こんにちは、株式会社TIMEWELLの濱本です。
2026年2月にこの記事の初版を出してから8か月で、Anthropicの公式スキル集（GitHubのanthropics/skills）のスター数は約7.1万から17万9,523まで増えました1。いまのClaude Codeには最初から入っているスキル（同梱スキル）もあり、初版で「ウェイトリスト制」と紹介した金融向けスキルは、公開リポジトリから誰でも入れられる形に変わっています。逆に、初版で紹介した45個のうち2つは、いまはスキルとして確認できません。
そこで今回は、紹介するすべてのスキルについて、公開元のリポジトリ、ライセンス、最終更新日を2026年10月4日に確かめ直しました。結果は52選です。数が増えたのは、Claude Codeに最初から入っている「同梱スキル」を新しく加えたためで、水増しではありません。
もうひとつ、初版になかった観点を足しています。安全面です。スキルは指示書であると同時に、スクリプトやシェルコマンドを動かせる仕組みでもあります。セキュリティ企業のSnykが公開レジストリから集めた3,984件を調べたところ、76件で悪意のあるペイロードが見つかりました2。おすすめを並べるだけの記事では、もう読者の役に立たないと考えています。
チームのAI活用がどの段階にあるのかを先に知っておきたい方は、AIリテラシー診断で現在地を確かめてから読むと、どこから手をつけるかを決めやすくなるはずです。
Claude Codeのスキルとは（仕組みと置き場所）
Claude Codeのスキルは、SKILL.mdというMarkdownファイルを中心に、手順書やチェックリスト、テンプレート、スクリプトをひとつのフォルダにまとめたものです。公式ドキュメントは、同じ指示やチェックリストをチャットに何度も貼っているなら、それをスキルにするサインだと説明しています3。依頼内容に合えばClaudeが自動で使い、/スキル名 と打てば自分から呼び出せます。以前の「カスタムコマンド」（.claude/commands/ のファイル）はスキルに統合され、既存のファイルもそのまま動きます。
2026年に入って、スキルはClaude Codeだけの仕組みではなくなりました。Claude CodeのスキルはAgent Skillsというオープンな規格に沿っており3、Vercelが運営するスキルの目録「skills.sh」は、Claude Code、Cursor、Codexなど20種類以上のエージェントへの導入に対応しています4。一度書いたスキルを別のエージェントでも使い回せるのは、道具を選ぶうえで見逃せない変化でしょう。
読み込み方にも特徴があります。AnthropicのAgent Skillsの解説によると、起動時に読むのは各スキルの名前と説明だけで、1件あたり約100トークン。依頼に合うと判断したときに本文（目安は5,000トークン未満）を読み、付属のファイルは必要になって初めて開きます5。ただしClaude Codeでは、この「名前と説明の一覧」にコンテキストウィンドウの1%という枠があり、スキルを入れすぎて枠を超えると、使う頻度の低いものから説明が省かれます3。何百個入れても動きはしますが、入れるほど呼ばれにくいスキルが出てくる、と理解しておくと実態に近いはずです。
置き場所によって、使える範囲が変わります。
| 置き場所 | パス | 使える範囲 |
|---|---|---|
| 個人 | ~/.claude/skills/<スキル名>/SKILL.md |
自分のすべてのプロジェクト（この端末のみ） |
| プロジェクト | .claude/skills/<スキル名>/SKILL.md |
そのリポジトリ。コミットすればチーム全員 |
| プラグイン | <プラグイン>/skills/<スキル名>/SKILL.md |
プラグインを有効にした環境。/プラグイン名:スキル名 で呼び出し |
| 組織の配布 | 管理設定ディレクトリ内の .claude/skills/ |
組織が配布した端末の全ユーザー |
| claude.aiアカウント | claude.aiで有効にしたスキル | Cowork、クラウドセッション、claude.aiでログインした端末 |
同じ名前のスキルが複数の場所にあるときは、組織、個人、プロジェクトの順で優先されます3。よく似た仕組みとの違いも整理しておきます。
| 仕組み | 向いている中身 | 読み込まれ方 |
|---|---|---|
| CLAUDE.md | 毎回守ってほしい事実や規約 | セッションのたびに全文 |
| スキル | 手順、チェックリスト、参考資料 | 説明は常に、本文は使うときだけ |
| MCP | 外部サービスやデータへの接続 | 道具（ツール）として追加 |
| サブエージェント | 別の文脈に切り出して任せる作業 | 呼び出したとき |
CLAUDE.mdに長い手順を書き足し続けているなら、その部分はスキルに移したほうが軽くなります。公式ドキュメントも、CLAUDE.mdの一部が「事実」ではなく「手順」に育ったらスキルにする、と書いています3。
失敗しない選び方（3つの基準）
52個すべてを入れることは勧めません。先に触れたとおり、説明の一覧には枠があるので、使わないスキルは呼ばれたいスキルの邪魔をします。選ぶときは、次の3つの順で絞り込むのが現実的だと考えています。
1つ目は、繰り返しの頻度です。同じ説明を週に何度もチャットへ貼っている作業、レビューのたびに口頭で伝えている観点、毎回Excelで同じ整形をしている資料。こうした「すでに繰り返している作業」に当たるスキルから入れると、効果がすぐ見えます。逆に、年に数回しかやらない作業のためにスキルを入れても、存在を忘れて呼ばれないまま一覧の枠だけを使うことになりがちです。
2つ目は、いつ使うかを一文で言えるかどうか。Claudeがスキルを選ぶ手がかりは説明文（description）だけです。Claude Codeでは説明文と補足（when_to_use）を合わせて1,536文字で切り詰められるため、公式ドキュメントは「主な用途を先頭に書く」よう勧めています3。説明があいまいなスキルは、呼ばれてほしい場面で呼ばれず、関係のない場面で割り込んできます。他人のスキルを入れるときも、まず説明文を読んで、自分の使い方と合っているかを確かめてください。
3つ目は、出所と権限です。誰が作り、何を実行でき、どのファイルを読めるのか。ここは後の「入れる前に確かめる安全面の注意」で詳しく書きますが、選ぶ段階から気にしておくべき項目です。この記事の表に「確認時点の状態」としてライセンスと最終更新を載せたのは、そのためです。
個人的には、最初の1週間は同梱スキルだけで過ごし、足りないと感じた作業をメモしてから公式やコミュニティのスキルを探す順番をおすすめします。探す前に「自分の繰り返し作業」を書き出しておくと、52個の中から必要なものは数個に絞れるはずです。
チームでスキルを共有する前に、社内のルールを整えたい方へ: 生成AI導入の稟議書ひな形と、全10条の利用規程ひな形を配布しています。プロンプトに入力してはいけない情報と出力の取扱いを条文の形にしてあるので、スキルをチームで配る前の決めごとづくりにそのまま使えます。生成AI 稟議書＆利用規程テンプレートをダウンロード（無料。会社名とお勤め先のメールアドレスのご登録が必要です）
AI駆動開発を、実務で使えるところまで
トレンドを追うだけで終わらせないための実践プログラムがWARPです。元大手DX・データ戦略の専門家が、現場で動かすところまで伴走します。
おすすめスキル52選（4分類）
ここからが一覧です。「インストール不要の同梱スキル」「Anthropic公式スキル」「金融サービス向けスキル」「コミュニティとパートナーのスキル」の4つに分けました。公開元やライセンス、最終更新は、いずれも2026年10月4日にGitHubと公式ドキュメントで確認したものです。ライセンス表記がないものは、利用条件が明示されていないという意味なので、業務で使う前に作者の意図を確かめてください。
1. インストール不要の同梱スキル（8選）
初版の記事では扱っていなかった分類です。いまのClaude Codeには、最初からいくつかのスキルが入っています。公式ドキュメントは、これらを「固定の処理を実行する組み込みコマンド」と区別し、Claudeに詳しい指示を渡して手持ちのツールで作業を組み立てさせる、プロンプト型のスキルだと説明しています3。
| スキル | できること |
|---|---|
/code-review |
手元の差分やプルリクエストを、正しさのバグに絞ってレビュー。--fix で指摘をそのまま反映 |
/simplify |
変更したコードを、既存ヘルパーの再利用、簡素化、効率、抽象度の4観点で並行レビューし、整理まで実行。バグ探しは対象外 |
/batch |
大きな変更を5〜30の独立した単位に分け、承認後にworktreeごとのサブエージェントで並行して実装 |
/run |
アプリを起動し、変更が実際に動いているかを確認 |
/verify |
ビルドして動かし、テストや型チェックに頼らず変更の効果を確認 |
/debug |
その時点からデバッグログを取り始め、ログから不具合の原因を調査 |
/loop |
セッションを開いている間、同じプロンプトを繰り返し実行。間隔を省けばClaudeが自分で間隔を判断 |
/claude-api |
Claude APIを使うコードに、APIとManaged Agentsの参照資料を読み込み。モデル移行などのサブコマンド付き |
各スキルの説明は公式のコマンド一覧によります6。私が最初に試してほしいと思うのは、/code-review と /verify の組み合わせです。前者は「コードとして正しいか」、後者は「実際に動かして期待どおりか」を見るもので、AIに書かせたコードの確認でいちばん抜けやすい後者を、手順として固定できます。/verify は、うまく動かせた手順を .claude/skills/verify/SKILL.md に書き残すので、次回からはその手順に従います（v2.1.200以降）3。
/simplify と /code-review は役割がはっきり分かれています。/simplify は整理専門で、バグは探しません。両方を同じ差分に使うなら、先に /code-review で正しさを見てから /simplify で整える順番が自然です。なお、セキュリティの観点で差分を見る /security-review もありますが、こちらはスキルではなく組み込みコマンドの扱いです6。
2. Anthropic公式スキル（17選）
Anthropicがanthropics/skillsで公開しているスキル群です。2026年10月4日時点でリポジトリには19本あり、初版の16本に claude-api、discernment-nudge、academy-guide が加わりました1。このうち claude-api は上の同梱スキルと同じものなので、ここでは残りから17本を選んでいます。
| スキル | できること | 分類 |
|---|---|---|
| algorithmic-art | p5.jsとシード付きの乱数によるジェネラティブアートの作成 | デザイン |
| brand-guidelines | Anthropicのブランドカラーと書体を成果物に当てる見本。自社版に書き換える雛形として有用 | デザイン |
| canvas-design | デザインの考え方に沿って、ポスターなどの静的なビジュアルをPNGやPDFで作成 | デザイン |
| theme-factory | 10種類の既定テーマか、その場で作ったテーマで、資料やLPの配色と書体を統一 | デザイン |
| frontend-design | 新しいUIを作るときや作り直すときに、ありがちな見た目を避けた配色、書体、構成を選ぶ指針 | 開発 |
| web-artifacts-builder | React、Tailwind CSS、shadcn/uiで、複数コンポーネントのclaude.aiアーティファクトの構築 | 開発 |
| webapp-testing | Playwrightでローカルのアプリを操作し、スクリーンショットやブラウザのログで動作を確認 | 開発 |
| mcp-builder | 外部APIをつなぐMCPサーバーを、Python（FastMCP）かTypeScriptで作る手引き | 開発 |
| skill-creator | スキルの新規作成と改善に加え、評価の実行、ばらつきを含むベンチマーク、呼び出し精度を上げる説明文の調整まで | メタ |
| docx | Word文書の作成、編集、読み取り。目次や見出し番号の整形も | 文書 |
| PDFの抽出、結合、分割、フォーム入力、透かし、OCR | 文書 | |
| pptx | PowerPointの作成、編集、読み取り、テンプレートの利用 | 文書 |
| xlsx | ExcelやCSVの作成、編集、数式、書式、グラフ | 文書 |
| doc-coauthoring | 提案書や技術仕様の共同執筆を、文脈の受け渡しから推敲まで段階的に支援 | 文書 |
| internal-comms | 状況報告、経営向けの報告、社内報、FAQ、障害報告などを会社の型で作成 | コミュニケーション |
| slack-gif-creator | Slackの制約に合わせたアニメーションGIFの作成 | コミュニケーション |
| discernment-nudge | 助言や分析を返したあとに、事実確認や前提の見直しを促す短い問いを2〜3個追加（新規） | 確認 |
使う前に知っておきたい点が2つあります。ひとつは、リポジトリのREADMEが「これらのスキルはデモと学習のためのもの」と明記していることです。もうひとつは、docx、pdf、pptx、xlsxの4本がオープンソースではなく「ソースを公開しているが利用条件は独自」のライセンスで提供されていること1。社内で改変して配る予定があるなら、LICENSE.txtを先に読んでおくべきです。
いちばんの推しはskill-creatorです。初版の時点では「対話で新しいスキルを作る」ものでしたが、いまは評価の実行や、説明文を調整して呼び出しの精度を上げるところまで面倒を見てくれます。自作スキルの品質を測る手段が手に入ったのは、大きな前進です。自作の手順そのものはClaude Code Skills自作入門で詳しく書いています。
新顔のdiscernment-nudgeも、地味ですが面白い存在です。AIの回答をそのまま社内資料に流用してしまう事故は、技術より習慣の問題なので、回答の最後に「この数字の出典は確かめましたか」と問いを添えるだけでも効きます。なお、claude.aiの有料プランでは、これらのスキルの多くがすでに使える状態になっており、claude.aiのアカウントでClaude Codeにログインすると、pdfやxlsxなどは自動で同期されます3。
3. 金融サービス向けスキル（11選）
初版では「Enterprise向けで、利用にはウェイトリストへの登録が必要」と紹介していました。現在は、Anthropicが2026年2月23日に作成した公開リポジトリanthropics/financial-services（Apache-2.0）から、Claude CodeやCoworkにプラグインとして入れられます7。リポジトリには、ピッチ資料作りや決算レビューなどを通しでこなす10のエージェントと、投資銀行、株式調査、PE、ファンド管理などの業務別プラグインが入っています。初版で紹介した11本は、すべてこの中で確認できました。
| スキル（フォルダ名） | 収録プラグイン | できること |
|---|---|---|
| 3-statement-model | financial-analysis | 損益計算書、貸借対照表、キャッシュフロー計算書が連動するモデルのテンプレートを埋めて完成 |
| dcf-model | financial-analysis | WACCの算定と感度分析を含むDCFモデルをExcelで作成 |
| comps-analysis | financial-analysis | 類似企業の業績指標とバリュエーション倍率を比べる表の作成 |
| competitive-analysis | financial-analysis | 競合のポジショニングや比較を、競合環境の資料に整理 |
| ppt-template-creator | financial-analysis | 手持ちのPowerPointテンプレートから、それを使い回すためのスキルを作成 |
| ib-check-deck | financial-analysis | ピッチ資料のスライド間の数字の整合、本文とデータの食い違い、表現、体裁の点検 |
| pitch-deck | investment-banking | ピッチ資料のテンプレートに、Excelなどのデータを流し込み |
| datapack-builder | investment-banking | 開示書類や企業概要書からデータを抜き出し、投資委員会向けのExcelデータパックに整理 |
| strip-profile | investment-banking | ピッチブック用の企業概要を1〜4枚のスライドで作成 |
| earnings-analysis | equity-research | 四半期決算のアップデートレポート（8〜12ページ）の作成 |
| initiating-coverage | equity-research | 新規カバレッジのレポートを、調査、モデル、評価、図表、組み立ての5工程で作成 |
Claude Codeでの入れ方は、リポジトリのREADMEに沿うと次のとおりです。共通の分析スキルとデータ接続をまとめたfinancial-analysisを先に入れ、必要な業務別プラグインを足します7。
claude plugin marketplace add anthropics/financial-services
claude plugin install financial-analysis@claude-for-financial-services
claude plugin install investment-banking@claude-for-financial-services
このカテゴリで実用度が高いのは、3-statement-modelとdcf-modelだと考えています。ただし、3-statement-modelは白紙からモデルを組むものではなく、既存のテンプレートを埋めて完成させる型です。dcf-modelの説明文は米国SECの開示書類からデータを取る前提で書かれているので、日本企業を扱うなら有価証券報告書などの数字を自分で渡す前提で考えたほうが安全でしょう。READMEは、出力はすべて有資格者の確認を経る下書きであり、投資助言ではないと明記しています7。
ib-check-deckも見逃せません。スライドをまたいだ数字の食い違いは、人が目で追うといちばん見落とす種類のミスです。金融に限らず、数字の多い提案書を作るチームなら一度試す価値があります。
4. コミュニティとパートナーのスキル（16選）
公式以外にも、個人や企業が公開しているスキルがたくさんあります。初版の18本のうち16本を確認できたので、そのまま残しました。外した2本は、後の「初版から変わったこと」で理由を書いています。
| スキル | 公開元 | できること | 確認時点の状態 |
|---|---|---|---|
| superpowers | obra/superpowers | 設計の対話、実装計画、TDD、体系的なデバッグ、レビュー依頼まで、開発の進め方を15本のスキルで型として提供 | MIT、2026年9月更新（v6.4.2） |
| Trail of Bits Skills | trailofbits/skills | CodeQLやSemgrepによる静的解析、差分のセキュリティレビュー、依存パッケージのリスク監査など44のプラグイン | CC BY-SA 4.0、2026年9月更新 |
| playwright-skill | lackeyjb/playwright-skill | Playwrightによる汎用のブラウザ操作。E2Eテストや画面確認に | MIT、2026年8月更新 |
| ios-simulator-skill | conorluddy/ios-simulator-skill | iOSシミュレータの操作と、xcodebuildの出力の絞り込みによるトークンの節約 | MIT、2026年9月更新 |
| scientific-agent-skills | K-Dense-AI/scientific-agent-skills | 生物、化学、医療などの科学計算ライブラリやデータベースを扱う177本。旧名はclaude-scientific-skills | MIT、2026年10月更新 |
| web-asset-generator | alonw0/web-asset-generator | ロゴや文字から、ファビコン、アプリアイコン、OGP画像をまとめて作成 | MIT、2026年1月更新 |
| claude-d3js-skill | chrisvoncsefalvay/claude-d3js-skill | D3.jsによるインタラクティブなグラフの作成 | ライセンス表記なし、2025年10月以降更新なし |
| ffuf_claude_skill | jthack/ffuf_claude_skill | Webファジングツールffufの実行と結果の分析を支援 | ライセンス表記なし、2025年10月以降更新なし |
| Notion Plugin for Claude Code | makenotion/claude-code-notion-plugin | Notion公式。ナレッジの記録や議事録などのスキル4本と、Notion MCPサーバーを一括で導入 | ライセンス表記なし、2026年1月更新 |
| competitive-ads-extractor | ComposioHQ/awesome-claude-skills | 広告ライブラリから競合の広告を集め、訴求やクリエイティブの傾向を分析 | SKILL.md 1枚。リポジトリは2026年7月更新 |
| content-research-writer | 同上 | 調査、引用の付与、導入文の改善、節ごとのフィードバックで執筆を支援 | 同上 |
| invoice-organizer | 同上 | 請求書や領収書のファイルを読み、情報を抜き出して名前をそろえ、税務用に仕分け | 同上 |
| lead-research-assistant | 同上 | 自社の製品を分析して見込みのある企業を探し、アプローチ案まで提示 | 同上 |
| article-extractor | michalparkola/tapestry-skills | Webページから記事の本文とメタデータを抽出 | MIT、2026年3月更新 |
| csv-data-summarizer | coffeefuelbump/csv-data-summarizer-claude-skill | CSVの要約統計、欠損の検出、簡単な可視化をpandasで自動化 | ライセンス表記なし、2025年10月以降更新なし |
| deep-research | sanjay3290/ai-skills | GoogleのGemini Deep Research Agentを呼び出し、引用つきの調査レポートを作成（2〜10分） | Apache-2.0、2026年9月更新。Gemini APIキーが必要 |
superpowersは、このカテゴリで別格の存在です。スター数は29万4,865（2026年10月4日時点）で、Anthropic公式のプラグイン集からも /plugin install superpowers@claude-plugins-official で入れられるようになりました8。初版で紹介した /brainstorm や /write-plan といったコマンドは、2026年4月30日のv5.1.0で削除されました8。いまはbrainstorming、writing-plans、subagent-driven-developmentといったスキルが、作業の段階に応じて自動で呼ばれる設計です。考え方の詳細はSuperpowers完全ガイドにまとめています。
セキュリティ分野では、Trail of Bitsのスキル集の完成度が抜けています。静的解析のstatic-analysis（CodeQL、Semgrep、SARIFの解析）に加え、npmやPyPI、Goの依存パッケージについて既知の脆弱性や放置された上流、インストール時スクリプトを点検するsupply-chain-risk-auditorまで入っています9。ライセンスがCC BY-SA 4.0なので、改変して配るなら同じ条件の継承が必要な点だけ覚えておいてください。
表のうち、ライセンス表記がなく2025年10月から更新が止まっている3本（claude-d3js-skill、ffuf_claude_skill、csv-data-summarizer）は、そのまま入れるより、中身を読んで自分のスキルを書く参考にするのが向いていると考えています。ffufを使うスキルは、自分に検査の権限があるシステム以外には向けないでください。許可のないファジングは、不正アクセスとして扱われるおそれがあります。
入れ方と動作確認
入れ方は大きく3つあります。手でフォルダを置く方法、プラグインとして入れる方法、skills.shのCLIを使う方法です。
手で置く場合は、スキルのフォルダごと ~/.claude/skills/（個人用）か、リポジトリの .claude/skills/（プロジェクト用）にコピーします。SKILL.mdだけでなく、付属のスクリプトやテンプレートも同じフォルダに入れてください。プラグインとして入れる場合は、マーケットプレイス（プラグインの配布元の目録）を登録してから、目当てのプラグインを指定します。Anthropic公式のマーケットプレイスclaude-plugins-officialは、対話型のセッションを初めて起動したときに自動で登録されます10。
# Anthropic公式スキル集（anthropics/skills）を入れる
/plugin marketplace add anthropics/skills
/plugin install document-skills@anthropic-agent-skills # docx・pdf・pptx・xlsx
/plugin install example-skills@anthropic-agent-skills # skill-creator など
# Anthropic公式マーケットプレイスから入れる
/plugin install superpowers@claude-plugins-official
# skills.sh のCLIで入れる（Claude Code以外のエージェントにも対応）
npx skills add <owner/repo>
入れたあとは、/skills で一覧を開けば、使えるスキルと出どころを確かめられます。t キーを押すとトークン数の順に並べ替えられるので、重いスキルが一目で分かります6。動作を確かめるときは、説明文に合いそうな依頼をそのまま投げてみるのが早道です。たとえばpdfなら「このPDFのフォームの項目を抜き出して」と頼み、スキルが読み込まれたかを見ます。呼ばれないときは、説明文が依頼と合っているか、SKILL.mdの1行目が --- で始まっているかを確認してください。フロントマターが正しく読めないと、スキルは設定なしで読み込まれます3。
入れっぱなしにしない工夫も要ります。/doctor は説明一覧が文脈をどれだけ使っているかの目安を出し、/skill-doctor（v2.1.252以降）はスキルごとの使用頻度と負担を表示します3。月に一度でも見直して、使っていないスキルを外すだけで、必要なスキルが呼ばれやすくなります。外すときは、個人用やプロジェクト用ならフォルダを消し、プラグインなら /plugin uninstall <プラグイン名>@<マーケットプレイス名> を使います。
入れる前に確かめる安全面の注意
ここが今回いちばん書き足したかった節です。Anthropicの公式ドキュメントは、スキルは自作したものかAnthropicから入手したものだけを使い、それ以外を使うなら同梱のファイル（SKILL.md、スクリプト、画像など）をすべて監査するよう求めています。悪意のあるスキルは、説明とは違う目的でツールを呼んだりコードを実行したりでき、データの持ち出しや不正なアクセスにつながりうる、とも書いています5。
プラグインはさらに範囲が広くなります。公式の「プラグインのセキュリティと信頼」のページは、プラグインがあなたのユーザー権限で任意のコードを実行できると明記しています。プラグインのフック（ツール実行の前後などに動くシェルコマンド）やMCPサーバーはサンドボックスの外で動き、Claude Codeの権限ルールが及ぶのはClaudeが呼ぶツールまでです。マーケットプレイスの自動更新を有効にしていると、レビューしたときのファイルが後から書き換わることもあります11。自動更新は、claude-plugins-officialなどAnthropic公式のマーケットプレイスの多くで標準で有効、コミュニティやサードパーティのものでは標準で無効です10。フックの仕組みはClaude Code Hooks完全ガイドを参照してください。
見落としやすいのが、スキルのフロントマターにある allowed-tools です。スキルを呼んだターンの間、列挙したツールを確認なしで使えるようにする設定で、公式ドキュメントは「ワークスペースの信頼確認ではこの設定は止まらない」「リポジトリに含まれるスキルの allowed-tools は、そのリポジトリでClaude Codeを動かす前に確認すること」と注意しています3。もうひとつ、SKILL.mdの中に !`コマンド` と書くと、Claudeが本文を読む前にそのシェルコマンドが実行されます。組織で止めたい場合は、設定で disableSkillShellExecution を有効にできます3。
外の調査も同じ方向を指しています。Snykが2026年2月5日に公開した調査では、スキルの公開レジストリであるClawHubとskills.shから集めた3,984件のうち、36.82%（1,467件）に何らかのセキュリティ上の欠陥があり、13.4%（534件）は重大な問題を含み、76件で認証情報の窃取やバックドアの設置を狙う悪意のあるペイロードが確認されました2。skills.shは現在、Snykなど3つの機関による監査結果を一覧で公開しているので、入れる前に見ておくとよいでしょう4。
秘密情報の扱いにも気をつけてください。たとえば表のdeep-researchは、Gemini APIキーを環境変数で渡すか、スキルのフォルダに.envファイルを置く方式です12。後者を選ぶと、Claudeが読めるフォルダの中に鍵が置かれることになります。.envを読ませない設定はClaude Codeに.envを読ませない設定で、settings.jsonの書き方から具体的に解説しています。外部のAPIを呼ぶスキルは、プロンプトや読み込んだファイルの内容がその提供元に送られる、という点も忘れないでください。
入れる前の確認は、次の5項目で足ります。
| 確認項目 | 見るところ |
|---|---|
| 出所 | 公開元、ライセンス、最終更新日。公式やよく知られた組織か、個人なら活動の実績があるか |
| 中身 | SKILL.mdと付属のスクリプト、フック、.mcp.json をすべて読み、想定外の通信やファイルへのアクセスがないかを確認 |
| 権限 | allowed-tools の範囲、! で始まるコマンド、プラグインの bin/ やフックの有無 |
| 秘密情報 | .envや鍵をスキルのフォルダに置かず、.envの読み取りを設定で拒否 |
| 更新 | 自動更新の有無。サードパーティのものは、レビューしたコミットに固定するか手動で更新 |
ComposioHQのスキルのようにSKILL.md 1枚だけでできているものは、数分で全文を読めます。スクリプトやフックを含むものほど、読む時間を取ってください。ソフトウェアのサプライチェーン攻撃がAIツールを経路にし始めた経緯は、AIツールが感染経路になる時代で書いています。組織として使い方の型をそろえたい場合は、当社のAI人材育成プログラムWARPでも、AIツールを実務で使いこなすための実践的なカリキュラムを用意しています。
2026年2月の初版から変わったこと（当時と現在）
8か月で、スキルの世界はかなり姿を変えました。初版の内容と、2026年10月4日時点の事実を並べます。
| 項目 | 初版（2026年2月） | 現在（2026年10月4日時点） |
|---|---|---|
| anthropics/skillsのスター数 | 約7.1万 | 17万9,523 |
| 公式リポジトリのスキル数 | 16本 | 19本（claude-api、discernment-nudge、academy-guideが追加） |
| Claude Code同梱のスキル | 紹介なし | /code-review、/simplify、/batch、/verify など |
| カスタムコマンド | スキルとは別の機能 | スキルに統合（.claude/commands/ も引き続き動作） |
| 金融向けスキル | Enterprise向け、ウェイトリスト制として紹介 | 公開リポジトリ（Apache-2.0）からプラグインとして導入可能 |
| superpowers | /brainstorm、/write-plan などのコマンド |
v5.1.0（2026年4月）でコマンドを廃止。v6.4.2では15本のスキルが段階に応じて呼ばれる。公式マーケットプレイスから導入可能 |
| loki-mode | 37体のエージェントが連携するスキルとして紹介 | 独立したコマンドラインツールに変わり、ライセンスはBUSL-1.1。スキルの一覧から除外 |
| Scientific Thinking and Analysis | コミュニティのスキルとして紹介 | 公開元を確認できず除外（K-Denseのscientific-critical-thinkingが近い役割） |
| ComposioHQとtravisvnのまとめ | スター3.54万と7,200 | 7万6,425と1万5,254 |
| 安全面の公式の注意 | 記事で触れず | 公式が「信頼できる出所のみ」と明記。プラグインの信頼に関する専用ページも公開 |
loki-modeは、いまはGitHubのissueや仕様を渡すとプルリクエストまで作る自律型のコーディングツールとして配布されています13。Claude Codeのスキルという枠からは外れたため一覧から除きましたが、ツールとしての評価を下げたわけではありません。Scientific Thinking and Analysisは、初版で参照したまとめリポジトリのどちらにも見当たらず、公開元を特定できなかったため外しています。
数字で見ると、目立つのはエコシステムの広がりです。ComposioHQのまとめに含まれる外部サービス連携のスキルは833個（composio-skillsフォルダの数）あり14、skills.shのように複数のエージェントをまたぐ配布の仕組みも定着しました。選択肢が増えたぶん、「どれを入れるか」より「何を入れないか」を決める力のほうが問われるようになった、と感じています。
逆に、変わらなかったものもあります。中心にあるのが、名前と説明を書いたSKILL.md 1枚だという設計です。同梱スキルも、公式の文書系スキルも、金融向けのエージェントも、核になっているのはこの形のファイルです。だからこそ、中身を読めば何をするかが分かりますし、気に入らなければ自分で書き直せます。8か月で数が何倍になっても、この「読める、直せる」という性質だけは手放さないほうがいいと考えています。
まとめ
Claude Codeのスキルは、繰り返し打っている指示を一度だけ書いて残し、必要なときだけ読ませる仕組みです。2026年10月時点では、インストール不要の同梱スキルだけでもかなりのことができ、公式のskill-creatorを使えば自作スキルの品質まで測れます。一方で、スキルとプラグインは手元でコードを動かせる以上、入れる前に中身を読む手間は省けません。
明日からやることは3つで十分です。まず、同梱の /code-review と /verify を次の差分で試してみてください。次に、自分が毎週繰り返している作業を3つ書き出し、公式スキルで足りなければ自作します。そしてコミュニティ製を入れるときは、この記事の5項目で出所と権限を確かめましょう。組織での展開を考えているなら、Claude Codeを組織で使うための実務ガイドもあわせて読んでみてください。
この記事の一覧と状態は2026年10月4日時点のもので、スキルの世界は数か月で入れ替わります。気になったスキルがあれば、入れる前にリンク先のリポジトリで最終更新とライセンスをもう一度見てください。52個の一覧は、入れるためのカタログというより、自分の作業を見直すための目次として使ってもらえたらうれしいです。AIツールを実務で使いこなす人材を社内で育てたい方は、個別相談（30分のオンライン相談）もご利用いただけます。
参考文献
Footnotes
-
anthropics/skills（README、marketplace.json、スター数はGitHub APIで2026-10-04取得） — GitHub — https://github.com/anthropics/skills ↩ ↩2 ↩3
-
ToxicSkills: Malicious AI Agent Skills（3,984件の調査） — Snyk — 2026-02-05 — https://snyk.io/blog/toxicskills-malicious-ai-agent-skills-clawhub ↩ ↩2
-
Extend Claude with skills（スキルの仕組み、置き場所、同梱スキル、説明一覧の枠、allowed-tools、動的なコマンド実行、/skill-doctor） — Claude Code Docs — 2026-10-04閲覧 — https://code.claude.com/docs/en/skills ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 ↩13
-
skills.sh（運営、対応エージェント）と Security audits — Vercel — 2026-10-04閲覧 — https://skills.sh/ 、 https://skills.sh/audits ↩ ↩2
-
Agent Skills overview（段階的な読み込み、Security considerations） — Claude Platform Docs — 2026-10-04閲覧 — https://platform.claude.com/docs/en/agents-and-tools/agent-skills/overview ↩ ↩2
-
Commands reference（同梱スキルと組み込みコマンドの一覧） — Claude Code Docs — 2026-10-04閲覧 — https://code.claude.com/docs/en/commands ↩ ↩2 ↩3
-
anthropics/financial-services（README、2026-02-23作成、Apache-2.0） — GitHub — 2026-10-04閲覧 — https://github.com/anthropics/financial-services ↩ ↩2 ↩3
-
obra/superpowers（README、RELEASE-NOTES。v5.1.0は2026-04-30、v6.4.2は2026-09-25公開） — GitHub — 2026-10-04閲覧 — https://github.com/obra/superpowers ↩ ↩2
-
trailofbits/skills（README） — GitHub — 2026-10-04閲覧 — https://github.com/trailofbits/skills ↩
-
Discover and install plugins（公式マーケットプレイスの自動登録、自動更新の既定値） — Claude Code Docs — 2026-10-04閲覧 — https://code.claude.com/docs/en/discover-plugins ↩ ↩2
-
Plugin security and trust（プラグインができること、マーケットプレイスの区分） — Claude Code Docs — 2026-10-04閲覧 — https://code.claude.com/docs/en/plugins/security ↩
-
sanjay3290/ai-skills の deep-research（SKILL.md、.env.example） — GitHub — 2026-10-04閲覧 — https://github.com/sanjay3290/ai-skills/tree/main/skills/deep-research ↩
-
asklokesh/loki-mode（README、ライセンス） — GitHub — 2026-10-04閲覧 — https://github.com/asklokesh/loki-mode ↩
-
ComposioHQ/awesome-claude-skills（README、composio-skillsフォルダ） — GitHub — 2026-10-04閲覧 — https://github.com/ComposioHQ/awesome-claude-skills ↩
