Claude Security 最新事情 - コードの脆弱性を見つけて直すAIと無料の /security-review

Anthropic の Claude Security(発表当初の名称は Claude Code Security)は、コードベースを丸ごとスキャンして脆弱性を見つけ、重大度や再現手順つきで説明し、そのまま修正パッチまで生成するセキュリティ機能です。2026年2月20日に限定的なリサーチプレビューとして登場し、2026年4月30日に Claude Enterprise 向けの public beta が開始されました。Team / Max 向けの提供も順次予定されています。

「脆弱性を見つける」ツールは以前からありますが、Claude Security の特徴は見つけたうえで直すところまで持っていく点にあります。従来のパターンマッチング型では検出しにくいビジネスロジックの欠陥や認可の破れも、コードの意図を読んだうえで指摘できる、というのが売りです。本記事では、ホスト型の Claude Security と、無料で試せる OSS の /security-review / GitHub Action の両方を、2026年夏時点の現在地として整理します。

Claude Security とは何か

Claude Security は、Claude.ai のサイドバー、または claude.ai/security から直接使えるホスト型のセキュリティ機能です。API 連携や独自エージェントの実装は不要で、管理者が admin console で有効化すればチームで使い始められます。内部で動くモデルは Claude Opus 4.7 です。

やってくれることは、おおむね次の流れです。

• リポジトリをスキャンして脆弱性を探す
• 見つけた脆弱性について、なぜ問題なのかを説明する
• 重大度(severity)と、指摘がどれくらい確からしいかの信頼度(confidence)を付ける
• どう再現できるかの手順を示す
• 修正のためのターゲット型パッチの指示を生成する

重要なのは、パッチが自動で本番に適用されるわけではないことです。生成された修正はあくまで人間のレビュー前提で、承認するかどうかは開発者が判断します。「AI が勝手に直して壊す」ことを避けつつ、面倒な調査と初稿パッチの部分を肩代わりさせる、という設計です。

スキャンだけで終わらせない周辺機能

public beta では、単発スキャン以外の運用機能も入っています。

• スケジュール実行と、対象を絞ったスキャン(scheduled / targeted scans)
• リポジトリ内のディレクトリ単位でのスキャン
• 誤検知だと判断した指摘を、理由を記録したうえで却下(dismiss)する機能
• 結果の CSV / Markdown エクスポート
• Slack や Jira などへの Webhook 連携
• 修正の実装を Claude Code on Web に引き渡す連携

スキャンで終わらず、そのまま Claude Code on Web でパッチを当てて PR にするところまで一本の流れでつながっているのが、単なる静的解析ツールとの違いです。

何をどれだけ見つけられるのか

Anthropic は、Claude Security(の基盤となった能力)がオープンソースのコードベースで500件を超える脆弱性を発見したと説明しています。2026年3月には、Claude Opus 4.6 が見つけた不具合について Mozilla が修正を出荷しました。長年の人間のレビューをすり抜けてきたバグが含まれていた、という点が象徴的です。

得意とするのは、単純なシグネチャ検出では拾いにくいタイプの脆弱性です。

• 露出したパスワードや古い暗号方式といった既知パターン
• ビジネスロジックの欠陥(本来通ってはいけない処理経路)
• 認可(アクセス制御)の破れ
• 文脈に依存する複雑な脆弱性

これらは「コードが何をしようとしているか」を理解しないと判断できないため、意味論(セマンティクス)を読めるモデルの土俵になりやすい領域です。フレームワーク層の脆弱性が実際にどれだけ広く影響するかは、直近のNext.js 2026年7月セキュリティリリースのような事例を見ると実感しやすいはずです。

無料で試せる: OSS の /security-review と GitHub Action

「Enterprise じゃないと触れないのか」というと、そうではありません。Anthropic は別途、MIT ライセンスの OSS として claude-code-security-review を公開しており、こちらは誰でも使えます。ホスト型の Claude Security とは別物ですが、思想は共通で「Claude の推論でコードをセマンティックに読む SAST」です。入口は2つあります。

1. Claude Code の /security-review スラッシュコマンド

Claude Code には /security-review コマンドが標準で入っています。開発中にそのまま実行すると、未コミットを含む保留中の変更に対して包括的なセキュリティレビューを行います。GitHub Action と同じ分析ロジックを、手元の開発環境で回せるイメージです。

/security-review

組織固有のルールを足したいときは、リポジトリの .claude/commands/security-review.md をコピーして編集すれば、誤検知フィルタの指示などをカスタマイズできます。Claude Code 自体の使い方はClaude Code のバージョン履歴と使いこなしも参考にしてください。

2. PR ごとに走る GitHub Action

もう一方が GitHub Action です。プルリクエストの差分だけを対象に(diff-aware)コードを読み、見つけた脆弱性を該当行への PR コメントとして投稿します。最小構成は次の通りです。

name: Security Review
 
permissions:
  pull-requests: write   # PR へコメントするために必要
  contents: read
 
on:
  pull_request:
 
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          ref: ${{ github.event.pull_request.head.sha || github.sha }}
          fetch-depth: 2
      - uses: anthropics/claude-code-security-review@main
        with:
          comment-pr: true
          claude-api-key: ${{ secrets.CLAUDE_API_KEY }}

claude-api-key に Anthropic の API キー(Claude API と Claude Code が有効なもの)を渡すのが必須です。使用モデルは claude-model 入力で指定でき、exclude-directories でスキャン対象外のディレクトリを、custom-security-scan-instructions で監査プロンプトへの追記を、それぞれ指定できます。OSS 側は無料ですが、実際の分析は Claude API を消費するため、その分の従量課金は発生します。

検出カテゴリは広く、代表的なものだけでも次のように整理されています。

一方で、ノイズを減らすためにあえて拾わないカテゴリもあります。DoS、レート制限、メモリ / CPU 枯渇、実証された影響のない汎用的な入力検証、Open Redirect などは、偽陽性リスクが高いとして自動的に除外されます。ここは組織の方針に合わせて調整できますが、「SAST が何を見て何を見ないか」を把握しておくのは重要です。

「攻撃にも使える」というジレンマと運用上の注意

Anthropic 自身が認めているとおり、脆弱性を見つけて直すのに役立つ推論は、そのまま攻撃者が脆弱性を突くのにも使えます。同社はそのうえで「防御側に天秤を傾ける」ことを狙って公開した、という立て付けです。だからこそ、パッチの自動適用をせず人間のレビューを挟む設計になっている点は、使う側も理解しておくべきところです。

もう一つ、AI をCI に組み込むこと自体のリスクも現実に起きています。2026年1月、GMO Flatt Security の RyotaK 氏が、Anthropic の Claude Code GitHub Action(claude-code-action。前述の security-review とは別のアクション)に、悪意ある issue を1つ立てるだけでリポジトリを乗っ取れる欠陥を報告しました。プロンプトインジェクションで Claude Code を発火させ、環境変数から認証情報を抜き、OIDC トークン交換で write 権限を奪う、という攻撃チェーンです。CVSS は 7.8(v4.0)。Anthropic は4日で修正し、claude-code-action は v1.0.94 以降で対策されています。この件の余波として、2026年2月には Cline の npm publish トークンが盗まれる被害も報告されました。

教訓は明確です。エージェントを CI に置くと、「入力(issue や PR 本文)が攻撃面になる」ということです。claude-code-security-review の README も、このアクションはプロンプトインジェクションに対して堅牢化されていないため、信頼できる PR のみに使うべきだと明記しています。実務では次を守ってください。

• 外部コントリビューターの PR では、メンテナがレビューしたうえでのみワークフローを走らせる(fork からのワークフロー承認を必須にする)
• API キーやトークンの権限は最小化し、/proc/self/environ から抜かれても被害が広がらない構成にする
• Action は @main ではなくコミット SHA でピン留めし、更新は差分を見て取り込む

エージェント全般のプロンプトインジェクション問題は根が深く、MCP 経由のプロンプトインジェクションと RCE の事例でも同じ構図が繰り返されています。

既存の SAST とどう違い、どう併用するか

従来のパターンマッチング型 SAST に対する Claude ベース分析の利点は、コードの意図を理解できることに集約されます。

• 文脈理解: 変更が何を目的としているかを踏まえて判断する
• 偽陽性の低減: パターン一致を超えた理解でノイズを減らす
• 説明可能性: なぜ脆弱性なのか、どう直すのかを言葉で説明する
• 適応性: 組織固有のセキュリティ要件に合わせてチューニングできる

ただし、これは置き換えではなく補完と考えるのが健全です。AI は文脈を読める代わりに、見落としもすれば自信満々に誤検知もします。だからこそ人間のレビューが前提に組み込まれています。既存の SAST / DAST、依存関係スキャン、そしてCSP のような多層防御やサプライチェーン対策と組み合わせて、「早く広く候補を挙げる層」として位置づけるのが現実的です。実際に日本で起きたインシデントの傾向は2026年の国内セキュリティインシデントも参考になります。

まとめ

• Claude Security(旧 Claude Code Security)は、コードベースをスキャンして脆弱性を見つけ、重大度・信頼度・再現手順つきで説明し、修正パッチまで生成するホスト型機能。2026年2月20日に research preview、2026年4月30日に Enterprise 向け public beta。モデルは Opus 4.7、claude.ai/security から API 連携不要で使える。
• 強みはビジネスロジックの欠陥や認可の破れなど、パターンマッチングでは拾いにくい脆弱性。オープンソースで500件超を発見し、Opus 4.6 の発見を Mozilla が修正した実績がある。
• 無料で試すなら OSS の claude-code-security-review(MIT)。Claude Code の /security-review コマンドと、PR ごとに走る GitHub Action の2系統。API キー分の従量課金のみで導入できる。
• 「見つける推論は攻撃にも使える」ため、パッチ自動適用はせず人間レビューが前提。CI にエージェントを置く際は、claude-code-action の乗っ取り欠陥(RyotaK 氏報告、v1.0.94 で修正)が示すとおり、信頼できる入力に限定し権限を最小化する。
• 既存 SAST の置き換えではなく補完。多層防御の一部として、候補を早く広く挙げる層に据えるのが現実的。

参考リンク

• Anthropic: Making frontier cybersecurity capabilities available to defenders
• Claude Security is now in public beta(claude.com)
• Claude for Cybersecurity(claude.com)
• anthropics/claude-code-security-review(GitHub, MIT)