Claude Code Security Review は、Anthropic による Claude Code 向けの自動セキュリティレビューであり、2025 年 8 月に Claude Code でセキュリティレビューを自動化する で発表された。この名前は、発表記事がこれらの機能のドキュメントへのリンクに用いているものである。記事自体は自動セキュリティレビューを 2 つの形態で説明している。開発者がターミナルから Claude Code で実行する /security-review コマンドと、プルリクエストに対して実行される GitHub Action である。どちらの形態でも、Claude にコード内のセキュリティ上の懸念を特定させ、その後それらを修正するよう依頼することができる。
これは、開発者が AI に頼ってより速くリリースし、より複雑なシステムを構築するようになるにつれて、コードのセキュリティがより重要になるという懸念に応えるものである。Anthropic はこれを、セキュリティコードレビュー を既存のワークフローに組み込み、脆弱性が本番環境に到達する前に検出されるようにする手段として位置づけている。
機能
/security-review コマンドは、コードがコミットされる前にその場で分析を実行する。Claude はコードベースから潜在的な脆弱性を探し、見つけたものについて詳細な説明を与える。このコマンドは、一般的な脆弱性パターンをチェックするセキュリティに特化したプロンプトを使用し、その対象には SQL インジェクションのリスク、クロスサイトスクリプティング、認証と認可の欠陥、安全でないデータ処理、依存関係の脆弱性が含まれる。その後、Claude Code に各問題の修正を実装するよう依頼できる。このコマンドは Claude Code を最新バージョンに更新することで利用可能になり、カスタマイズすることもできる。
GitHub Action は、プルリクエストが作成されると自動的にトリガーされ、変更内容をセキュリティ上の脆弱性についてレビューし、カスタマイズ可能なルールを適用して誤検知や既知の問題を除外し、推奨される修正とともに各懸念を説明するインラインコメントをプルリクエストに投稿する。
採用とエコシステム
Anthropic は両方の機能をすべての Claude Code ユーザーが利用できるものとして発表しており、このアクションは既存の CI/CD パイプラインと統合でき、チームのセキュリティポリシーに合わせてカスタマイズできると説明している。Anthropic は Claude Code 自体を含む自社のコードにこのアクションを使用していると報告しており、プルリクエストがマージされる前、あるいはコードがリリースされる前にそれが脆弱性を検出した 2 つの例を挙げている。ローカルの HTTP サーバーを起動する社内ツールにおける DNS リバインディングを通じて悪用可能なリモートコード実行の脆弱性と、社内の認証情報を管理するために構築されたプロキシにおける SSRF の脆弱性である。