れてよいかの判断・配る範囲・会社の設定での制限
Claude Code のプラグインは、入れると、あなたと同じ権限でパソコンの上でプログラムを動かせます。便利な反面、中身を見ずに入れるのは、知らない人から受け取った実行ファイルを開くのと同じです。
この記事では、公式ドキュメント「Plugin security and trust」（2026年11月13日確認）にもとづいて、プラグインを入れる前に確かめることを順番に整理します。プラグインそのものの入れ方と作り方は Claude Codeのプラグインとは？ で解説しています。
結論：名前ではなく「中身」を見てから入れる
どのマーケットプレイスから入れる場合でも、プラグインごとに中身を確かめるのが公式の考え方です。 マーケットプレイスの名前でわかるのは、目録を出しているのが誰かまでで、一つひとつのプラグインが何をするかまでは保証されません。
プラグインができること
入れたプラグインは、次のような物を持ち込めます。上の4つは、あなたのパソコンでプログラムが動く物です。
| 持ち込む物 | 何が起きるか |
|---|---|
| フック | 道具を使う前後などの決まった場面で、コマンドが動く |
| モニター | 会話の開始時などに、裏でコマンドが動き続ける |
| MCP・言語サーバー | パソコンの上で別のプログラムとして立ち上がる |
| bin フォルダ | 中の実行ファイルを、Claude のコマンドから呼べるようになる |
| スキル・コマンド・エージェント | Claude への指示として読み込まれ、動き方に影響する |
| 自動更新 | 更新がオンだと、確かめた後のファイルが裏で変わることがある |
ここで大事なのは、権限のルールやサンドボックスが見張るのは「Claude が道具を使う時」だけという点です。フック・モニター・サーバーは、プラグインが自分で動かすプログラムなので、サンドボックスの外で、あなたの権限のまま動きます。権限のルールそのものは Claude Codeの権限設定 で、サンドボックスは Claude Codeのサンドボックスとは？ で解説しています。
公式のマーケットプレイスの見分け方
マーケットプレイスは、名前で3つに分かれます。
- 公式：claude-plugins-official など、Anthropic が使う決まった名前
- コミュニティ：claude-community など
- それ以外：同僚や自社が出している物も含めて、すべてここ
公式とコミュニティの名前は、Anthropic の GitHub の場所から入れた時だけ使えます。 ほかの場所から同じ名前を名乗っても受け付けられないので、なりすましは防がれます。ただし、それ以外の目録が危ないという意味ではなく、どの目録でも中身を確かめる点は同じです。
入れる前の4つの確認手順
- 出どころを確かめる：シェルで claude plugin marketplace list を打ち、各マーケットプレイスをどこから足したかを見ます
- 入る物の一覧を見る：会話の中で /plugin を開いてプラグインを選ぶと、「Will install」の欄にコマンド・エージェント・スキル・フック・サーバーが並びます
- 中身のファイルを読む：一覧ではフックが「ある」ことしかわからないので、ホームページか GitHub を開き、フックの設定（hooks/hooks.json）・サーバーの設定（.mcp.json）・bin フォルダの全ファイルを読みます
- 部品の一覧を出す：リポジトリを手元に置いて claude --plugin-dir で場所を指定し、plugin details を実行すると、会話を始めずに部品の一覧（Component inventory）が出ます
3つ目が一番大事です。 フックやサーバーは「どんなコマンドを動かすか」まで読まないと、本当に何が起きるかはわかりません。読むのが大変なら、Claude にファイルを読ませて「このフックは何をするか」を説明させ、最後の判断は人がするのが現実的です。
入れた後も、claude plugin details にプラグイン名を付けて実行すると、入っている版の一覧を確かめられます。
「入れる前の注意」と「止められる」場面
/plugin の詳しい画面には、どのプラグインにも同じ注意書きが出ます。中身は「入れる・更新する・使う前に、そのプラグインを信頼できるか確かめてください。Anthropic は中身を管理していません」という趣旨です。会社の設定で pluginTrustMessage を決めていると、その文が後ろに足されます。
注意では済まず、読み込みや入れること自体を断られる場面もあります。
- 公式やコミュニティの名前なのに、Anthropic の GitHub の外から足された目録
- 決めた指紋（sha256）と、ダウンロードしたファイルの指紋が合わない時
この2つは、だまされている・ファイルがすり替わっているおそれがあるので、無理に通さずに出どころを確かめ直します。
もう信頼できないプラグインを外す
シェルで claude plugin uninstall にプラグイン名を付け、入れた時と同じ範囲（--scope）で実行します。外した後に、残る物を確かめます。
- プラグインが保存したデータ：最後の範囲から外すと、既定では一緒に消えます
- ダウンロード済みのファイル：キャッシュの場所に14日間残り、その後に自動で片付きます。すぐ消したい時は、キャッシュの中のそのプラグインのフォルダを自分で消します
- マーケットプレイス：目録を出している相手ごと信頼できない時は、マーケットプレイスも外します。そこから入れたプラグインはまとめて外れます
会社で入れられる物を絞る
管理者は、会社で配る設定（マネージド設定）で次のような制限をかけられます。
- 足してよいマーケットプレイスの許可リスト・禁止リスト
- 必ず有効にするプラグインの指定
- --plugin-dir などで任意の場所から読み込む方法を止める
- フックを、会社の設定と必須のプラグインの物だけに絞る
社内の目録を作って配る手順は Claude Code マーケットプレイスの作り方 で、会社で配る設定は Claude Code の管理者設定 で解説しています。
よくある質問
公式のマーケットプレイスのプラグインなら、確かめなくてよいですか？
公式の目録でも、プラグインごとに中身を見るのが基本です。 名前でわかるのは目録を出している相手までです。とくにフックとサーバーは、何を動かすかを一度は読んでおきます。
確かめた後に、中身が変わることはありますか？
あります。そのマーケットプレイスの自動更新がオンだと、プラグインは裏で更新され、確かめたファイルが変わることがあります。中身を固定したい時は、マーケットプレイスごとに自動更新をオフにします。
サンドボックスを使っていれば、プラグインも安全ですか？
サンドボックスが守るのは、Claude が実行するコマンドだけです。 プラグインのフック・モニター・サーバーは、サンドボックスの外で動きます。プログラム全体を囲いたい時は、コンテナや仮想マシンで動かす方法を選びます。選び方は Claude Code の隔離環境の選び方 で比べています。
入れたのに動かない時はどうしますか？
/plugin の「Errors」の欄に、読み込めなかった理由が出ます。表示ごとの直し方は Claude Code プラグインが動かない時の直し方 にまとめています。
まとめ
- プラグインは、あなたと同じ権限でプログラムを動かせる
- 権限のルールとサンドボックスは、プラグインが自分で動かすプログラムまでは見張らない
- 出どころ → 入る物の一覧 → フックとサーバーの中身 → 部品の一覧、の順に確かめる
- 会社では、マネージド設定で入れてよい物を絞れる
出典：Anthropic「Plugin security and trust」（2026年11月13日確認） https://code.claude.com/docs/en/plugins/security
この記事はAIを使って下書きし、著者が事実確認・加筆しています。ツールの機能や料金は変わることがあるため、最新の情報は各社の公式ページでご確認ください。
