claude.ai由来のSkillが安全に強化された話

今回のアップデートで何が変わったのか

Claude Code v2.1.228では、claude.ai(ブラウザ版のClaude)側で作られてClaude Codeに同期されてくる「Skill」の扱いが、より安全な形に見直されました。対象になるのは自分でローカルに書いたSkillではなく、あくまでclaude.aiから同期されてきたSkillです。

Skillというのは、繰り返し使う作業手順やノウハウをファイルにまとめておき、必要なタイミングでClaudeに参照させる仕組みでしたね。便利な反面、外部から入ってくるものである以上、ローカル環境に対してどこまで力を持たせるかは慎重に扱う必要があります。今回のアップデートは、まさにその「力の持たせ方」を絞り込む変更です。

変更点を3つに整理すると

リリースノートの内容を分解すると、変わったポイントは大きく3つあります。

1. ローカルのコマンドやMCPプロンプトを上書きしなくなった

以前は、claude.ai由来のSkillが、あなたが手元で用意したスラッシュコマンドや、MCPサーバーが提供するプロンプトと同じ名前だった場合、そちらを覆い隠して優先されてしまう可能性がありました。これは地味に怖い挙動で、自分が呼んだつもりのコマンドが、いつの間にか外部由来のSkillにすり替わっているということが起こり得たわけです。今回の変更で、同期Skillはローカルの定義を「シャドーイング(覆い隠すこと)」しなくなりました。

2. 説明文がサニタイズされ、ラベルが付くようになった

Skillには、Claudeがそれを「いつ使うか」を判断するための説明文(ツールディスクリプションに近いもの)が付いています。ここに不審な指示を仕込まれると、Claudeを意図しない方向に誘導される危険があります。今回は、この説明文が無害化(サニタイズ)された上で、「これはclaude.ai由来のSkillです」とわかるようにラベル付けされるようになりました。出どころがひと目でわかるのは、地味に安心材料になります。

3. Skillの中身が「!」コマンドや「@」ファイルを勝手に展開しなくなった

Skillの本文には、実は特殊な記法として「!」でシェルコマンドを実行したり、「@」でファイルの中身を読み込ませたりする仕組みがありました。これがそのまま動いてしまうと、Skillの中身次第でローカルマシン上の任意のコマンドが実行されたり、意図しないファイルが読み込まれたりするリスクがあります。今回のアップデートで、claude.ai由来のSkillについては、自分のマシン上でこれらの機能が動かないようになりました。

なぜこの変更がありがたいのか

Skillはチームで共有したり、claude.ai側で管理・同期したりできる便利な仕組みですが、裏を返せば「自分で書いていないコードや指示がローカル環境に入ってくる」という状態でもあります。プロンプトインジェクションのようなリスクを考えると、外部由来のものにはローカルの操作能力をできるだけ持たせない、というのは理にかなった設計です。

普段Skillを意識せずに使っている人でも、この変更によって「知らないうちにローカルコマンドが実行されていた」といった事故の可能性が減ります。特別な設定操作は不要で、アップデートするだけで恩恵を受けられる変更です。