スキル・プラグインのセキュリティスキャンが登場 — Enterpriseでベータ開始

Enterpriseプランで、第三者製のスキル・プラグインを自動スキャンする機能がベータ提供を開始しました。2026年8月6日付で公式リリースノートに掲載され、組織メンバーがスキルやプラグインをアップロードまたは編集した瞬間に、悪意あるコードが含まれていないかを自動チェックします。追加費用はかかりません。

スキル・プラグインのセキュリティスキャンとは何をする機能か

対象は、組織メンバーがアップロードまたは編集した第三者製のスキルとプラグインです。単体のスキル・プラグインだけでなく、プラグインに同梱されたスキルも対象に含まれます。

スキャンが走るタイミングは、第三者製のスキルまたはプラグインがアップロードまたは編集された瞬間です。組織側が事前に許可リストを作る運用ではなく、持ち込まれたその場でチェックが入る仕組みになっています。承認フローを別途組む必要がなく、通常のアップロード操作の延長でセキュリティチェックが完結します。

提供範囲は、Claude・Claude Cowork・Enterpriseプラグインマーケットプレイスの3面です。同じスキル・プラグインの仕組みを使うこの3つの製品面で、共通のスキャンが動きます。現時点ではEnterpriseプラン限定のベータで、Pro / Max / Teamプランには提供されていません。

Skills・Pluginsは、Claude Codeに限らずClaude・Cowork全体で「業務知識をまとめて渡す」ための共通の仕組みに育っています。マーケットプレイス経由で誰でも配布・共有できる分、社外で作られたコードを組織内に取り込むことにもなります。取り込む相手が増えるほど、その中に悪意あるコードが紛れ込む余地も広がります。今回の機能は、この「取り込みの入口」に検査を挟むことで、拡張性と安全性を両立させる狙いがあります。

スキャン結果のPass・Warn・Failはどう振り分けられるか

判定結果は3種類です。

Warnは「使わせない」ではなく「気づかせる」判定です。バナーの内容を確認して同意すれば、そのまま使い続けられます。Failだけが利用不能を意味する、最も厳しい判定です。

スキャン自体の所要時間はおよそ1〜2分です。同じスキル・プラグインが再度スキャン対象になった場合、キャッシュされた結果がほぼ即座に返ります。スキャンに使われたコピーは処理完了後に削除され、残るのは判定結果と最小限のメタデータだけです。

既存のClaude Securityやinference hooksと何が違うのか

Anthropicは同じ時期に、名前の似た複数のEnterpriseセキュリティ機能を出しています。対象が違うため、混同すると導入判断を誤ります。

Claude Securityは、あなたが書いたコードそのものの脆弱性を検出し、修正案まで提案するツールです。ただしスキャン対象はGitHubでホストされたリポジトリに限られ、claude.ai/securityの画面でGitHubアカウントを接続して使います。対してスキル・プラグインのセキュリティスキャンは、外部から持ち込むスキル・プラグインという成果物そのものの安全性を、実行前に検査します。両者はどちらもEnterprise向けのベータですが、見ている対象が「自分のコードのGitHubリポジトリ」か「外部から取り込むスキル・プラグイン」かで役割が分かれています。

Inference hooksは毛色が異なり、組織が用意したサーバーへプロンプト・ツール呼び出しの応答・アップロードファイルを都度送り、許可(allow)か拒否(deny)かの判定を受けてからClaudeが処理を進める仕組みです。組織単位で一度設定すれば、Claude・Claude Code・Cowork横断で同じポリシーが効きます。スキル・プラグインのセキュリティスキャンが「持ち込みの入口で止める」役割なら、inference hooksは「動いている最中のやり取りを都度判定する」役割です。導入前のゲートと実行中の判定、両方を組み合わせて初めて、外部スキル・プラグインの経路を一通り押さえられる構成になっています。

この機能は誰がオン・オフでき、誰が対象になるか

有効化・無効化を切り替えられるのは、組織のOwnersとPrimary Ownersです。有効化したあとにスキャン結果を誰が確認・設定変更できるかは、カスタムロールで個別に権限を割り当てられます。一般メンバーは、スキャンをオンにした組織に所属していれば、自分で何かを設定しなくても自動でこの保護を受けます。

利用形態ごとの影響を整理すると、対象になるかどうかがはっきりします。

対象外になるケースと今後の展開

すべてのスキル・プラグインが対象になるわけではありません。次のケースはスキャンの対象外です。

• Claude内で作成されたスキル(自作スキル)
• この機能が有効化される前から存在していた既存のスキル
• MCPサーバー経由で共有されるスキル、およびフック
• CMEK(顧客管理の暗号鍵)・ゼロデータ保持・HIPAA対応の設定を使う組織

MCPサーバー経由のスキルとフックが対象外になっている点は、現時点のカバレッジの限界です。今後この範囲が広がるかどうかを公式は明言していません。MCPサーバー自体の安全性を確保したい組織は、MCPセキュリティガイドにある「サーバーごとに許可する範囲をどう決めるか」を別途あわせて検討する必要があります。

自作スキルが対象外なのは、悪意あるコードが持ち込まれるリスクは「外部から取り込む」経路に集中するという設計判断です。既存スキルが対象外になっている点は運用上の注意点で、機能を有効化した時点で組織内に残っている古いスキル・プラグインは、この機能だけでは検査されません。棚卸しが必要な場合は、別途手動での確認が要ります。

Enterpriseプラグインマーケットプレイス自体には、組織があらかじめ承認したスキル・プラグインだけを並べる運用もできます。マーケットプレイスでの事前キュレーションと、アップロード・編集時のスキャンは重なる部分もありますが、別の防御層です。マーケットプレイスに載せる前段階でキュレーションをすり抜けたものや、マーケットプレイスを経由せず直接持ち込まれたものを、スキャンが個別に補足する構図になります。

現時点で公式が示しているのはEnterpriseプラン限定のベータ提供までで、Pro / Max / Teamプランへの展開時期は発表されていません。スキャンが走るのはアップロードまたは編集のタイミングなので、一度Warn判定を受けたスキル・プラグインでも、中身を書き換えて再アップロードすればあらためて判定を受け直すことになります。

よくある質問

Pro / Max / Teamプランでも使えるか

使えません。現時点ではEnterpriseプランのベータ限定で、他プランへの展開時期は公式に示されていません。Pro / Max / Teamで第三者製のスキル・プラグインを使う場合、この保護は働かないことを前提に、配布元の信頼性を自分で確認する必要があります。

有効化前のスキル・プラグインもスキャン対象か

されません。対象は有効化後にアップロードまたは編集された第三者製スキル・プラグインだけです。既存のものはそのまま動き続けますが、この機能による検査は入りません。導入時に組織内の棚卸しをしたい場合は、別途手動での確認が必要です。

アップロードしたスキルの中身は残るか

残りません。スキャンに使われたコピーは処理が完了した時点で削除され、手元に残るのは判定結果(Pass・Warn・Fail)と最小限のメタデータだけです。スキャン専用に長期保存される複製は作られません。

MCPサーバー経由のスキルも対象か

対象外です。MCPサーバー経由で共有されるスキルは、既存のMCPツールと同じ信頼モデルで扱われ、このスキャンの対象には含まれません。フックも同様に対象外です。MCPサーバー自体の安全性を確認したい場合は、接続先ごとに許可する範囲を個別に見直す必要があります。

まとめ

Enterpriseプランで、第三者製スキル・プラグインを自動スキャンする機能がベータ提供されています。判定はPass・Warn・Failの3種類、スキャンには1〜2分程度かかり、追加費用は発生しません。自作スキルや既存のスキル・プラグインは対象外なので、導入時は「これから持ち込まれるもの」だけが対象になる点を踏まえておく必要があります。有効化はOwnersとPrimary Ownersの権限で、Pro / Max / Teamプランには今のところ提供されていません。

Claude Codeのプラグイン・マーケットプレイス全体の仕組みはClaude Codeプラグイン(Plugins)完全ガイド、Skillsの基礎はClaude Code Skills完全ガイドにまとめています。組織のセキュリティ設計を個人・チーム・企業のレイヤー別に見直したい場合はClaude Codeセキュリティ・権限ガイド、Cowork側のデータの扱いはCoworkセキュリティが参考になります。