Claude Securityは、コードを一度調べるだけでなく、変更後の再検査と修正の追跡まで扱う仕組みへ更新されました。
AIで業務用アプリを作れても、機能を追加するたびに安全性を確かめる仕事は残ります。最初の点検で問題がなかったことと、今のコードが安全であることは同じではありません。
Anthropicは2026年10月21日、Claude Securityの継続スキャンと修正追跡を発表しました。Enterprise向けの公開ベータであり、個人向けClaudeに自動で付く機能ではありません。
この記事でわかること
- 更新点：変更されたコードの再検査と、指摘が直ったかの追跡を確認します。
- 導入の流れ：契約・権限を確認し、対象リポジトリと運用情報を渡します。
- 費用と判断：無料クレジットの期限、修正と却下の違いを押さえます。
変更のたびに、未解決の指摘を追いかける
公式発表の中心は、継続的な保守です。最初にコード全体を調べ、その後は変更に応じて再検査します。検出結果を並べるだけでなく、修正が入ったかを追跡し、外部ツールへ連携できます。
この違いが効くのは、公開後も更新する業務アプリです。担当者が毎回スキャンを思い出す運用から、変更と指摘を結び付けて確認する運用へ移せるためです。ただし、検出ゼロは安全性の保証ではありません。
実行頻度は「毎日何時」と決まっていない
公式ヘルプでは、変更のリスクや複雑さに応じて検査し、固定の実行間隔はないと説明されています。解析も毎回同じ結果を返す方式ではありません。定時監査の証跡が必要な会社は、実施時刻と対象コミットを別途記録する運用を考えます。
初回導入は、対象コードより先に権限と課金を確認
公式導入ガイドに沿った流れは次のとおりです。ここでは、管理者と現場の作業を分けて整理します。
- 契約・席・課金を確認する。Enterprise契約とClaude Codeを含む席が必要です。契約に応じた利用クレジットと支出上限を確認します。
- 管理者が接続と機能を有効にする。GitHub Appに必要なリポジトリへのアクセスを許可し、組織のコネクターとSecurity、利用者のロールを設定します。各利用者のGitHub連携も必要です。
- プロジェクトを作る。SecurityからNew projectを選び、リポジトリ、ブランチ、対象フォルダーや除外範囲を指定します。
- コードだけでは分からない前提を渡す。公開範囲や配置構成、受容済みのリスクを追加し、初回検査を開始します。
- 検出結果を人が確認する。根拠となるファイルや行、深刻度を確認し、修正案をレビューして適用します。
最大8リポジトリを1プロジェクトにまとめられます。たとえば画面側とAPI側が一体のサービスなら、関連するコードをまとめる考え方です。反対に、担当部署も予算も異なるシステムを一括で入れると、誰が判断するかが曖昧になります。
「社内だけで使う」などの前提が誤検出を減らす手掛かり
インターネットから誰でも触れる画面なのか、社内認証後だけの機能なのかで、同じ指摘でも実際の危険は変わります。構成図や利用範囲はKnowledgeで補足できます。AIの指摘を消すために前提を合わせるのではなく、実際の運用と一致する情報を渡すことが重要です。
修正済みと却下を同じ扱いにしない
| 判断 | 扱い方 | 担当者が残したい情報 |
|---|---|---|
| 修正済み | 変更後に再確認。同じ問題が再検出されると再開される | 修正箇所、レビュー、確認結果 |
| 誤検出として却下 | 以後の検査では再表示されない | なぜ成立しないか、その根拠 |
| リスクを受容して却下 | 問題が直ったこととは違う | 受容した責任者と前提条件 |
却下は一覧をきれいにするための操作ではありません。担当者が変わっても判断を追えるように、理由とメモを残します。通常のコードレビューを省くのではなく、見つかった問題を修正の仕事につなぐ道具として使います。
月2.5万ドルのクレジットは、ずっと無料という意味ではない
ヘルプのlaunch offer termsでは、対象Enterprise組織に月最大25,000米ドル相当を連続2か月付与するとしています。ただし2026年12月31日UTCで終了し、11月1日より後の契約では丸2か月を使えません。
既存Enterpriseは10月21日から起算し、実際に使い始めた日から2か月ではありません。未使用分の繰越はなく、旧版プロジェクトは移行まで対象外です。超過分や終了後はトークン利用に応じて課金されるため、先にSecurity専用の支出上限を決めましょう。
一般のプロモーションクレジット規約にも、利用先や失効条件があります。割引額だけで契約を決めず、通常時の保守費用を確認する必要があります。
実務上の注意
調べてよいのは、自社が必要な権利を持つコードです。また、ホスト型Claude SecurityはZero Data Retentionに対応していません。機密コードの取り扱い条件を先に確認してください。
Claude Code向けSecurityプラグインは別機能で、モデルや導入条件も同一ではありません。今回のスキャンにCVP参加は不要ですが、モデル自体を直接使える権利が付くわけではありません。専門業務のアクセス制度はClaude CVPの解説で整理しています。
まとめ
更新の価値は、検出数を増やすことだけでなく、変更から修正確認までをつなぐ点です。対象リポジトリ、レビュー担当、却下の基準、支出上限を決めてから導入すると、保守の仕事へ組み込みやすくなります。
よくある質問
ProやMaxでも使えますか？
今回のホスト型Claude SecurityはEnterprise向け公開ベータです。個人プランのコード相談や別のSecurityプラグインと区別してください。
AIが修正を提案したら、そのまま公開してよいですか？
人によるレビューと必要な動作確認を行ってください。脆弱性への修正が業務機能へ影響する可能性もあります。
検査対象を除外すると、そのコードは絶対に読まれませんか？
公式ガイドでは、対象範囲を狭めても文脈を理解するため周辺コードを参照することがあります。除外指定を情報隔離の保証と扱わないでください。
出典・参考情報
運営元について
AXメディアは、株式会社ジーズ AX事業部が運営しています。AX事業部では、AI研修・AIエージェント開発・ローカルLLM開発・補助金／助成金の活用支援を提供しています。
