Claude Securityは、Anthropicが提供するコードの脆弱性スキャン機能です。コードベースを読んで脆弱性を探し、見つけた問題を別の検証にかけてから、修正パッチの案と一緒に報告します。2026年10月8日時点で、同じ名前の製品が2つあります。1つはClaude Enterprise向けに公開β中のclaude.ai版で、スキャンはClaude Mythos 5.1で動きます。もう1つは2026年7月に出たClaude Code用のプラグイン版で、有料プランなら誰でも自分のセッションで動かせます。この記事では、2つの違い、claude.ai版の導入要件と料金の考え方、プラグイン版の使い方、採用前に確認すべき制約を、AnthropicのClaude Security製品ページ、ヘルプセンターの「Use Claude Security」、プラグイン版の公式ドキュメントの記述をもとに整理します。
まとめ：Claude Securityの現在地（2026年10月8日時点）
- 2つの製品：claude.ai版（claude.ai/security・Enterprise限定の公開β）と、Claude Code用プラグイン版（
claude-security・ベータ）。名前は同じでも、実行場所・モデル・対応リポジトリ・課金が違います。 - claude.ai版のモデル：2026年4月30日の公開β開始時はOpus 4.7、8月21日からMythos 5、現在の製品ページの表記はMythos 5.1です。利用者はモデルに直接アクセスできず、受け取るのは検出結果とパッチ案だけです。
- Team・Maxプラン：4月の発表では「近日提供」とされましたが、10月8日時点の製品ページとヘルプセンターでも対象はEnterpriseのみです。
- 料金：claude.ai版は「トークンの直接コストのみ・プラットフォーム料金なし」。Extra usage（従量課金）を有効にし、機能別の上限額を設定してから使います。
- プラグイン版：GitLabやBitbucket、外部から接続できないネットワーク上のコードも対象にでき、結果はSARIF 2.1.0でも出力されます。モデルは自分のセッションのものを使い、Mythosでは動きません。
- 使えない場面：claude.ai版はGitHub.comとGitHub Enterprise Server以外に非対応、ゼロデータ保持（ZDR）なし、自社が権利を持たないコード（OSSを含む）のスキャンは利用範囲外です。
claude.ai版とClaude Codeプラグイン版の違い
検索結果では2つの製品の情報が混ざって出てきます。まず比較表で切り分けます。
| 項目 | claude.ai版 | プラグイン版 |
|---|---|---|
| 提供状況 | 公開β（2026年4月30日〜） | ベータ（2026年7月〜） |
| 対象プラン | Claude Enterpriseのみ | 有料プラン・API・クラウド経由 |
| 実行場所 | Anthropic側（claude.ai/security） | 手元のClaude Codeセッション |
| スキャンのモデル | Claude Mythos 5.1 | セッションで選んだモデル |
| 対象リポジトリ | GitHub.com・GHES | 任意（Git以外の全体スキャンも可） |
| 出力 | 画面・CSV・Markdown・Webhook | Markdown・JSONL・SARIF |
| 修正 | Claude Code on the webで作業 | パッチファイルを手元でgit apply |
| 課金 | トークン従量（Extra usage） | プランの利用枠・API料金 |
判断の分かれ目は2つです。Mythos 5.1でスキャンしたいならclaude.ai版しか選択肢がありません。公式ドキュメントも、Mythos 5.1を使うスキャンはclaude.ai上のアプリに限られ、プラグインはClaude Codeアカウントで使えるモデルだけを使うと明記しています。逆に、GitHub以外にあるコードや社外から接続を受け付けないネットワーク上のコードは、プラグイン版でしか扱えません。
Claude Code Securityから現在までの経緯
旧称は「Claude Code Security」です。公開β以降に提供範囲とモデルが何度か変わったため、古い記事の記述は日付と合わせて読む必要があります。
| 日付 | 出来事 |
|---|---|
| 2026年2月20日 | Claude Code Securityを限定リサーチプレビューで公開 |
| 2026年4月30日 | Claude Securityへ改称し、Enterprise向け公開β（Opus 4.7） |
| 2026年5月25〜29日の週 | Claude Codeにsecurity-guidanceプラグイン |
| 2026年7月20〜24日の週 | Claude Securityプラグイン（ベータ）を公開 |
| 2026年8月21日 | claude.ai版のスキャンがMythos 5で動くように |
| 2026年9月1日 | Mythos 5.1公開（10月8日時点の製品ページはMythos 5.1表記） |
| 2026年9月25日 | プラグインv0.12.0 |
2月のリサーチプレビューは、Claude Code on the webに組み込まれた機能としてEnterpriseとTeamの顧客に提供され、オープンソースの保守者には無償の優先アクセスが案内されました。発表では、同月に出たOpus 4.6を使って、本番運用中のオープンソースのコードベースから500件超の脆弱性を見つけたと説明しています。
4月30日（米国時間）の公開βの発表は、数百の組織がプレビューを試したと述べたうえで、定期スキャン、ディレクトリ単位の対象指定、理由付きの却下、CSV・Markdown出力、Slack・Jiraなどへの Webhook 送信を追加機能として挙げています。このときTeamとMaxは「coming soon」とされましたが、10月8日時点でも提供対象はEnterpriseのままです。
8月21日の発表では、Mythos 5をスキャンに使っても別売りのアドオンはなく、既存プランの通常のトークン使用量として課金されると説明しています。ヘルプセンター（8月27日更新）はまだ「Mythos 5」と書いていますが、10月8日時点の製品ページとClaude Academyのガイドは「Mythos 5.1」です。表記が分かれているので、契約前にどちらで動くかを管理画面で確認してください。Claude Securityを通さずAPIからMythosを直接呼び出す場合は、CVPなどの検証プログラムでの認証が別に要ります。2026年11月9日公開のMythos 5.2での申請手順はClaude Mythos 5.2とは：Fable 5.2との違いとCVP申請・Mythos 5.1からの移行手順で扱っています。
claude.ai版の仕組みと検出結果の読み方
claude.ai版は、既知のパターンとの照合ではなく、ファイルをまたいだデータの流れやGitの履歴、業務ロジックを読んで脆弱性を探します。見つけた候補はそのまま出さず、Claude自身が反証を試みる多段の検証を通ったものだけが一覧に並びます。各検出には、CWE分類、信頼度、深刻度、修正案が付きます。
ヘルプセンターが示す検出結果の項目は、タイトル、詳細、ファイルと行番号、影響、再現手順、推奨修正、深刻度（HIGH・MEDIUM・LOW）、状態（Open・Dismissed・Resolved）、分類、リポジトリ、ブランチ、作成日です。却下した検出には理由とメモが残り、以後のスキャンで再表示されません。
検出対象の8分類
| 分類 | 含まれる脆弱性 |
|---|---|
| インジェクション | SQL・コマンド・コード・XSS |
| パーサー悪用 | XXE・ReDoS |
| パス・ネットワーク | パストラバーサル・SSRF・オープンリダイレクト |
| 認証・アクセス制御 | 認証回避・権限昇格・IDOR/BOLA・CSRF・競合状態 |
| メモリ安全性 | バッファ/整数オーバーフロー・解放後使用 |
| 暗号 | タイミング漏えい・alg=none・MD5/SHA-1/DES/ECB |
| デシリアライズ | pickle・Java readObject・YAML load |
| プロトコル・エンコード | Hostヘッダ経由のキャッシュ汚染・長さ情報の過信 |
メモリ安全性はほぼC/C++とRustのunsafeが対象です。デシリアライズの検出は、ヘルプセンターは「多くの場合RCEに等しい」と説明しています。ただし、対応順は分類だけで決めず、実際の悪用条件・影響と深刻度を確認して判断します。
深刻度の判定基準
深刻度は脆弱性の分類ではなく、そのコードベースでの悪用しやすさで決まります。同じSQLインジェクションでも、リポジトリによってHIGHにもMEDIUMにもなります。
| 深刻度 | 基準 | 例 |
|---|---|---|
| HIGH | 未認証の遠隔攻撃者が既定構成で悪用可能 | 公開APIの未認証コマンド注入 |
| MEDIUM | 認証後、または現実的な前提条件1〜2個 | 認証後のSQL注入（スキーマ知識が必要） |
| LOW | 前提条件3個以上・ローカルのみ・攻撃経路が未実証 | 数千回の要求が要るタイミング攻撃 |
深刻度の基準は現時点で変更できません。社内の対応期限（SLA）がCVSSや独自の基準で決まっている場合は、HIGH・MEDIUM・LOWを社内区分へ読み替える表を先に作っておかないと、トリアージのたびに議論が起きます。
claude.ai版の導入要件と有効化の手順
スキャン前にそろえる5つの前提条件
Claude Academyの導入ガイドが挙げる前提条件は次のとおりです。Claude Code on the webを使っている組織なら、大半はそろっています。
- 組織がClaude Enterpriseを契約している
- Claude Code on the web（claude.ai/code）が組織で有効になっている
- Extra usage（従量課金）が組織の請求設定で有効になっている
- 管理者がAnthropicのClaude GitHub Appをインストールし、対象リポジトリへのアクセスを許可している（GHESの場合はGHESインスタンスに入れ、Claude Code on the webと接続済みであること）
- スキャンを実行する各ユーザーにプレミアムシートが割り当てられている（標準シートにはClaude Code on the webが含まれない）
すべてそろったら、組織のオーナーが「組織設定 > Claude Security」で「Turn on for your organization」をオンにします。
よくあるつまずきは、組織としてGitHub Appを入れたのに、自分だけ「Install GitHub App」の画面に戻される現象です。claude.ai/securityはユーザーごとに自分のGitHubアカウントを確認するため、コネクタにGitHubを接続していない、接続したアカウントが対象のGitHub組織に属していない、組織のSSOを承認していない、のいずれかで失敗します。GitHub組織でIPアローリストを使っている場合は、この確認通信がGitHub App用の設定に含まれないので、組織レベルで160.79.104.0/21を追加する必要があります。
スキャンの実行から修正・却下まで
- claude.aiの左サイドバーのSecurityアイコン、またはclaude.ai/securityを開く
- リポジトリを選び、必要ならディレクトリやブランチに絞る
- 初回や大きな変更の後は、スキャンの深さを「Standard」か、より深い「Extended」から選ぶ
- スキャンを開始する（リポジトリの規模により数分から数時間）
- 検出ごとに修正ボタンからClaude Code on the webのセッションを開き、パッチを作る。誤検知や対象外のものは理由を付けて却下する
大規模なリポジトリやモノレポは、全体ではなくモジュールやサブディレクトリ単位で回すのが公式の推奨です。対象を絞るほど結果が安定し、成功率も上がると説明されています。絞っても、ロジックを追うのに必要なら対象外のコードも参照します。
継続運用には、プロジェクトをリポジトリ・サービス・チーム単位で分ける、定期スキャンを週次などの既存の会議に合わせる、プロジェクトごとのWebhookでスキャン完了と新規検出をSlackやJiraへ流す、という使い方が案内されています。監査用にはCSVの書き出しを保管しておくと、何をいつスキャンし、どう対応したかの記録になります。
Claude Securityの料金とスキャン費用の管理
ヘルプセンターの回答は「スキャンはトークンの直接コストのみで課金され、Claude Securityのプラットフォーム料金はかからない」です。スキャン1回あたりの料金表はありません。費用はスキャンで消費したトークン量に応じて発生し、対象範囲・回数・深さによって変わります。
費用を管理する手段は2つです。1つは組織のExtra usageの上限額、もう1つはClaude Securityを有効にした後に設定できる機能別の上限額です。クラスメソッドの検証記事（Opus 4.7時代の公開β）では、スキャン開始時に組織の残り予算が600ドル以上あることを求められたと報告されています。これは第三者の観察で、現在の閾値は公表されていませんが、上限額を低く設定しすぎるとスキャン自体が始まらない可能性があります。
参考として、API価格表ではMythos 5.1はFable 5.1と同じ入力100万トークンあたり10ドル、出力50ドルです。ただし、Claude Securityのスキャンにこの単価がそのまま適用されるとは公式に書かれていません。最初は対象をディレクトリに絞った小さなスキャンで実績額を確認し、そこから定期スキャンの範囲を決めるのが確実です。
Claude Codeプラグイン版の使い方
プラグイン版は、手元のClaude Codeセッションの中で複数のエージェントがアーキテクチャの把握、脅威モデルの作成、脆弱性の探索、検出の独立検証までを行い、レポートを書き出します。プラグイン自体はモデルを呼ばず、探索・検証・パッチ作成はセッションのモデルで、リポジトリの把握などの補助工程はsonnetエイリアスで動きます。スキャン1回ごとにプランの利用枠を消費します。
プラグイン版の動作要件とインストール手順
必要なのは、有料プラン・Anthropic APIの利用・Amazon BedrockなどのクラウドのいずれかとPython 3.9以上（python3としてPATHに通っていること）です。OSはLinux・macOS・Windowsに対応します。変更差分のスキャンとパッチ作成にはGitが必要ですが、全体スキャンはバージョン管理の外でも動きます。以下のスラッシュコマンドは、シェルではなく起動済みのClaude Codeの入力欄で1行ずつ実行します。Proプランでは、スキャンが使う動的ワークフローを/configの「Dynamic workflows」で先にオンにします。
/plugin install claude-security@claude-plugins-official
/reload-plugins
/claude-securityマーケットプレイスが見つからないと言われたら、/plugin marketplace add anthropics/claude-plugins-officialを実行してから入れ直します。/claude-securityのメニューには、リポジトリ全体または一部のスキャン、ブランチ・PR・1コミットの差分スキャン、パッチ提案の3つのジョブがあります。「scan commit abc1234」のように自然文で頼むこともできます。各工程で許可確認を挟まずに進められるauto modeが推奨されています。ただし、プラグイン独自の隔離機能はありません。信頼できないリポジトリを調べる場合、公式READMEはセッション全体をsandbox-runtime内で実行することを勧めています。
プラグイン版の出力ファイル4種と用途
スキャン結果はリポジトリ内のタイムスタンプ付きディレクトリCLAUDE-SECURITY-<timestamp>/に書き出されます。チェックアウトへの変更はこのディレクトリだけで、専用の.gitignoreが付くため、うっかりgit addしてもコミットに入りません。
| ファイル | 中身 |
|---|---|
| CLAUDE-SECURITY-RESULTS.md | 人が読むレポート（F1などのID付き） |
| CLAUDE-SECURITY-RESULTS.jsonl | 同じ検出を1行1件のJSONで |
| CLAUDE-SECURITY-RESULTS.sarif | SARIF 2.1.0（CWE分類付き） |
| CLAUDE-SECURITY-REVISION-<commit>.json | 対象コミット・深さ・検証の度合い |
SARIFはGitHubのコードスキャンにそのまま取り込めます。レポート内の認証情報は書き出し後に[REDACTED]へ置き換えられますが、READMEは「モデルのベストエフォートで保証ではない」としているので、共有前に目視で確認してください。コードベースのスキャンでは、node_modulesや仮想環境などのサードパーティコードは明示しない限り検出の対象外です。ただし、差分スキャンでは、それらのコードへの変更もレビュー対象になります。
プラグイン版のパッチ生成と手動適用
パッチは、コミット済みのコードを一時コピーした場所で作られ、作った側とは別のエージェントが確認します。確認役はテストがあれば実行し、差分そのものも読みます。パッチが書き出されるのは、その検出だけを直していること、新しい脆弱性を持ち込まないこと、それ以外の挙動を変えないこと、の3点を確認できたときだけです。確認できなければ、理由を書いたメモが代わりに残ります。
# <timestamp>を実際の出力ディレクトリの値に置き換えてから実行します。
git apply "CLAUDE-SECURITY-<timestamp>/patches/F1.patch"パッチは自動では適用されません。検出ごとに1つずつ別のプルリクエストにして、レビューとテストを個別に通すのが公式の推奨です。テストのないコードへのパッチは、メモにその旨が書かれます。
Fable系のモデルでスキャンすると「safeguards flagged this message」と表示されることがあります。Fableのサイバーセキュリティ用分類器が反応したもので、Claude Codeでは、対象リクエストをOpusへ切り替えて再実行する仕組みがあります。ただし、Amazon Bedrockなどの外部プロバイダーでは構成によって拒否で終了する場合があり、スキャン完了は保証されません。
Claude Code内のセキュリティ機能の使い分け
Anthropicのドキュメントは、Claude Securityを多層防御の1層として位置づけています。名前の似た機能が多いので、いつ何が動くかで整理します。
| タイミング | 機能 | 対象 |
|---|---|---|
| コードを書く最中 | security-guidanceプラグイン | Claudeが書いたコードの一般的な脆弱性 |
| 任意・1回 | /security-review | 現在のブランチとoriginの既定ブランチの差分 |
| 任意・深掘り | Claude Securityプラグイン | リポジトリ全体または差分 |
| PR作成時 | Code Review（Team・Enterprise） | PR（正しさとセキュリティ） |
| PR作成時（CI） | claude-code-security-review | PRの変更ファイル（コメント投稿） |
| 常時・管理型 | Claude Security（claude.ai版） | 接続したGitHubリポジトリ |
/security-reviewは差分を1回見るだけのコマンドで、originリモートが必要です。GitHub Actionのanthropics/claude-code-security-reviewは、PRの変更ファイルだけを解析して結果をコメントします。PRごとの自動レビューはCode Review、書いている最中の予防はsecurity-guidance、リリース前やマージ前の深いスキャンはプラグイン版、という分担が基本です。PR時のレビューの詳細はClaude CodeのCode Review解説、権限やサンドボックスの設定はClaude Codeのセキュリティ設定で扱っています。
OpenAIにも同種の製品があります。仕組みと料金の比較はCodex Securityの解説記事にまとめています。
採用前に確認すべき制約と向かない場面
claude.ai版は、次の条件に1つでも当てはまるなら主力にすべきではありません。
- コードがGitHub以外にある：対応はGitHub.comとGHESだけです。GitLabやBitbucketが主体ならプラグイン版を使います。
- ゼロデータ保持（ZDR）が契約条件：ヘルプセンターは「No ZDR」と明記し、法令上の必要や利用ポリシー違反への対応でデータを保持し得るとしています。ZDR前提で預かっている顧客のコードは対象にできません。
- 他社やOSSのコードを診断したい：利用範囲は「自社が所有し、スキャンする権利を持つコード」に限られ、オープンソースを含む第三者のコードは明示的に除外されています。受託開発で顧客のリポジトリを診断する場合も、権利関係を契約で確認してからにしてください。
- CIの合否判定に使いたい：スキャンは設計上確率的で、同じコードでも実行ごとに検出が変わります。マージを止める決定的なゲートには、ルールベースの静的解析や依存関係スキャンを残します。
結果が毎回変わる性質は欠点でもありますが、業務ロジックの欠陥のように規則で書けない問題を拾える理由でもあります。そのため、静的解析（SAST）の置き換えではなく上乗せとして使うのが前提です。プラグインのドキュメントも、既存のソースコード検査ツールを置き換えるものではないと書いています。定期的に回し、プラグイン版ならREVISIONファイルで、どのコミットをどの深さで調べた結果かを追えるようにしておくと、検出のばらつきを説明できます。
Mythos 5.1で動くことの意味も正しく理解しておく必要があります。claude.ai版の利用者はMythos 5.1の検出結果を受け取れますが、モデルに直接指示はできません。修正作業はClaude Code on the webで、組織が契約しているモデルを使って行います。8月21日の発表は、この「結果だけを渡す」設計を、攻撃への転用を防ぎながらMythos級の防御能力を広げる方法として説明しています。
Claude MythosとProject Glasswingとの関係
Mythosは、Anthropicが脆弱性の発見と悪用の能力が高いとして一般公開を制限しているモデルです。2026年4月に始まったProject Glasswingでは、Claude Mythos Previewと、その後2026年6月9日に公開された後継のMythos 5が重要ソフトウェアを守る少数の組織にだけ提供されました。Claude Securityはその能力をEnterprise顧客へ広げる経路の1つで、8月21日の発表では同時に、オープンソースのセキュリティ向けに3,500万ドル分のクレジットを出すDefender Advantage Fund（0xDAF）と、Cyber Verification Programの拡大も示されました。
Mythos Previewの性能と提供条件はClaude Mythos Previewの解説、Glasswingの参加企業と狙いはProject Glasswingの解説、Mythosによる大量の脆弱性発見と提供停止・再開の経緯はClaude Mythosの脆弱性1万件超の記事で扱っています。
よくある質問
Claude Securityの費用はいくらですか？
claude.ai版にプラットフォーム料金はなく、スキャンで使ったトークンの直接コストだけがExtra usageとして課金されます。スキャン1回の定額はなく、リポジトリの規模と深さ（Standard・Extended）で変わります。プラグイン版は追加料金なしで、各スキャンがClaude Codeのプランの利用枠またはAPI料金を消費します。
TeamプランやMaxプランでClaude Securityは使えますか？
claude.ai版は2026年10月8日時点でEnterpriseのみです。4月30日の発表で「Team・Max向けは近日提供」とされましたが、時期は示されていません。Team・Max・Proでも、Claude Codeのプラグイン版なら使えます（Proは動的ワークフローの有効化が必要）。
GitLabやBitbucketのリポジトリはスキャンできますか？
claude.ai版はGitHub.comとGitHub Enterprise Serverだけに対応し、他のホスティングは現時点で非対応です。GitLabやBitbucketのコードは、手元にクローンしてプラグイン版でスキャンします。
オープンソースのリポジトリをスキャンしてもよいですか？
claude.ai版の利用範囲は、自社が所有しスキャンする権利を持つコードに限られ、自社のコードベースに含まれないオープンソースのプロジェクトは対象外と明記されています。オープンソースの保守を支援する組織向けには、8月に3,500万ドル分のクレジットを提供するDefender Advantage Fundが立ち上がっています。
同じコードをスキャンすると毎回同じ結果になりますか？
なりません。claude.ai版もプラグイン版も、実行ごとに分析の進め方が変わる確率的な設計で、同じコードでも検出が変わることがあります。公式は定期的なスキャンを推奨しており、大きなリポジトリは対象を絞るほど結果が安定するとしています。
関連記事
- Codex Securityとは？仕組み・料金・Claude Code Securityとの違い【2026年7月版】
- Claude Code「Code Review」完全ガイド｜自動コードレビューの仕組み・料金・/code-reviewコマンドの使い方【2026年7月版】
- Claude Codeのセキュリティ設定｜権限ルール・サンドボックス・管理設定で守る実装手順【2026年10月】
- Claude Mythos Previewとは？SWE-bench Pro 77.8%の性能とBedrock提供条件・Mythos 5への移行【2026年9月】
- Project GlasswingとIBM参画で読み解くAI時代の防御的セキュリティ
