AIエージェントの「スキル」は、いまや持ち運べるソフトウェア部品になった。SKILL.md と付随スクリプトをまとめて配れば、Claude でも他のクライアントでも同じ手順が再現される。便利さの裏返しとして、スキルは新しいソフトウェア供給網になり、そこに悪意あるコードが混じるようになった。2026年8月、Anthropic はこの問題に製品で答えた——Claude Enterprise 向けに「スキル/プラグインのセキュリティスキャン」をベータ提供開始したのだ。
homula はエンタープライズ向けの AIエージェント・インテグレーターとして、この「入口の検査」を歓迎しつつ、同じ月に公表されたスキャン回避の実証を見て、企業に一つ念を押したい。スキャンは供給網防御の出発点であって終点ではない。本稿では、投入されたスキャンの中身と限界を一次情報ベースで読み解き、企業が実際に置くべき制御点を整理する。
スキルが「攻撃面」になった、という前提
なぜ入口検査が必要になったのか。数字が語っている。
セキュリティ企業 Koi Security は2026年2月、OpenClaw のスキル配布所 ClawHub にある全 2,857 スキルを監査し、341 件（登録全体の約11.9%）を悪意あるものと特定した。うち 335 件は「ClawHavoc」と名付けた単一の協調キャンペーンに紐づき、人気スキルに似せたタイポスクワッティングと外部 Webhook 経由の認証情報窃取、macOS 向けの情報窃取マルウェア（Atomic Stealer）配布を組み合わせていた（Koi Security／The Hacker News）。しかもこれは止まっていない。同じマーケットはその後 10,700 件超まで拡大し、確認された悪意あるスキルも 341 件から 824 件へと倍増したと報告されている。
範囲を Anthropic の Skills に絞った研究も同じ方向を指す。報道によれば、1月に公表された学術調査 SkillScan は 31,132 の固有スキルを解析し、26.1% が少なくとも一つの脆弱性を含むと結論づけた（VentureBeat）。
つまり「マーケットから便利そうなスキルを入れる」という行為は、素性のわからない実行コードを社内のエージェント権限で走らせることに等しくなった。ClawHavoc の詳細は過去記事で扱ったが、事態は当時より確実に悪化している。
Anthropicの回答——「アップロード時に1回スキャン」の中身
こうした背景を受け、Anthropic は Claude Enterprise 向けにスキャン機能を追加した。誰かがサードパーティのスキルやプラグインをアップロードまたは編集した瞬間に、Claude がその中身を確認して悪意ある挙動の兆候を探し、結果を3段階で返す（Anthropic ヘルプセンター）。
| 結果 | 意味 | 挙動 |
|---|---|---|
| pass | その種の脅威は見つからなかった | そのまま利用可能 |
| warn | 完全には検証できず、出所次第でリスクを含みうる | 注意バナーの下で利用可能（承諾が必要） |
| fail | 悪意あるコンテンツを検出 | ブロックされ、利用不可 |
プライバシー面も設計されている。スキャン時、スキル/プラグインの中身は通常の Claude セッションから隔離された安全な環境で処理され、スキャン済みコピーは検査後に削除、残るのは結果と基本的なメタデータだけだという。
方向性は正しい。だが導入設計には、企業が見落としてはならない前提が二つある。
第一に、スキャンは既定でオフであり、Enterprise 管理者が明示的に有効化する必要がある。第二に、検査対象は新規のアップロードと編集のみ。すでに組織内にあるスキルやプラグインは（再スキャンされず）そのまま動き続ける。つまり「有効化する前から入っていたもの」と「一度 pass した後に外部で書き換えられうる依存」は、この関所を通らない。
供給網攻撃が狙うのは、まさにこの「一度通った後」の窓だ。入口で一回検査する方式は、公開時に安全で、人気が出てから中身を差し替える——という時間差の手口に構造的に弱い。
テストファイルに乗ってきた——スキャンを通り抜けた実証
さらに重要なのは、入口のスキャンそのものが回避されうると同月に示されたことだ。VentureBeat が報じた Gecko Security の検証によれば、Anthropic のスキルスキャナは同梱された「テストファイル」を見逃す。悪意あるコードを SKILL.md や「エージェントに実行させる」スクリプトではなく、TypeScript のテストファイルに仕込むと、それは正規のテストランナー経由で開発者自身のツールチェーンから、フルのローカル権限で実行されてしまう（VentureBeat）。
なぜ通ってしまうのか。報道の指摘が本質を突いている。公開されているスキャナは基本的に「脅威は SKILL.md と、エージェントが実行を指示されるスクリプトの中にある」という前提で、そのスキルがエージェントに何をさせるか（意図）を分析する。ところがテストファイルの実行はエージェントを一切介さず、CI やローカルの開発工程で勝手に走る「動力側（kinetic）」の経路にある。意図を読むスキャナの視野の外だ。
教訓は「Anthropic のスキャンが弱い」ではなく、単一のスキャンで供給網は守れない、という設計原則である。検査は脅威モデルの範囲内でしか働かない。範囲外の実行経路——テストランナー、ビルドフック、ポストインストールスクリプト、後から差し替わる依存——は、別のレイヤーで塞ぐしかない。
企業が置くべき制御点——スキャンは「入口の1ゲート」
では、日本企業が社内でスキルやプラグインを扱うなら、入口スキャンの前後に何を足すべきか。焼き直しの一般論ではなく、上記の穴を具体的に塞ぐ順で挙げる。
- 既定はブロック、許可は明示（allowlist）。マーケットから自由に入れられる状態をやめ、社内で審査・登録したスキルだけを稼働させる。「有効化前から入っていたもの」を洗い出し、既存分もいったん棚卸しの対象にする。
- 誰が追加・編集できるかを権限で縛る（RBAC）。スキル/プラグインの登録・更新は、一般利用者ではなく指定ロールに限定する。ClawHavoc の教訓は「便利さの入口を誰にでも開けない」ことだ。
- 有効化の前に人手の承認ゲートを挟む。pass/warn/fail のうち warn は特に、出所と用途を人が判断してから通す。取り返しのつかない操作を伴うスキルは、実行時にも承認を必須にする。
- 実行時の到達範囲を最小化する。スキルが触れられる認証情報・データ・ネットワークを最小権限で制限し、テストランナーやビルド工程を含めて隔離する。意図の外で走るコードがあっても、被害範囲（blast radius）を絞る。
- 全操作を監査ログに残す。どのスキルが、いつ、誰の承認で、何に触れたか。差し替えや逸脱を後から追える状態を保つ。
これは「導入する/しない」の二択ではなく、スキルのライフサイクル全体に制御点を置くという発想だ。入口スキャンは1番目のゲートに過ぎない。
homulaの観点——「便利さの入口」を統制でつなぐ
homula がエンタープライズ支援で繰り返し見てきたのは、AI 活用のボトルネックがモデルの賢さではなく**「安全に配れる仕組み」**にある、という現実だ。スキルやプラグインは業務ナレッジをそのまま実行力に変えるからこそ、供給網としての統制が要る。
homula の統合プラットフォーム Agens は MCP を活用し、200 以上のツールと構築ゼロで接続する。そのうえで Agens Control が、上に挙げた制御点——承認フロー・DLP・RBAC・5年分の監査ログ——を一枚のガバナンス層として提供する。入口のスキャンを「エージェントが何を読み込み、何に到達し、誰が承認したか」を追える運用に接続する、という考え方だ。どこから安全に始めるかが定まらない場合は、AIエージェント・ブートキャンプで対象業務を棚卸しし、許可リストと承認フローの初期設計まで数日で形にできる。
関連する論点は既存記事にもある。素性のわからないエージェント接続を「発見」から統制に変える話はシャドーMCP、エージェントに専用IDと最小権限を与える設計は非人間IDを参照してほしい。
まとめ
- 2026年8月、Anthropic は Claude Enterprise 向けにスキル/プラグインの**セキュリティスキャン（beta）**を投入。pass/warn/fail で入口を検査する、正しい方向の一歩だ。
- ただし既定オフ・新規アップロードのみという設計上、「有効化前の在庫」と「後から差し替わる依存」は関所を通らない。
- 同月にはテストファイルに悪意を仕込む回避が実証され、「意図を読むスキャン」の視野外に実行経路があることが示された。
- 結論はシンプルだ。単一のスキャンで供給網は守れない。許可リスト・RBAC・承認・実行時の最小権限・監査を、スキルのライフサイクル全体に敷く。入口のスキャンは、その最初のゲートに位置づけるべきものである。
スキルやプラグインを「安全に配る」ための統制設計は、入口の検査だけでは完結しません。承認・監査・権限の制御点をどこに置くか、homula がご相談に乗ります。