マルチエージェントClaude Securityプラグインの使い方｜コードの弱点を探す
この記事の要点
- Claude Securityプラグインは、複数のAIでコード全体や変更分の弱点を探す
- 見つかった弱点は、直し方の案（パッチ）にできる。自動では当てず、人が確かめて当てる
- 結果はリポジトリの中の専用フォルダに、読む用と機械用の形で残る
AIに作業を任せてコードがどんどん増えると、「この中に危ない書き方が混ざっていないか」が気になってきます。全部を人の目で見直すのは現実的ではありません。
Claude Code には、コードの弱点（脆弱性）を探すための Claude Security プラグイン があります。この記事では、公式ドキュメント（2026年10月28日確認）にもとづいて、入れ方から直し方までの手順をまとめます。
結論：調べて、直し方の案を出させ、人が確かめて当てる
流れは3段です。
/claude-securityで 調べる（全体か、変更分だけ）- もう一度
/claude-securityで 直し方の案（パッチ）を作らせる - 案を読んで、自分で当てる（自動では当たらない）
調べる段階では、複数のAIが役割を分けて動きます。全体を調べるときは、まず作りの地図と「どこが狙われやすいか」の見立てを作り、弱点を探し、見つけたものを 別のAIが一つずつ確かめ直す 流れです。
ほかの安全の道具との違い
Claude Code には、似た目的の道具がいくつかあります。
| 道具 | 何をするか |
|---|---|
| セキュリティガイダンスのプラグイン | Claude が書いている最中に見る |
/security-review | ブランチの変更を1回だけ見る |
| Claude Security プラグイン | コード全体や変更分を、複数のAIで深く調べる |
「危ない操作を止める」ことが目的なら、フック や サンドボックス の出番です。役割が違うので、組み合わせて使います。
使う前にそろえるもの
- 有料プラン、Anthropic の API、またはクラウド事業者経由の利用（Pro では
/configの Dynamic workflows をオンにする） python3で動く Python 3.9 以降（標準の機能だけを使うので、追加のインストールはない）- 変更分の調査と直し方の案づくりには Git
調べるときは、いま会話で使っているモデルが使われます。別のAPIキーの設定はいりません。そのぶん、調べた量は通常の利用量に数えられます（費用を抑える方法）。
入れ方
ターミナルで Claude Code を起動し、次を入力します。
/plugin install claude-security@claude-plugins-officialデスクトップアプリや VS Code では、プラグインの画面から入れます。プラグイン全般の入れ方は プラグインの入れ方 で解説しています。
手順：調べてから直すまで
/claude-securityを実行し、Scan codebase を選ぶ- 調べる範囲を選ぶ。全体か、一部の領域か。ファイル数と、かかる量の目安が表示される。迷ったら「分からない」と答えると、大きさに合わせて選んでくれる
- 内容を確かめて実行する。確認するまで何も始まらない。時間と利用量がかかることがあり、終わるまで Claude Code を開いておく
- 結果を読む
- もう一度
/claude-securityを実行し、Suggest patches で直したい弱点を選ぶ - できた案を読み、納得したものだけを
git applyで当てる。1つずつ別のプルリクエストにする のがおすすめとされている
公式ドキュメントでは、確認の回数を減らせる オートモード で動かすと進めやすいと案内されています。
変更分だけを調べる
ブランチにまだ取り込んでいない変更があると、メニューから その差分だけ を調べられます。取り込む前の確認に向いています。プルリクエストや、特定のコミットを指定することもできます。
/claude-security scan my branch調べる対象は、コミット済みの変更だけです。
調べる深さを選ぶ
| 深さ | 中身 |
|---|---|
| low | 手早い1回目。全体を調べるときも、作りの地図と狙われやすさの見立てを省く |
| medium | 標準 |
| high | medium に加えて、同じ範囲をさらに探す |
どの深さでも、見つけた弱点を確かめ直す手順は同じです。大きなリポジトリで「思ったより見つからない」ときは、high にするか、もう一度調べると、別の弱点が見つかることがあります。
結果の読み方
調べるたびに、リポジトリの中に CLAUDE-SECURITY-日時 のフォルダができます。
CLAUDE-SECURITY-RESULTS.md：人が読む報告。弱点ごとに番号・影響・悪用の筋書き・深刻度・確からしさ・直し方の提案.jsonlと.sarif：同じ中身を機械で読める形で（GitHub のコードスキャンなどに取り込める）- どのコミットを、どの深さで調べたかの記録
このフォルダには専用の .gitignore が入っていて、うっかりコミットに混ざらないようになっています。監査の記録として残したいときだけ、その .gitignore を外してコミットします。
まとめ
- Claude Security プラグインは、複数のAIで弱点を探し、確かめ直す 調査の道具
- 直し方の案は 自動では当たらない。人が読んで、1つずつ当てる
- 取り込む前は「変更分だけ」、大きなリポジトリは「領域ごと」に調べる
出典
この記事はAIを使って下書きし、著者が事実確認・加筆しています。ツールの機能や料金は変わることがあるため、最新の情報は各社の公式ページでご確認ください。
