security-guidance plugin (Claude Code)とは？
security-guidanceは、AnthropicのClaude Codeプラグインディレクトリに収録されている公式プラグインです。本プラグインには3つの層があります。EditまたはWriteのたびに、モデル呼び出しを伴わずに、yaml.load、信頼できないデータに対するpickle.load、生のinnerHTML、ハードコードされたシークレットなど、約25種類の既知の危険なパターンを検査します。Claudeがターンを完了すると、別のモデル呼び出しが差分をレビューし、重大度の高い検出事項をClaudeに戻して修正を促します。git commit時には、エージェント形式のレビュアーが関連ファイルを読み込んでコードベース全体のデータを追跡し、安全でない直接オブジェクト参照、認証バイパス、ファイル間SSRFなどの問題を検出します。
チームは.claude/claude-security-guidance.mdに平易な自然言語でルールを追加できます。表示されるスター数はプラグインディレクトリ全体のものであり、このプラグイン単体のものではありません。また、このディレクトリにはタグ付けされたリリースがありません。
security-guidance plugin (Claude Code)は使う価値があるか？
同じAIがコードの記述と検証の双方を行うと、自身の出力に賛同しがちになります。security-guidanceは、各ターンの差分を、そのコードが記述された経緯の記憶を持たない新たなモデル呼び出しに送信することで、その問題を回避します。
本機能は3つの深度で動作します。すべての編集に対して、pickleやinnerHTMLなど約25の危険なパターンとの照合が即座に行われ、コストはかかりません。完了したすべてのターンでは、差分に対するモデルレビューが実行されます。すべてのコミットでは、周囲のファイルを読み込むより詳細なエージェントが動作し、あるユーザーが別のユーザー のレコードを読み取るといった、複数ファイルにまたがる不具合を検出します。
注意点として、これらの処理はいずれも操作をブロックしません。検出結果は指示としてClaudeに返送されますが、Claudeがそれらを見落としたり無視したりする可能性は残ります。モデルによる2つのレビューはターンおよびコミットごとに使用枠を消費するため、プラグイン自体のドキュメントでも、ブロック機能を持つフックやCIチェックとの併用が推奨されています。表示されるスター数はこのプラグイン単体ではなくプラグインディレクトリ全体のものであり、執筆時点で約44,000件です。動作にはClaude Code 2.1.144以降およびPython 3.8以上が必要です。
当サイトの見解としては、ドアの鍵ではなく、肩越しに確認してくれる同僚のような存在と捉えるのが適切です。CI環境のSemgrepなどのツールがコードと本番環境の間に依然として介在している限り、インストールコマンド1つで導入できる価値は十分にあります。
真価を発揮する場面
Claude Codeを使用してウェブアプリケーションをリリースしている2名のスタートアップ
インジェクションや認証に関する不具合がmainブランチに届く前に検出することです
/plugin install security-guidance@claude-plugins-official を実行します。パターンチェックは無料ですが、ターンおよびコミットごとのレビューによって各セッションのモデル使用 枠が加算されます。
Claude Codeの導入を進めている企業のAppSecリード
すべての開発者に共通する社内セキュリティルールを一度に定義することです
.claude/claude-security-guidance.mdに平易な自然言語でルールを記述してコミットし、ブロック機能を持つCIスキャナーを実際のゲートとして維持します。
導入前に確認すること
- 導入
- Claude Code内で /plugin install security-guidance@claude-plugins-official を実行します。PATH上にPython 3.8以上が必要です。
- 連携
- Claude Codeのフックです。レビューはご自身のClaudeサインイン、APIキー、またはBedrock、Vertex、Foundry経由で実行されます。
- データとプライバシー
- 差分および関連コードは、レビューに使用するClaudeモデルに送信され、該当アカウントの利用規約が適用されます。パターンチェックはローカルで実行されます。
- 大規模利用時のコスト
- プラグインは無料です。ターンごとの差分レ ビューおよびコミットごとのエージェント形式のレビューは、デフォルトで最新のOpusで実行され、SECURITY_REVIEW_MODELで設定可能です。費用は通常の使用枠として請求されます。
- 制限
- 設計上、処理をブロックしません。レビューの品質はモデルに依存し、問題を見落とす可能性があります。
良い点
- インストールコマンド1つで導入でき、設定が不要です
- 独立したモデル呼び出しが、新たなコンテキストで各差分をレビューします
- コミット時のレビューで複数ファイルにわたるデータを追跡します
- 平易な自然言語でカスタムルールを記述できます
気になる点
- 助言のみを行い、書き込みやコミットをブロックすることは決してありません
- モデルによるレビューのため、毎ターン使用枠を消費します
- PATH上にPythonが必要です
- スター数はプラグインディレクトリ全体の数値を反映しています
おすすめの人
初期設定を行うことなく、すべての変更に対してセキュリティレビューを実施したいClaude Codeユーザーに適しています。
security-guidance plugin (Claude Code)の代替
security-guidance plugin (Claude Code)：よくある質問
- security-guidance plugin (Claude Code)は使う価値があるか？
- Claude Codeユーザーにとって、これは1つのコマンドで導入できるセキュリティ上のメリットであり、独自の作業を自身で甘く評価しないレビュアーを得ることができます。 評価は5点満点中4.2点です。
- security-guidance plugin (Claude Code)の料金は？
- Apache 2.0ライセンスに基づく無料プラグインです。モデルを利用する2つのレビューでは、ご自身のClaudeまたはAPIの使用枠が消費されます。
- security-guidance plugin (Claude Code)の欠点は？
- 助言のみを行い、書き込みやコミットをブロックすることは決してありません; モデルによるレビューのため、毎ターン使用枠を消費します; PATH上にPythonが必要です; スター数はプラグインディレクトリ全体の数値を反映しています.
- security-guidance plugin (Claude Code)は誰に向いているか？
- 初期設定を行うことなく、すべての変更に対してセキュリティレビューを実施したいClaude Codeユーザーに適しています。
- チームや本番環境でsecurity-guidance plugin (Claude Code)を使うと費用はいくらか？
- プラグインは無料です。ターンごとの差分レビューおよびコミットごとのエージェント形式のレビューは、デフォルトで最新のOpusで実行され、SECURITY_REVIEW_MODELで設定可能です。費用は通常の使用枠として請求されます。
- security-guidance plugin (Claude Code)は企業データを扱っても安全か？
- 差分および関連コードは、レビューに使用するClaudeモデルに送信され、該当アカウントの利用規約が適用されます。パターンチェックはローカルで実行されます。
- security-guidance plugin (Claude Code)の代わりになるものは？
- 当サイトでレビューした中で最も近い代替はTrail of Bits Skills 、 Cloudflare Security Audit Skillです。
回答確認日：2026年10月24日