Claude Codeの「スキル」機能に潜むセキュリティリスク ― 手軽さの裏に潜む権限問題を解説

Claude Codeのスキル機能は、開発者にとって魅力的な仕組みです。GitHubからMarkdownファイル（SKILL.md）をダウンロードし、`skills`フォルダに配置するだけで、AIエージェントが自然言語の手順とスクリプトを読み取って実行してくれます。

例えば「PDFをきれいに要約するスキル」を追加したいとき、複雑な設定は不要。ファイルを置くだけで次回からエージェントがそのスキルを使えるようになります。この手軽さは開発速度を劇的に向上させますが、同時に深刻なセキュリティリスクを孕んでいます。

2026年7月上旬、香港科技大学らの研究チームが、このエージェントスキルを狙った攻撃と、既存のセキュリティスキャナがほとんど機能していない実態を明らかにしました。

スキルが持つ権限の範囲

Claude Codeのスキルは、エージェント本体とまったく同じ権限を持ちます。具体的には以下へのアクセスが可能です：

これは、信頼できないスキルを導入した場合、意図せずマルウェアと同等の機能を持つコードを実行してしまうことを意味します。

セキュリティスキャナが機能しない理由

研究によれば、既存のスキャナは以下の理由でエージェントスキル特有の脅威を検出できていません：

1. **自然言語による指示の複雑性**：Markdownに記述された自然言語の手順は、従来のコード解析ツールでは検出困難

2. **実行時の動的生成**：エージェントが指示を解釈してコードを生成するため、静的解析では危険な挙動を予測できない

3. **正常な機能との区別が困難**：ファイルアクセスやシェル実行は正当なスキルでも必要な機能であり、悪意の判別が難しい

ChatGPT Custom GPTsとの比較で見えるアーキテクチャの違い

ChatGPTのCustom GPTs（GPT Store）と比較すると、Claude Codeのスキル機能の設計思想の違いが明確になります。

**ChatGPT Custom GPTs**は、ブラウザ環境内で動作し、ユーザーのローカルシステムには直接アクセスできません。API経由の外部連携はありますが、権限は明示的に制限されています。一方、**Claude Codeのスキル**は、ローカル環境で動作するエージェントの拡張機能として設計されており、開発効率を最優先した結果、セキュリティ境界が曖昧になっています。

これは「クラウドベースのサンドボックス型AI」と「ローカル実行型の開発エージェント」という根本的なアーキテクチャの違いから生じる問題です。

メリットと注意点の両面分析

**メリット：**

**注意点：**

適用範囲の考察：どんな環境で使うべきか

Claude Codeのスキル機能は、以下の環境では非常に有効です：

逆に、以下の環境では慎重になるべきです：

1. スキルの出所を必ず確認する

GitHubからスキルをダウンロードする前に、以下をチェックしましょう：

# リポジトリの信頼性を確認
- Star数とフォーク数
- 最終更新日（メンテナンスされているか）
- コントリビューターの履歴
- Issuesでのセキュリティ議論の有無

2. スキル実行前に内容を読む習慣をつける

SKILL.mdは必ず開いて、以下の点を確認してください：

3. 開発環境を分離する

Docker コンテナ内でClaude Codeを実行することで、リスクを限定できます：

# 最小限の権限でClaude Code環境を構築
FROM python:3.11-slim
RUN useradd -m -s /bin/bash claude
USER claude
WORKDIR /home/claude/workspace
# 必要最低限のボリュームマウントのみ

コンテナ内であれば、万が一悪意あるスキルを実行しても、ホストシステムへの影響を最小化できます。

---

この情報は @とうもろこし茶 さんの投稿を参考にしています。