【Claude Code】公式セキュリティプラグイン「Claude Security」に、脆弱性を仕込んだページを診断させてみた

AIに仕事をさせるのが当たり前になると、新しい問題が浮かぶ。コードを書く速度は明らかに上がったのに、それを人間がレビューする時間は変わらない。1日かけていた仕事が数十分で出てくるようになった一方で、品質を確認する工程だけが取り残され、ボトルネックになっている。その結果、レビューを省くか、レビュー漬けになるか、どちらかの悪循環に陥りやすい。Anthropicが公開した「Claude Security」というセキュリティプラグインは、この問題に対してAIで返す答えだ。複数のエージェントがチームを組んで、コード全体を手分けして読み込み、SQLインジェクションやXSSといった脆弱性を自動で探し出す。見つかった問題を別のエージェントが検証したうえで、修正案まで提示する仕掛けだ。

ここで面白いのは、これが「人間がやっている手分けをAIで自動化した」という点だ。セキュリティチェックを複数の人が担当するのと同じことを、エージェント群がやっている。既存のSASTツールのように「ルールに基づいて引っかかった項目を列挙する」のではなく、「複数の視点から推論して、本当に危ないか検証する」という知的な作業をAIに任せている。つまり、セキュリティチェックの「勘」や「経験」の部分に、AIが入り込んでいるということだ。

中小企業にとっての実務的な含意は、PRレビューの流れに組み込める選択肢が増えたということだ。大企業のようにセキュリティチーム専任を置けない組織でも、このプラグインを導入すれば、人間レビューが見落としやすい脆弱性を事前に検出できる。完全に人間を置き換えるのではなく、「エージェントが怪しい部分を絞り込んでから、人間が最終判断する」という分業がスムーズに成立する。品質保証の組織化が、AIのおかげで小規模チームでも形になる時代が来ている。