Claude Codeの公式プラグイン集315個、Anthropicはどこまで審査しているか

GitHub Trendingに、Anthropicのclaude-plugins-officialが上がっていました。Claude Codeで/plugin install commit-commands@claude-plugins-officialのように打つとき、@の後ろに書く名前は、このリポジトリから来ています。普段は意識せずに使っているカタログです。「公式」と付いたこのカタログに何が載っていて、Anthropicが中身をどこまで確かめているのかを読みました。

何が入っているか#

プラグインは、スラッシュコマンド、サブエージェント、MCPサーバー、フックなどをまとめて1つのコマンドで入れられる形にしたものです。Anthropicは2025年10月に発表しました。プラグインのカタログを「マーケットプレイス」と呼び、その実体はリポジトリの.claude-plugin/marketplace.jsonという1つのファイルです。

10月15日時点のmarketplace.jsonには、315個のプラグインが載っていました。リポジトリの履歴で数えると、2025年12月末に40個、2026年3月末に123個、6月末に254個、9月1日に291個と増えています。

置き場所で分けると、次のとおりです。

置き場所	数	例
plugins/（Anthropicが作成）	39	code-review、commit-commands、security-guidance、言語サーバー12種
external_plugins/（外部の作者のものを同梱）	14	github、playwright、linear、asana
外部のリポジトリを参照	262	Adobe、Salesforce、SonarQubeなどのリポジトリ

公式ドキュメントのAnthropic’s marketplacesにも、載っているものの大半はパートナーや他の作者のものだとあります。カテゴリは、開発が123個、生産性が69個、データベースが39個と続きます。

Anthropicの汎用のマーケットプレイスは、ほかに2つあります（anthropics/skillsのような分野別のものも別にあります）。作者が申請した外部のプラグインを集めたclaude-communityと、例を集めたclaude-code-plugins（リポジトリはanthropics/claude-code）です。古い手順でanthropics/claude-codeを追加していると、code-reviewなどが2つ入ることがあります。ドキュメントは、同じ名前のものは公式の側から入れるよう勧めています。

名前の似たものに、9月23日に新しい版が公開されたClaude Marketplaceがあります。2000を超えるコネクターとプラグインを集めたWebのカタログです（BleepingComputer、IT-Connect）。claude-plugins-officialは、そのうちClaude Codeが直接読み込むカタログです。

「公式」が保証していること#

まず、名前の偽装は防がれています。Plugin security and trustによると、claude-plugins-officialなどの公式の名前は、github.com/anthropics/のリポジトリから追加したときだけ受け付けられます。ほかの場所から同じ名前で追加したマーケットプレイスは、Claude Codeが読み込みを止める仕組みです。

次に、外部の262個は、全てコミットのハッシュで固定されていました。作者がリポジトリを書き換えても、そのまま利用者に届くわけではありません。毎晩動くGitHub Actionsが、作者の側で更新があったプラグインを見つけ、新しいハッシュで検証し、プラグインごとにPull Requestを作ります。リポジトリの履歴では、10月9日から16日まで（協定世界時）に、mainに取り込まれたハッシュの更新が121件ありました。

そのPull Requestで動く審査の1つが、Claudeによるものです（Scan Plugins）。審査の方針は、基準を「悪意がない」より高い「利用者のデータを責任をもって扱う」に置いています。次のどれかに当たると不合格です。

• 悪意のあるコード、データの持ち出し、安全策の回避がある
• プロンプトやツールの入出力を見るフックが、プラグインの目的と関係のないプロジェクトでも動く
• MCPサーバー以外への通信（利用状況の送信など）を、説明と止め方を示さずに行う
• 説明文から想像できないフック、通信、データの読み取りがある

方針は、フックのスクリプトだけでなく、読み込まれない.claude/のような隠しフォルダまで読むよう指示しています。Gitから入れるプラグインは、リポジトリ全体が手元に置かれるためです。元になっているAnthropic Software Directory Policyには、掲載後も審査を続けると書かれています。

一方で、READMEの冒頭には、入れる前にプラグインを信頼できるか確かめるよう警告があります。Anthropicは、プラグインに含まれるMCPサーバーやファイルを管理しておらず、意図どおりに動くかどうかも、あとで中身が変わるかどうかも検証できない、という内容です。Claude Codeがインストールの前に出す警告も同じ文で、マーケットプレイスが公式かどうかで変わりません。

インストールとclaude plugin detailsの表示#

検証した環境（Claude Code 2.1.302、空の設定）で、公式のマーケットプレイスを追加し、3つのプラグインを入れた結果は次のとおりです。

$ claude plugin marketplace add anthropics/claude-plugins-official
Cloning repository (timeout: 120s): https://github.com/anthropics/claude-plugins-official.git
Clone complete, validating marketplace…
√ Successfully added marketplace: claude-plugins-official (declared in user settings)

$ claude plugin install code-review@claude-plugins-official
√ Successfully installed plugin: code-review@claude-plugins-official (scope: user)

対話の画面を開いていない設定では、公式のマーケットプレイスはまだ登録されていませんでした。ドキュメントのとおり、Claude Codeが自動で追加するのは、ターミナルで初めて対話のセッションを始めたときです。スクリプトで入れるときは、先にmarketplace addが要ります。

入れたあとは、claude plugin detailsで中身と、会話に足されるトークンの見積もりが分かります。

$ claude plugin details code-review@claude-plugins-official
Component inventory
  Skills (1)  code-review
  ...
Projected token cost
  Always-on:   ~22 tok   added to every session
  component    always-on  on-invoke
  code-review        ~20      ~2.5k

security-guidanceでは、次のようになりました。

$ claude plugin details security-guidance@claude-plugins-official
Component inventory
  Skills (0)
  Agents (0)
  Hooks (4)  SessionStart, UserPromptSubmit, PostToolUse, Stop  (harness-only — no model context cost)
  ...
Projected token cost
  Always-on:   ~0 tok   added to every session

見積もりは0トークンですが、このプラグインが無料で動くわけではありません。READMEによると、Claudeが応答を終えるたび（Stop）と、コミットのたびに、既定では最新のOpusで差分をレビューします。この費用は、APIの料金か、サブスクリプションの利用枠から出ます。Anthropic APIの場合、Stopのレビューは直接APIを呼ぶので、Claude Code自身の費用の表示にも出ません。変更した差分とファイルの内容がレビューのために送られることも、READMEに書かれています。

githubはMCPサーバーを1つ持ち、.mcp.jsonの接続先はhttps://api.githubcopilot.com/mcp/でした。GitHubの個人用アクセストークンは、環境変数で渡す形です。ツールの定義は接続してから決まるため、detailsは数えていません。

入れる前に見る点#

公式のカタログでも、入れたものは自分の権限で動きます。ドキュメントによると、フック、stdio型のMCPサーバー、言語サーバーのプロセスは、Claude Codeのサンドボックスの外で動きます。githubのようなHTTP型のMCPサーバーは、手元でプロセスを起動せず、指定のURLに接続する形です。権限の設定（permissions）が効くのはClaudeが呼ぶツールで、MCPのツールの呼び出しは対象ですが、フックが自分で実行するコマンドは対象外です。claude-plugins-officialでは、自動更新も既定で有効になっています。入れたときに読んだファイルが、あとで変わることがあります。ハッシュの更新は審査を通りますが、自動更新で中身が変わったかどうかは、利用者が自分で確かめる必要がありそうです。

入れる前と入れた直後に、次の3つを見ておきたいところです。

1. /pluginの詳細画面の「Will install」で、フックとMCPサーバーがあるかを見る
2. フックがあれば、hooks/hooks.jsonと、そこから呼ぶスクリプトを読む。通信や、別のモデルの呼び出しがないかを見る
3. 入れたらclaude plugin detailsで中身を確かめる。security-guidanceのようなものは、READMEで費用と止め方（環境変数）を確かめる

Claude Codeのコスト管理の記事で書いた/usageのSessionブロックの推定コストは、Claude Code自身の費用の表示です。READMEのとおりなら、Anthropic APIで直接呼ぶStopのレビューは、ここに入りません。サブスクリプションでは、レビューの分も利用枠を消費します。費用を見ながら使うなら、プラグインのログ（security-guidanceなら~/.claude/security/log.txt）にも目を通すほうがよさそうです。

審査の方針は.github/で読めるので、気になるプラグインは、その作者のリポジトリとあわせて開いてみてください。