今週のClaude Codeのchangelogを、CVEフィードを読むつもりで開いてみてほしい。v2.1.212では、プランモードがrmなどファイルを変更するBashコマンドを許可プロンプトなしで自動実行してしまう問題が修正された。リポジトリにコミットされたsymlinkをworktree作成時に辿ってしまい、リポジトリ外にファイルを作れてしまう問題も修正された。ひとつ前のv2.1.211では、チャットチャンネルに中継される許可プレビューについて、ツール入力に含まれる双方向オーバーライド文字やゼロ幅文字、紛らわしい引用符が承認メッセージの表示を偽装できてしまう問題が修正されている。
最後の一件は二度読みしてほしい。この修正が入るまで、悪意あるツール入力は、チャット側に表示される承認メッセージを「安全そう」に自分で演出できたということだ。
これはAnthropic批判ではない。これだけ具体的な修正を毎週公開で出し続けるのは、まともなベンダーの仕事だ。重要なのはそこから読み取れる事実のほう。AI支援開発の攻撃対象領域は、書くコードからコードを書くエージェントに移った。プロンプトインジェクション、承認プレビューの偽装、サンドボックス回避、悪意あるスキル。インシデントはいまこの層で起きている。
ここからが不都合な話になる。私たちはSkillselionという、Claude Code / Codex / Cursor拡張を実インストール数でランキングするディレクトリを運営している(カタログはskills.sh、GitHub、MCPレジストリから毎日更新)。「セキュリティ」で開発者が実際にインストールしているものを見ると、その光景は10年前のままだ。
インストール数が語ること
上位はすべて「出荷するコード」を監査するスキルだ。
- firebase-security-rules-auditor(Firebase製、GitHub): 71,873インストール
- golang-security(GitHub): 34,000インストール
- better-auth-security-best-practices(GitHub): 20,323インストール
- security-review(Sentry製、GitHub): 10,629インストール
一方、changelogが修正し続けている層、つまり「エージェント自体」を守るスキルはこうだ。
- skill-vetter(GitHub)。インストール前にスキルを監査する: 20,395インストール
- claude-settings-audit(Sentry製、GitHub)。Claude Codeの設定を監査する: 3,138インストール
- seatbelt-sandboxer(Trail of Bits製、GitHub)。macOSでエージェントのプロセスを隔離する: 3,085インストール
- prompt-injection-scanner(GitHub): 222インストール
Firebaseルール監査はプロンプトインジェクションスキャナの323倍インストールされている。業界で最も信頼されるセキュリティ企業のひとつであるTrail of Bitsが、changelogが直し続けている問題そのもののためのサンドボックスキルを公開しているのに、3,085インストール。Go向けのコードセキュリティスキルは34,000だ。
ポイント1: 攻撃対象領域はエージェントに移ったのに、インストール行動は追いついていない。 シェル、ファイルシステム、認証情報、CIまで握るエージェントが新しい入口になったのに、私たちはまだ玄関の鍵を買い足している。
スキルは依存パッケージだ。なのにほぼ誰も監査していない
カタログには現在61,000件以上のスキルがある。スキルの実体は、Bashアクセスを持つエージェントに渡すMarkdown+同梱スクリプトだ。機能的には「ガードレールの少ないnpmパッケージ」であり、デフォルトのlockfileも署名もなく、実行コンテキストには開発環境のすべてが含まれる。
この状況には既視感がある。npmは10年ほど前に同じ局面を迎え、エコシステムはnpm audit、lockfile、provenance、サプライチェーンスキャナで応えた。エージェントスキルのエコシステムはその曲線の「audit以前」の段階にいる。しかも今回のパッケージは、シェルも認証情報もリポジトリも最初から射程に入っている。
データの中で面白いシグナルはskill-vetterの20,395インストールだ。エージェントセキュリティ系で唯一まともな数字を持つスキルで、やっていることは依存監査の反射神経をスキルに移植したものにほかならない。実行前に、そのスキルが実際に何をするのかを検査する。この反射神経が広がることが、エコシステムの成熟だと思う。
ポイント2: インストール前のスキル検査は、新しい依存パッケージ監査だ。 2年後、Bashアクセス付きの未検査スキルをそのまま入れる行為は、いまのcurl | sudo bashと同じ目で見られているはずだ。
実際にやること
大げさなフレームワークは要らない。反射神経を3つだけ。
- エージェントのchangelogを、ランタイムのセキュリティアドバイザリと同じ姿勢で読む。いまのAI支援開発で最もシグナルの濃いセキュリティフィードのひとつで、しかも無料だ。
- コード層だけでなくエージェント層を監査する。許可リスト、インストール済みスキルとMCPサーバー、サンドボックス設定は、もう本番設定の一部だ。
- スキルを入れる前に、何が同梱され、何に触れるのかを見る。インストール数とファイルツリーはSkillselionの各リスティングで公開されているし、skillselion-mcpサーバーを使えば、エージェント自身がインストール前にスキルのフットプリントを確認できる。
ベンダーは自分の仕事をしている。インストールデータが示すのは、私たちの多くがまだ自分の仕事を始めてもいないという事実だ。
筆者はSkillselionの運営者です。上記のインストール数はすべて2026年7月17日にライブカタログから取得しました。