［ニュース解説］Claude Securityが継続スキャンに対応、修正の追跡やAPI・MCP連携も

2026-10-242026-10-27

はじめに

　Anthropicは2026年10月21日、コードの脆弱性を見つける「Claude Security」の新版を公開ベータとして発表しました。コード変更に合わせた継続スキャンや、修正状況の追跡が加わっています。本稿では、何が変わったのか、誰が使えるのか、導入前に確認したい点を整理します。

参考記事

タイトル: Claude Security now scans continuously and tracks fixes
著者: 記載なし
発行元: Anthropic（claude.com）
発行日: 2026年10月21日
URL: https://claude.com/ja/resources/articles/claude-security-now-scans-continuously-and-tracks-fixes

要点

Claude Securityは、人がスキャンを始めるのを待たず、コード変更に合わせてリポジトリを継続的にスキャンする。
修正がコードに反映されると指摘は自動で「修正済み」になり、同じ問題が再び見つかれば自動で再オープンされる。
プロジェクトごとのナレッジベースと、コードから生成される脅威モデルをもとに、指摘すべきリスクを判断する。各指摘には深刻度と攻撃経路の説明が付く。
API、Webhook、Claude.aiとClaude Code向けのMCPコネクタ、役割ベースのアクセス制御が追加された。
新版はClaude Enterprise顧客向けの公開ベータである。2か月間、毎月25,000ドル分の無料利用クレジットが付与される（2026年12月31日までの利用が対象）。

詳細解説

Claude Securityの概要と今回の発表

　Anthropicによると、Claude Securityは4月に公開ベータとして提供が始まりました。以来、数千の組織が利用し、見つかった脆弱性は100万件を超えています。

　今回の新版の要点は、スキャンを人が始めるのを待たなくなったことです。コードの変更に合わせてリポジトリを追い続け、どの指摘が修正されたかも記録します。さらに、チームが伝えた環境の情報をもとに、何が重要かを判断します。

　基盤には、Claude Mythosを含むClaudeのモデルファミリー全体が使われています。利用にあたって、Cyber Verification Programへの参加は不要です。

変更点1：単発のスキャンから継続的な監視へ

　Anthropicは、スキャンはある時点の状態を切り取るだけで、コードは毎日変わると指摘しています。利用チームからも、予定を組まずに最新の状態を保てる仕組みを求める声があったとしています。

　新版での設定と動作の流れは次のとおりです。

プロジェクトを作成する
リポジトリを接続する。Claude GitHubアプリ（GitHub Enterprise Serverを含む）か、GitLabなど他のGitサービスのアクセストークンを使う
リポジトリごとに、対象とするブランチとスキャン範囲を選ぶ
Claudeが詳細なベースラインスキャンを実行する
以降は、変更のリスクと複雑さに応じて定期的にスキャンする

　これにより、指摘の一覧がコードの現状に近い状態に保たれます。ベースラインスキャンとは、基準となる最初の全体スキャンのことです。変更をどの間隔でスキャンするかの具体的な数値は示されていません。

　1つのプロジェクトには、複数のリポジトリを入れられます。そのため、サービスをまたぐ問題も検出できます。例として挙げられているのは、クライアント側で検証するはずの入力を、バックエンドがそのまま信頼してしまうケースです。

　フロントエンドとバックエンドを別のリポジトリで管理する構成は珍しくありません。単独では問題に見えない箇所が、組み合わせると弱点になる場合もあります。本稿としては、小規模なチームでも複数リポジトリ対応の恩恵はあると考えています。

変更点2：修正が反映されると自動で「修正済み」に

　多くの修正は、問題を見つけたツールの外で行われます。Claude Securityは、未解決の指摘を変更されたコードと照らし合わせます。そして、修正が反映された時点で「修正済み」にします。

　修正した場所がClaude Codeでも、別の手順でも扱いは同じです。後で同じ問題が再び見つかった場合は、指摘が自動で再オープンされます。

　脆弱性の管理では、修正後のステータス更新を人が行う運用も多いと考えられます。更新漏れがあると、一覧が実態とずれていきます。修正と再発を自動で追える点は、一覧の信頼性を保つうえで実務上の意味が大きいと思います。

変更点3：チームの知識と脅威モデルで判断を調整

　Anthropicによると、どの環境にも、コードだけでは見えない防御策があります。利用チームは、それをClaude Securityに伝える手段を求めていました。そこで、各プロジェクトにナレッジベースが用意されました。記述する内容として、次の3つが挙げられています。

コードがどのようにデプロイされているか
どのセキュリティポリシーが適用されるか
新しく加わったセキュリティエンジニアが知っておく必要があること

　Claude Securityは、コードから脅威モデルも生成します。脅威モデルとは、誰がどこからどう攻撃しうるかを整理したものです。生成された脅威モデルは、チームで確認・編集できます。以降のスキャンは、指摘する価値があるかの判断にこれを使います。

　追加した情報は、環境側ですでに対処済みのリスクを除外するのにも役立ちます。また、サービス同士の依存関係をまたいで見るためにも使われます。

　本稿としては、ここが使い方の要になる部分だと考えています。例えば「この管理画面は社内ネットワークからしか届かない」と書けば、優先度の付け方が変わる可能性があります。一方、書いた前提が実態と違うと、本来注意が必要なリスクまで除外される恐れもあります。ナレッジベースや脅威モデルも、定期的に見直す前提で運用するのが安全だと思います。

変更点4：すべての指摘に深刻度と攻撃経路

　各指摘には深刻度が付きます。深刻度は、そのプロジェクトの脅威モデルに照らして判定されます。あわせて、攻撃者が脆弱なコードにどう到達しうるかの説明も付きます。指摘によっては、攻撃経路の図が含まれることもあります。

　狙いは、実際に到達できる問題から先に直せるようにすることです。一般的な深刻度スコアは、個々の環境の事情までは反映しないことが多いと考えられます。到達可能性（外部から実際にたどり着けるか）を軸にすると、限られた人手でも着手順を決めやすくなると思います。

変更点5：API・Webhook・MCPで既存ツールとつながる

　新しいAPIを使うと、Claude Securityを既存のワークフローに組み込めます。可能な操作は次のとおりです。

プロジェクトと指摘の一覧取得・閲覧
指摘の解決、または再オープン
プロジェクトと、その中のリポジトリの作成・管理

　APIの利用には、Claude Securityの設定画面で作成する個人用アクセストークンを使います。このトークンで見たり変更したりできるのは、作成したユーザー本人が扱える範囲に限られます。

　Webhookを設定すると、新しい指摘が出たときに自社のシステムへ通知できます。通知先をチャットや課題管理ツールにつなげば、新しい指摘を見落としにくくなると考えられます。

　Claude Securityは、Claude.aiとClaude CodeでMCPコネクタとしても使えます。MCP（Model Context Protocol）は、AIアプリと外部のツールやデータをつなぐための仕組みです。エンジニアは同じセッションの中で、指摘を呼び出し、Claudeに質問し、修正を始め、解決済みにできます。

　さらに、役割ベースのアクセス制御（RBAC）が加わりました。管理者は、次の権限を誰に与えるかを決められます。

プロジェクトの閲覧
指摘のトリアージ（内容の確認と優先度付け）
プロジェクトの作成

　これにより、コードを担当するより多くのチームに利用を広げつつ、プロジェクト作成の権限は絞れます。なお、APIの具体的な仕様やWebhookの設定方法は元記事に書かれていません。実装を検討する場合は、後述のHelp Centerなどで確認する必要があります。

提供条件と始め方

　Claude Securityの新版は、2026年10月21日からClaude Enterpriseの顧客向けに公開ベータとして提供されています。始めるまでの流れは次のとおりです。

管理者が管理コンソールでClaude Securityを有効にする
管理者が、チーム内で誰が利用できるかを設定する
Getting Started Guideに沿って最初のプロジェクトを作る
詳しい情報はHelp Centerで確認する

　料金面では、組織ごとに2か月間、毎月25,000ドル分の無料利用クレジットが付与されます。対象は2026年12月31日までの利用です。条件の全文はHelp Centerに掲載されています。

　クレジット終了後の通常料金は、元記事には記載がありません。また、利用期限が年末に設定されているため、開始時期によっては2か月を待たずに期限を迎える可能性があります。導入を検討する場合は、Help Centerの条件を先に確認しておくと安心だと思います。

　提供対象はClaude Enterpriseの顧客とされています。個人向けや小規模チーム向けのプランでの提供については、元記事に記載がありません。

導入前に確認しておきたい点

　ここからは本稿の見方として、導入前に確認しておきたい点を挙げます。

公開ベータであること: 機能や条件が今後変わる可能性があります。
対象プラン: 現時点の提供対象はClaude Enterpriseの顧客です。
アクセストークンの扱い: 個人用トークンは発行者と同じ範囲を扱えます。権限の広いアカウントで発行する場合は、保管方法に注意が必要だと思います。
ナレッジベースと脅威モデルの正確さ: 書いた前提がスキャン結果に影響します。内容の定期的な見直しが重要だと考えています。
既存の検査との関係: 利用企業の評価は個別の事例です。ペネトレーションテストなど既存の検査をすぐに置き換えられるとは限らず、組み合わせて使う前提が無難だと思います。

利用企業の声と本稿の見方

　発表には、先行して利用した企業のコメントも掲載されています。主な内容は次のとおりです。

IonQのJon Donovan氏（ソフトウェアエンジニア）: 同時期に実施した従来型のペネトレーションテストが見逃した重要な問題を多数発見した。その中のいくつかは、もし実環境で悪用されていれば大きな影響があり得た
GustoのJake Meredith氏（プロダクトセキュリティ）: 一度スキャンしてベースラインを作り、その後はコード変更に追従している。別のツールに切り替えず、Claude上で修正している
IonQのJoe Coniglio氏（セキュリティエンジニア）: APIとMCPの追加は大きな転換点であり、Claude Securityを業務にさらに組み込んでいく道筋になる
VantaのNathan Hunstad氏（セキュリティ担当ディレクター）: 他のツールが見つけなかった論理的な欠陥をいくつも発見した。外部ユーザーが実際に到達できる範囲を重視した自社のリスクポリシーを脅威モデルに書き込むと、指摘が深刻度スコアだけでなく自社の優先順位に沿うようになった

　これらは各社の環境での評価です。同じ結果がどの組織でも得られることを示すものではありません。

　本稿としては、今回の更新でClaude Securityが「見つけるツール」から、修正の完了まで追う「管理の仕組み」に広がったと受け止めています。とくに、修正の自動判定と脅威モデルの編集は、指摘の量よりも運用の続けやすさに効く変更だと考えています。ただし公開ベータであり、実際の精度や運用負荷は各組織の環境で確かめる必要があると思います。

まとめ

　Claude Securityの新版は、継続スキャン、修正と再発の自動追跡、脅威モデルによる判断の調整を備えました。API・Webhook・MCPで既存の作業にも組み込めます。現在はClaude Enterprise顧客向けの公開ベータです。今後、提供範囲や正式版の条件がどう示されるかに注目しています。