スキルをこれほど強力にしているものは、同時にスキルを危険にしているものでもあります。スキルはテキストだけでなく、実行可能なコードも運べるのです。エージェントがそのスキルを読み込むと、中の指示を自分の指示として従い、スクリプトを実行できます。だからClaudeのドキュメントの勧めは、1文でまとめられます。スキルの導入は、ソフトウェアのインストールと同じだと考えましょう。
公式資料は何と言っている?
Claudeのドキュメントのセキュリティの章は、かなり率直です。スキルは信頼できる提供元、つまり自分で書いたものかAnthropicから入手したものだけを使うよう勧めています。出所のわからないスキルをどうしても使う場合は「細心の注意」を払い、使う前に隅々まで監査するよう求めています。
Anthropicのエンジニアリング記事も同じ方針です。信頼度の低い提供元のスキルでは、同梱ファイル、特にコードの依存関係とスクリプトを調べ、外部ネットワークへの接続を指示する内容も確認するよう勧めています。ドキュメントは、あるリスクを特に強調しています。外部アドレスからデータを取得するスキルは危険です。取得した内容に悪意のある指示が含まれている可能性があるからです。
現場では何が起きている?
これらの警告は理論上の話ではありません。セキュリティ企業のSnykは、2026年2月5日に公開した「ToxicSkills」調査で、ClawHubとskills.sh由来の3,984個のスキルをスキャンしました。結果は次のとおりです。
| 発見 | 数 |
|---|---|
| スキャンしたスキル | 3,984 |
| 少なくとも1つのセキュリティ問題があるもの | 1,467(36.82%) |
| 少なくとも1つの重大な問題を含むもの | 534(13.4%) |
| 悪意のあるペイロードが確認されたもの | 76 |
レポートによると、skills.shのデータはそのサイトの選ばれた上位100スキルのみを対象にしていて、市場全体の数字はClawHubのものです。確認された攻撃の種類には、ユーザーに信頼できないソフトウェアのダウンロードと実行を促すインストール手順、認証情報を攻撃者に送る難読化された(Base64やUnicodeで偽装された)コマンド、セキュリティ対策の無効化やバックドアの設置の試みなどがあります。悪意があると確認されたスキルの91パーセントで、プロンプトインジェクションが使われていました。
導入前のチェックリスト
ドキュメントの推奨と現場の発見から導き出した、実用的なリストです。
- 提供元を確認する。 リポジトリは誰のものですか。公式の企業や知られた開発者ですか、それとも有名なパッケージにそっくりな偽物(タイポスクワッティング)ですか。
- SKILL.mdを最初から最後まで読む。 「まずこれをダウンロードして実行して」「セキュリティ設定を無効にして」「このアドレスに送って」のような表現は警報です。
- scripts/フォルダを調べる。 読めない行、隠された行、Base64でエンコードされた行があるなら、導入してはいけません。
- 外部リンクを確認する。 スキルがWebアドレスから指示やデータを取得するなら、その内容はいつでも変わりうることを忘れないでください。
- 必要なものだけを入れる。 「全部入れる」ではなく1つずつ選ぶと、コンテキストも攻撃対象領域も小さくなります。
最小権限と秘密鍵
スキルがどこで動くかも重要です。Claudeのドキュメントによれば、Claude API環境ではスキルにネットワークアクセスがなく、実行時にパッケージをインストールすることもできません。claude.aiでは、ネットワークアクセスはユーザー設定と管理者設定により、完全、部分的、無効のいずれかになります。Claude Codeでは、スキルはパソコン上のどのプログラムとも同じだけのネットワークアクセスを持ちます。つまり、ローカルのエージェントに入れたスキルは、あなたの権限で動きます。
だから最小権限の原則が欠かせません。Claude Codeでは、スキルのフロントマターにあるallowed-tools欄により、そのスキルが呼び出されたとき特定のツールを許可確認なしで使えるようになります。ドキュメントによると、この許可は次のメッセージでリセットされます。それでも、他人が書いたスキルに広い権限があるのを見つけたら、意識して承認しないまま導入しないのがよい習慣です。
秘密鍵のルールは単純です。APIキー、パスワード、アクセストークンを、SKILL.mdやスキルのフォルダに決して書かないこと。スキルを共有したり、リポジトリにプッシュしたりすると、そのフォルダにあるものはすべて一緒に出ていきます。キーは環境変数か、使っているツールの安全な認証情報ストアに保管し、スキルにはそこへのアクセス方法だけを教えましょう。
2026年10月時点で、スキルのエコシステムは非常に速く成長していて、その成長は、アプリストア初期のセキュリティ問題を思い出させます。いい知らせもあります。スキルを読むのは、アプリのソースコードを読むよりずっと簡単です。大部分がプレーンテキストだからです。
あなたはスキルを導入する前に、中身を開いて読んでいますか。それとも、スター数やダウンロード数を信用していますか?