Claude Code・OpenAI Codexをはじめとする主要なAIコーディングエージェントは、「スキル」と呼ばれる小さな拡張パッケージを追加で読み込める仕組みを持つ。定型の指示や手順を毎回書かずに済む便利な機能だが、この「スキル」自体が新しい攻撃の入り口になり得ることを示す研究が海外で報告された。中小企業がスキルやプラグインを導入する際に確認しておくべき点を整理したい。

スキルは「エージェントと同じ権限」で動く

スキル（Agent Skills）は、SKILL.mdという指示書ファイルに付随スクリプトを添えた小さなパッケージで、Claude Code・OpenAI Codex・Cursorなど複数のツールが共通のAgent Skills標準に沿って対応している。エージェントがこれを読み込むと、エージェント本人と同じ権限——ファイル・端末・保存済みの認証情報など——でスキルの中身が実行される。便利さの裏返しとして、悪意あるスキルはエージェントを乗っ取る足がかりになり得る。

スキャナーをすり抜けるマルウェアが実証された

この前提を検証した学術研究「Cloak and Detonate」（arXiv:2607.02357、2026年7月公開）が、実際に配布されていた悪意あるスキル1,613件のデータセットをもとに、スキャナーによる検知をすり抜けながら悪性の挙動を保つ手法「SkillCloak」を検証した。手口は大きく2つで、①怪しいコマンドや通信先の記述を、意味は同じだが見た目上は無害な形に書き換える「構造的難読化」、②悪性の部分をインストール時には見えない場所に隠し、実行時にだけ復元する「自己展開型パッキング」。The Hacker News・Help Net Security・cybersecuritynewsなど複数の海外セキュリティメディアが一致して報じたところによると、検証対象とした8種類のスキャナーに対し、この手法は9割以上の確率ですり抜けに成功したという。

重要なのは、この検証で使われた悪性スキルのデータセットが、Claude Code自体の公式マーケットプレイスではなく、別のAIエージェント「OpenClaw」のスキルマーケットプレイス「ClawHub」から集められたものだという点だ。ただし「スキル」というパッケージ形式自体はClaude Code・Codex・OpenClawなど複数のツールで共通の標準に沿っているため、この研究が示す「スキャナーは万能ではない」という教訓は、特定のマーケットプレイスに限った話ではなく、第三者製スキルを読み込む仕組みを持つツール全般に当てはまる。

対する防御策として同研究は「SkillDetonate」という手法も提案している。インストール時の見た目で判断するのではなく、実際にサンドボックス内でスキルを動かし、ファイル・プロセス・通信といったOSレベルの挙動を追跡して悪性かどうかを判定する仕組みだ。「見た目のチェックだけでは不十分で、実際に動かして確認する必要がある」という結論は、スキルに限らずソフトウェアの安全性検証全般に通じる話でもある。

Anthropic自身も「スキルは広い権限を持ちうる」と明記している

Claude Codeの公式ドキュメントを直接確認したところ、プロジェクトの.claude/skills/配下に置かれたスキルについて次のように明記されていた。

Review project skills before trusting a repository, since a skill can grant itself broad tool access. （リポジトリを信頼する前に、プロジェクトのスキルをレビューすること。スキルは自分自身に広い範囲のツールアクセスを付与できてしまうため）

マーケットプレイスについても、Anthropicが管理する公式マーケットプレイスと、自動検証は通っているコミュニティマーケットプレイス、そして任意のgit/URLソースとでは、Claude Code側の扱い（信頼できないソースとしてエラー表示する仕組みなど）が異なる。ベンダー自身が「スキルは広い権限を持ちうるので導入前に確認すべき」と一次ドキュメントで注意喚起している以上、この前提を軽視する理由はない。

中小企業が実務で押さえるべき3点

  1. スキャナーの通過を「安全のお墨付き」と誤解しない：自動検証済みの表示があっても、それは既知パターンでの検知をすり抜けていないというだけで、巧妙に作られた悪性スキルまで防げる保証にはならない
  2. 導入元の信頼レベルを区別する：Anthropic公式が管理するマーケットプレイスと、コミュニティ運営のもの、個人のリポジトリを直接指定するものとでは、リスクの前提が違う。特に業務で使うプロジェクトには、出どころが曖昧なスキルを安易に追加しない
  3. allowed-toolsなど広い権限を要求するスキルは中身を読む：便利さにつられて権限要求の中身を確認せずに承認しない。公式ドキュメントが言うとおり、スキルは自分自身に広いツールアクセスを付与できる

これは特別な話ではなく、GitHub Actionsの脆弱性事例で整理した「外部から来る未検証の入力を無条件に信用しない」という原則と根っこは同じだ。スキルという新しい入り口が増えても、確認すべき原則は変わらない。

便利な仕組みほど、導入ルールを先に決めておく

スキル・プラグインは、AIエージェントを組織で使いこなすための重要な仕組みであり、実際にこのLP自体も記事作成をスキル化して運用している。だからこそ「便利だから」で無条件に取り込むのではなく、誰が・どこから・どんな権限のスキルを承認するのかというルールを先に決めておく必要がある。これはハーネスの考え方——AIエージェントの判断力に安全を委ねず、構造で担保するという発想——そのものだ。

自社でスキルやプラグインの導入ルールをどう設計すればいいか整理したい場合は、パイロット・構築のフェーズで一緒に詰められる。まずは30分の無料診断から相談してほしい。