security-guidance プラグイン
プラグイン Claude Code セキュリティ セキュリティ・認証・コンプライアンスClaude Code 拡張・ワークフローコード品質・レビュー・テスト以下の解説は生成 AI によるものです。出典と照らし合わせてご確認ください。
security-guidanceは、Claudeが生成したコードのセキュリティレビューを行うClaude Codeプラグインです。README によると、Edit/Write時の正規表現ベースの即時警告、Claudeがターンを終えた際のLLMによるdiffレビュー、git commit時にファイル間のデータフローを追跡するagenticなコミットレビューという3層構成になっています。インジェクション、XSS、SSRF、ハードコードされたシークレット、IDOR、認証バイパス、安全でないデシリアライズ、パストラバーサルなど、一般的な脆弱性クラスを検出対象としています。'/plugin install security-guidance@claude-plugins-official' でインストールでき、マーケットプレイスではデフォルトで有効になっており、必要なのはClaude Code CLI（v2.1.144以上）とPython 3.8+のみです。README は本ツールをベストエフォートの補助ツールであり、人によるコードレビューやSAST/DAST、依存関係スキャン、ペネトレーションテストの代替ではないと明記し、保証も提供されないとしています。
概要
README によると、security-guidanceは単独のSaaSではなくClaude Codeのプラグインで、パターンマッチング、LLMによるdiffレビュー呼び出し、SDK駆動のagenticなコミットレビューという仕組みを通じてコーディングワークフローに自動セキュリティレビューを追加するものです。
security-guidance でできること
- Edit/Write時に、yaml.load・torch.load(weights_only=False)・信頼できないデータへのpickle.load・生のinnerHTML・ハードコードされたシークレットなど約25種の既知の危険パターンについて、正規表現ベースの即時警告を受け取る
- Claudeがターンを終えた際に、デフォルトでOpus 4.7によるLLM diffレビューを実行し、高深刻度の指摘をレスポンス表示前にClaudeへフィードバックする
- git commit時にagenticなコミットレビュアーがRead/Grep/Globで関連ファイルを読み込み、IDORや認証バイパス、ファイルをまたぐSSRFなど複数ファイルにわたる問題を検出する
- 環境変数（SECURITY_REVIEW_MODEL、SG_AGENTIC_MODEL）でモデルを選択し、各レイヤーの有効/無効を個別に設定する
- SG_DUAL_ORによる高再現率モードを有効化する（APIコストはおよそ2倍）
- claude-security-guidance.mdファイル（ユーザー・プロジェクト・ローカルの各バリエーション）で組織やプロジェクト固有のルールを追加する
- プライバシー面の挙動を確認する。diffやファイル内容はデフォルトでapi.anthropic.comへ、または設定済みのゲートウェイ・サードパーティプロバイダーへ送信され、ローカルのデバッグログは~/.claude/security/log.txtに記録されるがファイル内容やプロンプトそのものは含まれない
- 安全と判断した行にインラインコメントを付けることで、特定の指摘を抑制する
出典
原文の説明（英語）
Security review for Claude-generated code. Pattern-based warnings on edits, LLM-powered diff review on Stop, and an agentic commit reviewer that catches injection, XSS, SSRF, hardcoded secrets, and 25+ other vulnerability classes.
security-guidance の変更履歴
- プラグイン security-guidance を追加