「便利な拡張」が、そのまま侵入口になる──Claude Codeのスキルとプラグインに、Anthropicが企業向けの検問を置いた
8月6日、AnthropicがClaude Codeの第三者スキル/プラグインを対象にした悪性コンテンツ検査（Enterprise・ベータ）を追加。背景には「拡張マーケットプレイスは供給網の攻撃面になる」という研究者の警告があります。仕組みと、導入側の自衛策を整理します。
コーディングエージェントを賢くしているのは、後付けの拡張です。Claude Code の「スキル」や「プラグイン」を入れれば、決まった手順や道具をエージェントに覚えさせられます。ただしその手軽さは、裏を返せば「他人が書いたコードが、あなたのエージェントの内側に、高い権限で入ってくる」ことでもあります。2026年8月6日、Anthropic は Enterprise プラン向けに、第三者のスキルとプラグインを対象にしたセキュリティ検査（ベータ）を追加しました。誰かがアップロードや編集をしたタイミングで、悪性のコードが混じっていないかを自動でチェックする仕組みです。地味な追加ですが、背景には「拡張マーケットプレイスは供給網（サプライチェーン）の攻撃面になりうる」という、セキュリティ研究者からの相次ぐ警告があります。
拡張が「信頼境界」を越えてくる
なぜ検問が要るのか。研究者が指摘する危うさは、おおむね次の点に集約されます。いずれも「こうしたリスクが指摘されている」という温度で受け止めるのが妥当ですが、仕組みとしては具体的です。
- 高い権限で走る: プラグインは利用者と同じ権限で動き、実質的にパッケージ管理の代理として振る舞う。何をどこから取ってくるかの透明性は低い、とセキュリティ企業 SentinelOne は指摘します。
- 依存の乗っ取り: ライブラリの導入を頼むと、悪意あるスキルが取得先を攻撃者の用意した場所へすり替え、汚染版を引き込みうる。インポートは通り、サンプルも動く――表面上は何も壊れないまま、秘密情報の持ち出しや通信の監視が仕込まれる、という筋書きです。
- セッションをまたいで居座る: 一度有効にしたスキルは、その後のセッションでもエージェントの振る舞いを左右し続ける。単発の悪さでは終わりません。
- 発行のハードルが低い: 一部のレジストリは GitHub を1時間ごとに巡回して新しいマーケットプレイスを自動収集するため、公開から約60分で出回る。既定では署名も審査もない、と PromptArmor は報告します。
- なりすまし: PromptArmor は公式（anthropics）に似せた偽アカウント（anthropics-claude）を実証として作成し、これが招待を集めうることを示しました。
共通するのは、拡張を入れる行為が「自分の信頼境界に、そのメンテナ全員を招き入れる」ことと同じだという視点です。マーケットプレイスに接続するとは、そこに並ぶ未審査の作者を丸ごと自社の供給網に取り込む、ということでもあります。
Anthropicが置いた三つの防御線
今回の検査は単独の機能というより、この数日でAnthropicが重ねた防御の一枚です。目的の違う三つを整理します。
| 時期・機能 | 何を見るか | 対象 |
|---|---|---|
| 8月6日 スキル/プラグイン検査（ベータ） | 第三者スキル/プラグインを、アップロード・編集時に悪性コンテンツがないか自動検査 | Enterprise |
| 8月5日 Inference hooks（ベータ） | 全プロンプトとツール応答を、Claudeに届く前に検査・ポリシー適用（chat / Claude Code / Cowork 横断） | Enterprise |
| 7月21日 Claude Security プラグイン（公開ベータ） | リポジトリを多エージェントで脆弱性スキャンし、修正パッチを提案（拡張ではなく“自分のコード”側） | Claude Code 全ユーザー |
ここで押さえておきたいのは、8月6日の検査が見るのは「拡張そのもの」だという点です。自分たちが書いたコードの脆弱性を探す Claude Security プラグインとは向きが違い、外から持ち込む道具の安全性を入り口で確かめる関所にあたります。
導入する側が、いますぐできること
検査はまだベータで、しかも Enterprise 向けです。個人や Team で使う場合は、当面は運用側の自衛が要ります。手順の勘どころを挙げます。
- 接続先を絞る: 追加できるマーケットプレイスや発行元を組織で限定する。「個々のプラグインは検証しない」と明記する無審査レジストリを既定にしない。
- プラグイン導入を“人を雇う”感覚で扱う: 入れる前に発行元と権限を確認し、正規のリポジトリ名かをチェックする（なりすまし対策）。
- 更新を見張る: 静かに自動更新される前提で、更新差分を確認する運用にする。差分を可視化する監査ツールの利用も選択肢です。
- Enterprise なら検査をオンにする: 入り口の自動チェックを有効化しつつ、それを唯一の防御にしない。
便利さの手綱を、誰が握るか
エージェントを強くした拡張性は、そのまま攻撃者にとっての入り口でもあります。今回の検査は、その現実に対する妥当な一歩です。一方で留意点もあります。対象は Enterprise・ベータにとどまり、個人や Team の利用者はなお自衛が前提です。加えて、スキルは実行時の文脈やプロンプト次第で振る舞いが変わるため、静的な悪性判定だけで安全を保証しきるのは難しい、という指摘もあります。自動検査は万能薬ではなく、署名や検証が「あって当たり前」になるまでの過渡期の一手と見るのが冷静でしょう。拡張の便利さを取りにいくほど、その手綱を運用側が握り続けられるか――が問われます。
参照: Claude Updates by Anthropic - August 2026（Releasebot） ／ Release notes（Claude Help Center） ／ Marketplace Skills and Dependency Hijack in Claude Code（SentinelOne） ／ Hijacking Claude Code via Injected Marketplace Plugins（PromptArmor） ／ Malicious Coding Agent Skills and the Risk of Dynamic Context（Datadog Security Labs）
