サードパーティ製エージェントスキルの安全性審査手順

「便利そうなSKILL.mdを見つけたので、そのままエージェントに組み込んだ」——このひと手間の省略が、認証情報の窃取や不正な外部送信につながるケースが2026年に相次いで報告されています。エージェントガバナンスの実務では、モデルの性能よりも「何を信頼して実行するか」の審査プロセスが問われる局面が増えています。

エージェントスキルの配布はどんなリスクを抱えているか

マーケットプレイス由来の3,984件のスキルのうち534件（13.4%)に重大な脆弱性があり、91%が悪意あるコードとプロンプトインジェクションを併用していました。

セキュリティベンダーSnykが2026年2月にClawHubとskills.shの計3,984件のエージェントスキルを監査した結果、13.4%にあたる534件が重大度クリティカルの欠陥を含み、36.82%（1,467件）が何らかのセキュリティ上の欠陥を持っていました。確認された76件の悪意あるペイロードのうち、公開停止済みのものを除く8件は調査時点でも入手可能な状態でした。攻撃手法は、外部の不正バイナリへ誘導するインストール手順、Base64やUnicodeで難読化した認証情報窃取コマンド、安全機構を無効化して永続的なバックドアを設置する手口の3系統に分かれます。確認された悪意あるスキルの100%がコードパターンで検知可能だった一方、91%は同時にプロンプトインジェクション技術も併用しており、単一の検知手法では見逃しが生じる構造になっています。

エージェントスキルの安全性はどう審査すればよいか

Anthropicの公式ガイドはリスク指標を7項目に分類し、SKILL.md本体・スクリプト・参照ファイルを含む8段階のレビュー手順を定めています。

Anthropicの公式エンタープライズガイドは、コード実行の有無、指示による安全ルール無視の誘導、MCPサーバーへの参照、ネットワークアクセスの痕跡、ハードコードされた認証情報、想定外のファイルアクセス範囲、ツール呼び出しの7つをリスク指標として整理しています。審査手順は、SKILL.md本体とスクリプト・参照ファイルを含む全内容を読む、スクリプトをサンドボックスで実行し出力が説明文と一致するか確認する、外部URLへのフェッチ有無を検索する、認証情報のハードコードがないか確認する、参照先ドメインが想定通りか確認する、といった8ステップで構成されます。ファイル読み取りとネットワーク呼び出しを組み合わせたスキルは、単体では低リスクに見えても組み合わせた際のリスクを個別に評価する必要があると明記されています。

エンタープライズはスキル審査をどう自動化できるか

Claude Enterpriseの「Skill and plugin security scanning」は不審な挙動を検知しブロックしますが、Claude APIやSkills API経由のアップロードは対象外です。

Claude Enterprise組織はclaude.aiの管理画面でスキャン機能を有効化でき、claude.aiとClaude Cowork上でメンバーがアップロード・編集したスキルを対象に、隠されたコード実行や外部へのデータ送信、Claudeの安全機構を改ざんする指示の兆候を自動検査します。審査に失敗したスキルは利用がブロックされ、警告付きで通過したスキルは注意喚起の表示を伴って利用可能になります。ただしこのスキャンはClaude API経由のアップロード（Skills APIやConsole経由）には適用されず、ゼロデータ保持やCMEK構成の組織、スキャン有効化前から存在していたスキルも対象外です。API経由でスキルを配布する場合は、レビューチェックリストとバージョン固定による運用が引き続き必須になります。

中小企業はどこから審査を始めればよいか

専任のセキュリティ担当者がいなくても、リスク指標7項目と信頼できる入手元への限定だけで審査の出発点を作れます。

エンタープライズ向けスキャン機能を使えない中小企業でも、公式ガイドが定義するリスク指標をそのままチェックリストとして転用できます。優先すべきは、自分で作成したか、Anthropicが提供するスキルに限定すること、未知の提供元のスキルを導入する際はSKILL.mdとスクリプトを人手で確認し、外部URLへのフェッチや認証情報のハードコードがないかを検索することです。導入後は、スキルがアクセスした認証情報やAPIのローテーションを定期的に行い、エージェントのメモリファイルに不審な永続化の痕跡が残っていないかを確認する運用を組み込むと、専任チームがいなくても最低限の防御線を保てます。

規模別の留意点（SMB / エンタープライズ）

中小企業では、スキル導入を「個人の判断」に委ねず、導入前チェックの実施者を固定し記録を残す運用だけでもリスクを大きく下げられます。エンタープライズでは、Skill content scanningの適用範囲外となるAPI経由の配布ルートを把握した上で、レビューチェックリストとバージョン固定・チェックサム検証を組み合わせた多層的な審査体制が必要です。組織横断でスキルを共有する場合は、審査者と作成者を分離する体制も欠かせません。より大規模な統制設計はReinvention Deployed Engineeringの支援範囲です。

参考

まとめ

エージェントスキルはnpmパッケージと同じ供給網リスクを持ちながら、実行時にはファイル操作やネットワーク呼び出しといった強い権限を伴います。信頼できる入手元への限定と、リスク指標に基づく審査チェックリストの運用を組み合わせることが、規模を問わず最初の防御線になります。Kuu株式会社では、スキル審査プロセスの設計からエージェント運用の技術支援まで支援しています。自社のスキル導入フローに不安がある場合は、お気軽にご相談ください。