--- title: "Claude Codeの公式プラグイン集315個、Anthropicはどこまで審査しているか" description: "Claude Codeが最初から読み込むカタログ「claude-plugins-official」の315個の内訳とAnthropicの審査の仕組みを読み、フックがサンドボックスの外で動くことや、トークンの見積もりにフックの費用が入らないことを確かめました。" url: https://udon-dev.com/notes/claude-plugins-official/ lang: ja published: 2026-10-17 topic: [ai] tags: ["claude", "claude-code", "plugins", "mcp", "security"] --- # Claude Codeの公式プラグイン集315個、Anthropicはどこまで審査しているか - claude-plugins-officialは315個のプラグインを載せたカタログで、Anthropicが作ったものは39個、残りはGitHubなどのパートナーや外部の作者のもの - 外部の262個はコミットのハッシュで固定され、毎晩の更新のたびに、GitHub Actionsの中でClaudeが方針の文書に沿ってフックや通信を審査する仕組みがリポジトリにある - 審査はあっても、READMEとインストール時の警告は、中身の動作をAnthropicが検証できないと明記していて、フックやMCPサーバーはサンドボックスの外で動く - プラグインの詳細画面のトークンの見積もりは、会話に入る分だけで、フックが裏で呼ぶAPIの費用は含まない GitHub Trendingに、Anthropicの[claude-plugins-official](https://github.com/anthropics/claude-plugins-official)が上がっていました。Claude Codeで`/plugin install commit-commands@claude-plugins-official`のように打つとき、`@`の後ろに書く名前は、このリポジトリから来ています。普段は意識せずに使っているカタログです。「公式」と付いたこのカタログに何が載っていて、Anthropicが中身をどこまで確かめているのかを読みました。 （図: GitHubのリポジトリ「anthropics/claude-plugins-official」の紹介画像。リポジトリ名と説明、コントリビューター数やスター数、組織のアイコン） 出典：[anthropics/claude-plugins-official（GitHub）](https://github.com/anthropics/claude-plugins-official) ## 何が入っているか プラグインは、スラッシュコマンド、サブエージェント、MCPサーバー、フックなどをまとめて1つのコマンドで入れられる形にしたものです。Anthropicは2025年10月に[発表](https://www.anthropic.com/news/claude-code-plugins)しました。プラグインのカタログを「マーケットプレイス」と呼び、その実体はリポジトリの`.claude-plugin/marketplace.json`という1つのファイルです。 10月15日時点の[marketplace.json](https://github.com/anthropics/claude-plugins-official/blob/main/.claude-plugin/marketplace.json)には、315個のプラグインが載っていました。リポジトリの履歴で数えると、2025年12月末に40個、2026年3月末に123個、6月末に254個、9月1日に291個と増えています。 置き場所で分けると、次のとおりです。 | 置き場所 | 数 | 例 | |---|---|---| | `plugins/`（Anthropicが作成） | 39 | `code-review`、`commit-commands`、`security-guidance`、言語サーバー12種 | | `external_plugins/`（外部の作者のものを同梱） | 14 | `github`、`playwright`、`linear`、`asana` | | 外部のリポジトリを参照 | 262 | Adobe、Salesforce、SonarQubeなどのリポジトリ | 公式ドキュメントの[Anthropic's marketplaces](https://code.claude.com/docs/en/plugins/anthropic-marketplaces)にも、載っているものの大半はパートナーや他の作者のものだとあります。カテゴリは、開発が123個、生産性が69個、データベースが39個と続きます。 Anthropicの汎用のマーケットプレイスは、ほかに2つあります（`anthropics/skills`のような分野別のものも別にあります）。作者が申請した外部のプラグインを集めた`claude-community`と、例を集めた`claude-code-plugins`（リポジトリは`anthropics/claude-code`）です。古い手順で`anthropics/claude-code`を追加していると、`code-review`などが2つ入ることがあります。ドキュメントは、同じ名前のものは公式の側から入れるよう勧めています。 名前の似たものに、9月23日に新しい版が公開された[Claude Marketplace](https://claude.com/marketplace/plugins)があります。2000を超えるコネクターとプラグインを集めたWebのカタログです（[BleepingComputer](https://www.bleepingcomputer.com/news/artificial-intelligence/anthropic-turns-claude-into-an-ai-marketplace-with-2-000-plus-plugins-and-connectors/)、[IT-Connect](https://www.it-connect.tech/claude-marketplace-grows-fast-anthropic-brings-2000-connectors-and-plugins-together/)）。claude-plugins-officialは、そのうちClaude Codeが直接読み込むカタログです。 ## 「公式」が保証していること まず、名前の偽装は防がれています。[Plugin security and trust](https://code.claude.com/docs/en/plugins/security)によると、`claude-plugins-official`などの公式の名前は、`github.com/anthropics/`のリポジトリから追加したときだけ受け付けられます。ほかの場所から同じ名前で追加したマーケットプレイスは、Claude Codeが読み込みを止める仕組みです。 次に、外部の262個は、全てコミットのハッシュで固定されていました。作者がリポジトリを書き換えても、そのまま利用者に届くわけではありません。毎晩動く[GitHub Actions](https://github.com/anthropics/claude-plugins-official/blob/main/.github/workflows/bump-plugin-shas.yml)が、作者の側で更新があったプラグインを見つけ、新しいハッシュで検証し、プラグインごとにPull Requestを作ります。リポジトリの履歴では、10月9日から16日まで（協定世界時）に、mainに取り込まれたハッシュの更新が121件ありました。 そのPull Requestで動く審査の1つが、Claudeによるものです（[Scan Plugins](https://github.com/anthropics/claude-plugins-official/blob/main/.github/workflows/scan-plugins.yml)）。[審査の方針](https://github.com/anthropics/claude-plugins-official/blob/main/.github/policy/prompt.md)は、基準を「悪意がない」より高い「利用者のデータを責任をもって扱う」に置いています。次のどれかに当たると不合格です。 - 悪意のあるコード、データの持ち出し、安全策の回避がある - プロンプトやツールの入出力を見るフックが、プラグインの目的と関係のないプロジェクトでも動く - MCPサーバー以外への通信（利用状況の送信など）を、説明と止め方を示さずに行う - 説明文から想像できないフック、通信、データの読み取りがある 方針は、フックのスクリプトだけでなく、読み込まれない`.claude/`のような隠しフォルダまで読むよう指示しています。Gitから入れるプラグインは、リポジトリ全体が手元に置かれるためです。元になっている[Anthropic Software Directory Policy](https://support.claude.com/en/articles/13145358-anthropic-software-directory-policy)には、掲載後も審査を続けると書かれています。 一方で、[README](https://github.com/anthropics/claude-plugins-official/blob/main/README.md)の冒頭には、入れる前にプラグインを信頼できるか確かめるよう警告があります。Anthropicは、プラグインに含まれるMCPサーバーやファイルを管理しておらず、意図どおりに動くかどうかも、あとで中身が変わるかどうかも検証できない、という内容です。Claude Codeがインストールの前に出す警告も同じ文で、マーケットプレイスが公式かどうかで変わりません。 ## インストールと`claude plugin details`の表示 検証した環境（Claude Code 2.1.302、空の設定）で、公式のマーケットプレイスを追加し、3つのプラグインを入れた結果は次のとおりです。 ```text $ claude plugin marketplace add anthropics/claude-plugins-official Cloning repository (timeout: 120s): https://github.com/anthropics/claude-plugins-official.git Clone complete, validating marketplace… √ Successfully added marketplace: claude-plugins-official (declared in user settings) $ claude plugin install code-review@claude-plugins-official √ Successfully installed plugin: code-review@claude-plugins-official (scope: user) ``` 対話の画面を開いていない設定では、公式のマーケットプレイスはまだ登録されていませんでした。ドキュメントのとおり、Claude Codeが自動で追加するのは、ターミナルで初めて対話のセッションを始めたときです。スクリプトで入れるときは、先に`marketplace add`が要ります。 入れたあとは、`claude plugin details`で中身と、会話に足されるトークンの見積もりが分かります。 ```text $ claude plugin details code-review@claude-plugins-official Component inventory Skills (1) code-review ... Projected token cost Always-on: ~22 tok added to every session component always-on on-invoke code-review ~20 ~2.5k ``` `security-guidance`では、次のようになりました。 ```text $ claude plugin details security-guidance@claude-plugins-official Component inventory Skills (0) Agents (0) Hooks (4) SessionStart, UserPromptSubmit, PostToolUse, Stop (harness-only — no model context cost) ... Projected token cost Always-on: ~0 tok added to every session ``` 見積もりは0トークンですが、このプラグインが無料で動くわけではありません。[README](https://github.com/anthropics/claude-plugins-official/blob/main/plugins/security-guidance/README.md)によると、Claudeが応答を終えるたび（Stop）と、コミットのたびに、既定では最新のOpusで差分をレビューします。この費用は、APIの料金か、サブスクリプションの利用枠から出ます。Anthropic APIの場合、Stopのレビューは直接APIを呼ぶので、Claude Code自身の費用の表示にも出ません。変更した差分とファイルの内容がレビューのために送られることも、READMEに書かれています。 `github`はMCPサーバーを1つ持ち、[.mcp.json](https://github.com/anthropics/claude-plugins-official/blob/main/external_plugins/github/.mcp.json)の接続先は`https://api.githubcopilot.com/mcp/`でした。GitHubの個人用アクセストークンは、環境変数で渡す形です。ツールの定義は接続してから決まるため、`details`は数えていません。 ## 入れる前に見る点 公式のカタログでも、入れたものは自分の権限で動きます。ドキュメントによると、フック、stdio型のMCPサーバー、言語サーバーのプロセスは、Claude Codeのサンドボックスの外で動きます。`github`のようなHTTP型のMCPサーバーは、手元でプロセスを起動せず、指定のURLに接続する形です。権限の設定（`permissions`）が効くのはClaudeが呼ぶツールで、MCPのツールの呼び出しは対象ですが、フックが自分で実行するコマンドは対象外です。`claude-plugins-official`では、自動更新も既定で有効になっています。入れたときに読んだファイルが、あとで変わることがあります。ハッシュの更新は審査を通りますが、自動更新で中身が変わったかどうかは、利用者が自分で確かめる必要がありそうです。 入れる前と入れた直後に、次の3つを見ておきたいところです。 1. `/plugin`の詳細画面の「Will install」で、フックとMCPサーバーがあるかを見る 2. フックがあれば、`hooks/hooks.json`と、そこから呼ぶスクリプトを読む。通信や、別のモデルの呼び出しがないかを見る 3. 入れたら`claude plugin details`で中身を確かめる。`security-guidance`のようなものは、READMEで費用と止め方（環境変数）を確かめる [Claude Codeのコスト管理](/notes/claude-code-usage-effort/)の記事で書いた`/usage`のSessionブロックの推定コストは、Claude Code自身の費用の表示です。READMEのとおりなら、Anthropic APIで直接呼ぶStopのレビューは、ここに入りません。サブスクリプションでは、レビューの分も利用枠を消費します。費用を見ながら使うなら、プラグインのログ（`security-guidance`なら`~/.claude/security/log.txt`）にも目を通すほうがよさそうです。 審査の方針は`.github/`で読めるので、気になるプラグインは、その作者のリポジトリとあわせて開いてみてください。