AIがコードを書く時代の「守り」：AnthropicがClaudeに実装した開発者向けセキュリティの全貌

Anthropicが、AIを活用した開発ワークフローにセキュリティのレイヤーを直接組み込もうとしている。同社はロンドンで開催された開発者会議「Code with Claude」において、AIが生成した脆弱性が本番環境のコードに紛れ込むのを防ぐための2つの新機能を発表した。「Claude Managed Agents」向けの自己ホスト型サンドボックスと、「Claude Code」向けのセキュリティガイダンスプラグインだ。 いずれも、AIコーディングツールを大規模に導入する開発チームにとって深刻化する課題――「誰が実行環境を管理し、AIが必然的に生み出すバグを誰が見つけるのか」という問題に正面から向き合うものだ。

自己ホスト型サンドボックス：自社のインフラ、自社のルール

パブリックベータ版として提供が開始された自己ホスト型サンドボックスは、AIツールの実行環境を、顧客が設定・管理する場所へと移行させる。 これにより、「Claude Managed Agents」は、Anthropicの管理するインフラではなく、チーム自身のコンテナ、ファイルシステム、ネットワーク出力ルールの中で動作可能になる。 エージェントの連携やコンテキスト管理といった「エージェントループ」部分は引き続きAnthropic側で実行されるが、ツールの実作業は顧客の防御境界内で行われるのがポイントだ。

これは、企業のセキュリティチームにとって大きな前進を意味する。既存のネットワークポリシーをAIエージェントにも適用し、AIがアクセスできる範囲を制限し、承認された範囲外にデータが流出するのを防ぐことができるからだ。

またAnthropicは、サンドボックスと並行して「MCPトンネル」というリサーチプレビュー機能も発表した。これは、企業ネットワーク内にある非公開の「Model Context Protocol（MCP）」サーバーに、Claude Managed Agentsがインターネット上に公開することなくアクセスできるようにするものだ。

リリース当初にサポートされるマネージドプロバイダは、Cloudflare、Daytona、Modal、Vercelなど。現在、この機能はAPI呼び出しに特定のベータヘッダー（

anthropic-beta: managed-agents-2026-04-01

セキュリティガイダンスプラグイン：ターミナルの中のセキュリティレビュアー

もう一つの発表は、Claude Code向けの無料のセキュリティガイダンスプラグインだ。これは、リアルタイムで動作する脆弱性スキャナーの役割を果たす。公式マーケットプレイスからインストールすると、Claudeのファイル書き込み、編集、複数編集といった操作にフックし、コードの変更が適用される前に危険なパターンをスキャンする。 もし問題を検出すれば、同じ開発セッション内でClaude自身が修正を支援できるため、別のセキュリティツールや追加のコマンド操作を一切必要としない。

リリースドキュメントによると、このプラグインは正規表現ベースのマッチングを用いて約25種類の危険なコードパターンを検出する。具体的な脆弱性のカテゴリとしては、GitHub Actionsのワークフローにおけるコマンドインジェクション、危険な child_process.exec() の呼び出し、eval() や

new Function()

このプラグインは、3つの深さでClaudeの作業をレビューする。各ファイル編集時、モデルの出力時、そしてコミット時だ。プルリクエストに近づくにつれて、段階的により深いチェックが行われる仕組みである。

Anthropicは、このプラグインを社内で使用した結果、プルリクエストにおけるセキュリティ関連のコメントが30～40％減少したと報告している。人間によるレビューの前段階として、効果的で軽量な「最初のふるい」として機能することが示された形だ。 注目すべきは、このプラグインが開発セッション中に自動的に実行される点で、開発者はスキャンの開始を意識したり、別のツールを起動したりする必要がない。

より大きな構図：Claudeを守る3つの防御線

今回の発表は、単発的な実験ではない。Anthropicが2026年初頭から集中展開しているセキュリティ強化策の最新章にあたる。

• 2026年2月: Anthropicは「Claude Code Security」を限定的なリサーチプレビューとして公開。 コードベース全体をスキャンして脆弱性を検出し、修正パッチを提案する機能を備えていた。
• 2026年4月30日: リサーチプレビュー版は「Claude Security」として正式にパブリックベータ版へと移行。Claude Opus 4.7を搭載し、人間のセキュリティ研究者のようにコードベース全体を解析する能力を獲得した。データフローを追跡し、コンポーネント間の相互作用を検証し、的確なパッチを生成する。 非公開プレビュー期間中に500以上の本番環境の脆弱性を発見したと報告されている。
• 2026年5月（Code with Claude）: 開発者向けのリアルタイム保護に焦点を当てた、自己ホスト型サンドボックス、MCPトンネル、セキュリティガイダンスプラグインを追加。

これらを総合すると、Anthropicの戦略は明確に3層のセキュリティを標的としている。

1. インフラの分離（Infrastructure Isolation）: 自己ホスト型サンドボックスにより、AIエージェントの実行をチームの管理境界内に閉じ込める。
2. コードレベルの予防（Code-Level Prevention）: セキュリティガイダンスプラグインにより、危険なパターンが書き込まれる瞬間にそれを阻止する。
3. コードベース全体の監査（Codebase-Wide Auditing）: 「Claude Security」により、単純なパターンマッチングでは見逃されるような、文脈に依存した深い脆弱性をリポジトリ全体から洗い出す。

すでにClaudeのコーディングツールで開発を進めている企業にとって、Anthropicのメッセージは明白だ。AIによる開発支援が普及するためには、AIによるセキュリティ対策がそれと一体でなければならない、と。