Claude Code でセキュリティレビュー：1 つの差分からリポジトリ全体まで

セキュリティレビューで Claude Code ができること

• マージの前に、各変更にインジェクション、認可の欠落、データの露出、コード内のシークレットがないかを確認します。
• スケジュールに沿ってリポジトリ全体をスキャンし、警告を並べるだけでなく、根拠付きで指摘を報告します。
• 確認された指摘を、深刻なものから順にパッチか issue にします。
• 修正をもう一度確認し、穴がふさがったことを確かめます。

セキュリティレビューに使える Claude Code の機能

セキュリティレビュー向けに Claude Code を設定する方法

1. ツールをつなぐ

   /security-review は、origin リモートのあるどのセッションでも使えます。フルスキャンには、公式マーケットプレイスから Claude Security プラグインをインストールします。Python 3.9 以降と、有料プランか API アクセスが必要です。

   # Claude Code のセッションで：スキャナーをインストールする
   /plugin install claude-security@claude-plugins-official
   
   # マージの前に、high の深さでブランチをスキャンする
   /claude-security scan my branch at high

2. CLAUDE.md にルールを書く

   Claude Code は、claude -p での実行も含め、すべてのセッションの開始時に CLAUDE.md を読みます。仕事のルールはそこに書くか、長くなるなら .claude/skills/ 以下のスキルにします。CLAUDE.md ガイドをご覧ください。

   ## セキュリティレビューのルール
   - auth/、billing/、SQL に触れるプルリクエストはすべてレビューする。
     インジェクション、認可チェックの欠落、コード内のシークレット、
     別のユーザーに返されるデータを探す。
   - 各指摘に Critical、High、Medium、Low の評価を付け、ファイル、
     行、悪用の方法を書く。
   - 本番環境や自分たちのものではない対象に、エクスプロイトを決して
     実行しない。コードを読み、ローカルでテストする。
   - 修正はプルリクエストにする。main には決してプッシュしない。

3. 対話型の画面なしで実行する

   claude -p は 1 つのタスクを実行して終了するので、cron や CI、ほかのツールから起動できます。確認なしで何をしてよいかは --allowedTools か --permission-mode で決めます。--output-format json を付けると、結果がコストと一緒に返ります。

   # CI や cron から、ブランチのセキュリティチェック
   claude -p "このブランチで /security-review を実行し、指摘を重大度順に一覧にして" \
     --output-format json > security-review.json

4. スケジュールに載せる

   /schedule でクラウドのスケジュールタスクにするか（Pro、Max、Ultra、Team、Enterprise）、デスクトップのスケジュールタスクを使うか、セッションを開いている間は /loop を使います。Claude Code を自律的に動かす方法をご覧ください。

出典：Claude Code のドキュメント

限界と安全性

• 読むのはチェックアウトしたコードで、稼働中のサイトではありません。サーバーの設定ミスは見つけられません。
• スキャンは非決定的で、実行するたびに違う指摘が出ることがあります。1 回きりではなく、定期的に実行しましょう。
• 既存のスキャナーや依存関係のアラートを補うものです。それらやペネトレーションテストの代わりにはなりません。
• Claude Code v2.1.302 以降、claude -p は Manual モードで始まります。承認が必要な操作は、ルールで許可されていない限り拒否されます。許可するツールは、その仕事に必要なものだけにしましょう。

セキュリティレビューに使うなら Claude Code と Codex のどちら？

ルールはそのまま使い回せます。AGENTS.md に一度書き、CLAUDE.md に @AGENTS.md と書いておけば、両方のエージェントが同じファイルを読みます。

もう一方のエージェントでの手順：セキュリティレビューを Codex で行う方法。

セキュリティレビューを誰かの仕事にする

コマンドは、誰かが実行を思い出したときにしか動きません。Crewmark は、あなたの Claude Code を、職種、数字の目標、勤務時間、ハートビートを持つ AI 社員に変えます。仕事はスケジュールどおりに進み、ボードに表示されます。

1. 職種から始める

   AI ソフトウェアエンジニアを選び、ブリーフにこのページのルールを加えます。

2. 仕事をボードに載せる

   この仕事を定期 issue として追加します。社員はハートビートで起きて仕事をこなし、結果をコメントで報告します。

3. 関連ページ

   セキュリティ以外のバグについてはコードレビューをご覧ください。

よくある質問