この記事は、Claude Code における自動セキュリティレビューを発表するものである。自動セキュリティレビューは、新しい /security-review コマンドと、プルリクエスト向けの GitHub Action という 2 つの機能として提供され、記事はそのドキュメントを claude-code-security-review という名前でリンクしている（Claude Code Security Review を参照）。記事の主張は、開発者が AI に頼ってより速く出荷し、より複雑なシステムを構築するようになるにつれてコードのセキュリティはより重要になり、既存のワークフローにセキュリティレビューを組み込めば、脆弱性が本番環境に到達する前に捕捉できるというものである。
記事は 2 つの機能を開発の異なる地点に位置づけている。コマンドは、コミット前にターミナルから実行することで セキュリティコードレビュー を「インナー開発ループの中に」保つ。アクションは、チーム全体のすべてのプルリクエストに一貫したレビューを適用する。どちらもすべての Claude Code ユーザーが利用できるものとして発表された。
要点
/security-reviewは、ターミナルからその場でセキュリティ分析を実行する。Claude がコードベースから潜在的な脆弱性を探し、見つかった問題を説明する。- このコマンドは、セキュリティに特化した専用のプロンプトを使い、SQL インジェクションのリスク、クロスサイトスクリプティング、認証と認可の欠陥、安全でないデータ処理、依存関係の脆弱性など、一般的な脆弱性のパターンをチェックする。
- 問題が特定された後は、それぞれについて修正を実装するよう Claude Code に依頼できる。
- GitHub Action は、新しいプルリクエストで自動的にトリガーされ、コードの変更をセキュリティ上の脆弱性についてレビューし、カスタマイズ可能なルールを適用して誤検知や既知の問題を除外したうえで、懸念点と推奨される修正をプルリクエストにインラインコメントとして投稿する。
- このアクションは、既存の CI/CD パイプラインと統合でき、チームのセキュリティポリシーに合わせてカスタマイズできるものとして説明されており、ベースラインのセキュリティレビューを経ずに本番環境に到達するコードがないようにする。
- Anthropic は、Claude Code 自体を含む自社のコードにこのアクションを使っていると報告している。挙げられている 2 つの例は、ローカル HTTP サーバーを起動する社内ツールにおいて、DNS リバインディングを通じて悪用可能なリモートコード実行の脆弱性をアクションが特定したこと、そして社内の認証情報を管理するために作られたプロキシが SSRF 攻撃に対して脆弱であると指摘したことである。いずれも出荷前に修正された。
- コマンドは、Claude Code を更新してプロジェクトのディレクトリで
/security-reviewを実行することで使え、カスタマイズもできる。アクションには独自のインストールと設定のドキュメントがある。
背景
これはベンダーによる自社機能の発表であり、その有効性について示されている証拠は、計測ではなく Anthropic の社内利用からの 2 つの例である。記事は、これらのレビューが他のセキュリティ実践に取って代わるとは主張しておらず、ワークフローの 2 つの地点におけるベースラインのチェックとして位置づけている。