⏱ 読了目安: 約5分
- アンソロピックがClaude Code 2.1.287でTypeScript製内部拡張機能「Mods」を正式リリース。
- 従来シェル起動だったフックをメモリ内TS関数化。Koa風ミドルウェアと5層チェーン構造でUIや動作を深層制御。
- サンドボックス非適用のためAPIキー参照等の特権リスクが存在。導入前の検証と組織層ポリシーの設定が急務。
外部コマンドの限界突破とTS内包化の衝撃
深夜の障害対応時、複雑に絡み合ったシェルスクリプトのシェル芸フックがサイレントに失敗し、原因究明に追われた経験は誰にでもあるはずだ。従来のClaude Codeに搭載されていた『Hooks』は、まさにその危険と背中合わせだった。イベントが発生するたびにOSの外部プロセスを立ち上げ、標準入力（stdin）にJSONを注ぎ込み、標準出力（stdout）や終了コード（exit code）で成否をやり取りする――。このアーキテクチャは安全ではあるものの、プロセス間通信のオーバーヘッドが重く、扱えるデータはテキストに限定され、画面描画や高度な状態管理の領域には到底踏み込めなかった。
しかし、Claude Code 2.1.287で正式発表された『Claude Mods（ Function Hooks ）』は、この泥臭い限界を鮮やかに打ち砕いた。Modsは単なる外付けプラグインではない。TypeScriptで記述された関数が、Claude Code本体を駆動するNode.js/V8エンジンプロセスの同一メモリ空間に直接ロードされるのだ。これにより、プロセスを跨ぐオーバーヘッドはゼロになり、CLIの描画フレームワークや内部ストレージ、さらにはエージェントの思考ループそのものへとダイレクトに介入可能となった。
特筆すべきは、Anthropic社がClaude Code自体の標準機能をもModsとして再構築している点だ。変更箇所をサイドパネルに美しく可視化する`/diff`コマンドや、プロジェクト固有の指示書を読み込む`AGENTS.md`のサポート（agents-md）すらも、内部的にはModとして実装されている。我々エンジニアが手に開示されたのは、単なる拡張インターフェースではなく、「AIコーディングツールそのものを解剖し、自分好みに組み替えるための外科手術キット」なのだと私は考える。
ミドルウェア構造と5層チェーンの権限攻防
技術的に極めて興味深いのは、ハンドラの設計パターンにWebフレームワークのKoaやExpressで馴染み深い『オニオンモデル（ミドルウェアパターン）』を採用した点だ。ハンドラは `($, e, next)` という3つの引数を受け取る。`$` はエンジンとの接続窓口、`e` は凍結されたイベントデータ、そして `next` は処理を次の層へ進める伝播関数だ。`await next(e)` の呼び出し前後にコードを配置することで、ツール呼び出しの直前にコマンドを検知して遮断する「前処理」や、実行後の経過時間を計測する「後処理」、さらにはAIが受け取るレスポンスのテキストを動的に改ざんする「出力加工」まで、自由自在に記述できる。
さらに、複数プラグインの競合とガバナンスの問題を解き明かす鍵が、以下の『5層のチェーン構造』である。
| 階層名（Tier） | 権限レベルと役割 | 実行制御の特徴 |
|---|---|---|
| prepend | 組織最優先ポリシー | 個人Modよりも外側で最初にイベントを捕捉し、必要に応じて拒否可能 |
| user | 個人インストール | 開発者がローカル環境に自由に導入するMod群 |
| append | 組織補完ポリシー | 個人Modを通過した後のリクエストに適用される組織ルール |
| builtin | バイナリ同梱機能 | Claude Code標準搭載のMod（diffやagents-mdなど） |
| core | エンジン本体 | 最終的なデフォルト処理を実行する最深部エンジン |
この玉ねぎの皮のような階層構造は、エンタープライズ開発において決定的な意味を持つ。管理端末やTeam/Enterpriseプランでは、最外殻の `prepend` にセキュリティ制御用のMod（`sec-default`）が自動的に配置される。個人の `user` 層でどれほど横暴なModを組もうと、外側の組織層が `next.to(e, “append”)` を発動すれば、個人の処理をバイパスして強制的に組織のセキュリティルールを適用できる。自由度と企業ガバナンスを高次元で両立させるこのアーキテクチャ設計には、シニアエンジニアとして脱帽せざるを得ない。
無防備な特権空間と我々が取るべき防壁
だが、この絶大なパワーには恐ろしい裏の顔が存在する。海外メディア（The New StackやMIXED Reality Newsなど）でも速報された通り、Anthropicは公式ガイドラインで「Mods aren’t sandboxed（Modsはサンドボックス化されていない）」と明記している。プロセス同一メモリ空間で動作するということは、Modは実行ユーザーと全く同じ特権を持つことを意味する。悪意あるコミュニティ製Modを導入した場合、環境変数に格納された`ANTHROPIC_API_KEY`やAWS認証情報を読み取り、裏で外部サーバーへHTTP送信することなど造作もない。
我々開発者は、「AIが自動で便利なModを作ってくれたから」と無批判に実行するデッドロック状態に陥ってはならない。導入時には必ず `claude plugin validate` を実行し、どの `$` 空間のAPIが使われているかを静的解析する癖をつけるべきだ。また、社内ネットワークにおいては `prependPlugins` を活用し、未検証のサードパーティModの読み込みをバイパス・遮断する組織的ガードレールが必須となる。
ツールに思考を奪われてはならない。我々は自らの手で開発基盤を拡張する自由を手に入れたと同時に、そのコードが招くセキュリティリスクの全責任を背負うことになった。あなたのローカル環境で動いているそのModは、本当に信頼できるコードだろうか？ 明日からの開発現場において、利便性の追求とセキュリティ境界の厳格な監査、どちらを優先すべきか今一度自問してほしい。
コメント