Claude Code Modsとは？プラグインで作る拡張の使い方と、個人情報を伏せるmodの実測

Claude Code Modsとは？hooks・skills・MCPとの違い

Claude Code Modsは、Claude Codeの中で動くJavaScript・TypeScriptの関数で、ツールの実行やプロンプトの送信、画面の描画といった「イベント」に割り込み、見る・書き換える・代わりに答えるができる仕組みです。2026年10月1日に発表され、CLIはv2.1.287以降、デスクトップアプリのCodeタブはv2.1.286以降で既定で有効になっています。

Anthropicの発表ブログは、modを「Claude Codeの動き方を変える小さなTypeScriptの関数」と説明しています。modはプラグインの一種として配布され、自分で書くことも、Claude Codeに書かせることもできます。v2.1.287のリリースノートには「Added Claude Mods: plugins may now modify deeper behavior」と1行で記されています。告知した@ClaudeDevsのXポストは2026年10月6日時点で表示430万・ブックマーク1.3万に達し、Claude Code責任者のBoris Cherny氏も「Mods are absolutely insane（modsは本当にすごい）」と投稿しました。

開発チームのThariq Shihipar氏はポッドキャストで、社内では当初この機能を「function hooks」と呼んでいたと明かし、既存のhooksとの違いを次のように説明しています。

「（modsでは）UIを変更できます。これはhooksでは決してできなかったことです」

"and then you can modify the UI which you can never do in in hooks."

Thariq Shihipar（Anthropic・Claude Codeエンジニア）— Latent Space「The Future of Claude Code: Mods, Mutable Software, & Multiplayer Agents」42:21

既存の拡張手段との違いは、公式ドキュメントの比較表を日本語に整理すると次のとおりです。settings hooks（設定ファイルに書く従来のhooks）やskillsが「Claude Codeの外から」スクリプトや指示を差し込むのに対し、modはClaude Codeのプロセスの中で動くため、画面も描けます。

なお、settings hooksは廃止されません。組織管理のドキュメントは「Nothing about them is deprecated」と明記しており、modsと並んで動き続けます。

Modsで何ができる？公式サンプルと海外の実例

Modsでできることは、①画面に帯やパネルを足す・既存の表示を描き換える、②ツール呼び出しを止める・書き換える・結果を差し替える、③独自の /コマンドを足す、④ターンやトークン使用量を追う、の4つに大別できます。公式サンプルと海外クリエイターの作例は、いずれもこの組み合わせです。

modの関数は、どのイベントでも同じ3つの値（$＝Claude Codeを操作するAPI、e＝イベントの中身、next＝後続の処理へ渡す関数）を受け取ります。公式動画で実演したLydia Hallie氏は、この構造をWebアプリのミドルウェアにたとえています。

「Expressを使ったことがあれば、これはClaude Codeに組み込まれたミドルウェアそのものです」

"If you've ever used Express, that's pretty much just middleware built into Claude Code."

Lydia Hallie（Anthropic・Claude Code DevRel）— Claude公式「Mods in Claude Code: change how Claude Code works」1:05

Anthropic公式チャンネルの紹介動画（3分21秒、2026年10月5日公開）。メールアドレスを画面上で隠すmodを作る実演があります。

Anthropicが公開しているmodと、海外で反響の大きかった作例を表にまとめます。再生数は2026年10月6日の取得値です。

どこでmodが効くかにも注意が必要です。公式ドキュメントによると、ターミナルのCLIとデスクトップアプリでは処理も表示も動きますが、VS Code拡張のチャット欄や非対話モード（claude -p）、Agent SDKでは処理だけが動き、画面には何も描かれません。デスクトップアプリのWSLセッションでは、プラグイン自体が使えないため動きません。

Modsの作り方は？Claudeに頼む方法と自分で書く方法

Modsの作り方は2通りあります。Claude Codeのセッションで「入力欄の上に今のgitブランチを表示するmodを作って」のように頼む方法と、3つのファイルを自分で書く方法です。どちらもNode.jsやビルドの準備は不要で、Claude Codeが .js と .ts を直接読み込みます。

Claudeに頼む場合

頼むと、Claudeは組み込みのplugin-authoringスキルを使ってmodを書きます。保存先は ~/.claude/dev-mods/ の下のセッションIDごとのフォルダで、最初のファイルの保存時に「このセッションでホットリロードを有効にするか」を確認されます。有効にすると、そのターンの終わりに読み込まれ、以後の修正もターンごとに反映されます。

注意点が1つあります。公式ドキュメントによると、Claudeが書いたmodは作ったセッションでしか読み込まれず、そのフォルダは設定 cleanupPeriodDays（既定30日）を過ぎると削除されます。気に入ったmodは自分のフォルダへコピーし、次の方法で読み込みます。

自分で書く場合（3ファイル）

modはプラグインと同じ構成で、hooks/hooks.json に "modules" という項目を1つ足したものがmodになります。

pii-shield/
├── .claude-plugin/
│   └── plugin.json      … 名前・バージョン・説明
├── hooks/
│   ├── hooks.json       … { "modules": ["./register.js"] }
│   └── register.js      … modの本体（イベントごとの関数）
└── tests/
    └── pii-shield.test.ts … 任意。claude plugin test で実行

書いたら、次の3つのコマンドで「読み込む・中身を確かめる・テストする」を回します。mod向けの解析とテストはv2.1.287以降で使えます。

# このセッションだけ読み込む（保存すると自動で再読み込み）
claude --plugin-dir ./pii-shield

# どのイベントを受け取り、どんな操作をするかを、実行せずに一覧する
claude plugin validate ./pii-shield

# tests/ の *.test.ts を実行する（セッション・ログイン・通信は不要）
cd pii-shield && claude plugin test

関数の書き方は3パターンだけ覚えれば足ります。next(e) をそのまま返すと「見るだけ」、中身を変えたコピーを next に渡すと「書き換え」、next を呼ばずに自分の答えを返すと「代わりに答える」（例：コマンドを実行させずに拒否する）になります。

【実測】個人情報をClaudeに渡す前に伏せるmodは機能するか？

当研究所で、ファイルの読み取り・コマンド・検索の結果からマイナンバー・メールアドレス・電話番号を伏字にしてからClaudeに渡すmodを作り、架空の顧客台帳で試しました。読み取りと集計では伏字が狙いどおり働きましたが、編集を頼むと作業が遠回りになり、Claude自身の調査コマンドで生の値が1回すり抜けました。

公式ブログは、modでできることの1つに「ツールの出力から秘密情報を、Claudeが読む前に伏せる（Redact secrets from tool output before Claude reads it）」ことを挙げています。士業事務所なら、顧客台帳を読ませて集計や書類作成をさせたいが、マイナンバーまでAIに送りたくない、という場面に当たります。

検証の条件

modの本体は次の約40行です。Read（ファイル読み取り）・Bash（コマンド）・Grep（検索）の結果を受け取ったあと、文字列の中を正規表現で伏字に置き換え、置き換えた結果だけをClaudeに返します。伏字の処理自体が失敗したときに生の出力が素通りしないよう、.catch で「失敗したら出力を渡さない」を指定しています。

// 伏せる対象と置き換える文字（上から順に当てる）
const RULES = [
  [/(?<!\d)\d{4}[- ]?\d{4}[- ]?\d{4}(?!\d)/g, '[マイナンバー伏字]'],
  [/[\w.+-]+@[\w-]+(?:\.[\w-]+)+/g, '[メール伏字]'],
  [/(?<!\d)0\d{1,4}-\d{1,4}-\d{3,4}(?!\d)/g, '[電話番号伏字]'],
]

// 文字列・配列・オブジェクトをたどって伏字にし、置き換えた件数を数える
function mask(value, counter) {
  if (typeof value === 'string') {
    let s = value
    for (const [re, label] of RULES) s = s.replace(re, () => { counter.n += 1; return label })
    return s
  }
  if (Array.isArray(value)) return value.map((v) => mask(v, counter))
  if (value && typeof value === 'object') {
    return Object.fromEntries(Object.entries(value).map(([k, v]) => [k, mask(v, counter)]))
  }
  return value
}

// ツールを実行させ、その結果をClaudeが読む前に書き換える
async function shield($, e, next) {
  const r = await next(e)
  if (r.deny || r.isError) return r
  const counter = { n: 0 }
  const masked = mask(r.result, counter)
  if (counter.n === 0) return r
  $.ui.log('pii-shield: ' + counter.n + ' 件を伏せてから Claude に渡しました')
  return { result: masked }
}

export function register(on) {
  // 伏字の処理が失敗・時間切れになったら、生の出力を渡さずに止める
  on('tool.call', { tool: ['Read', 'Bash', 'Grep'] }, shield).catch(async () => {
    return { deny: '個人情報の伏字処理に失敗したため、このツールの出力は渡しません。' }
  })
}

claude plugin validate にかけると、このmodが受け取るイベントと使う操作が一覧されます。最初は .catch を付けずに書いたところ「gating hook without .catch」（止める役割の関数に失敗時の扱いがない）と表示されたため、上のように直しました。ダミーのツール結果を流す自動テスト2件も通りました（約1秒）。

$ claude plugin validate ./pii-shield
  ❯ ./register.js hooks: tool.call{tool=Read|Bash|Grep}
  ❯ ./register.js gating hook with .catch: tool.call{tool=Read|Bash|Grep}
  ❯ ./register.js calls: $.ui.log
✔ Validation passed

$ claude plugin test
(pass) マイナンバー・メール・電話番号を伏せて渡す
(pass) 該当がなければ結果をそのまま返す
 2 pass
 0 fail

読み取りと集計：伏字のまま正しく合計できた

「顧客台帳.csv を読み、全行をそのまま書き写してから、顧問料の合計を答えて」と頼み、mod なし・ありで比べました。modありでは、Claudeが書き写した内容の時点でマイナンバー・メール・電話がすべて伏字になっており、Claude自身も「ファイルの時点で伏字になっています」と受け取っていました。顧問料の列は伏せていないので、合計110,000円はどちらも正しく出ました。

編集：遠回りになり、調査コマンドで生の値がすり抜けた

次に「山田太郎さんの顧問料を35000に変更して」と頼みました。最終的なファイルはどちらも正しく、変わったのは1行の顧問料だけでした。ただしmodありでは、ターン数が6から8に、所要時間が13.9秒から20.3秒に増えました。

記録を追うと理由が分かりました。Claudeは伏字の見えた行をもとに「[電話番号伏字],33000」を置き換えようとしましたが、実際のファイルにその文字列はないため、編集ツールが「String to replace not found」で失敗しました。原因を調べるためにClaudeが次に実行したのが、1文字ずつ空白で区切って表示するコマンド（od -c）です。

$ sed -n 2p 顧客台帳.csv | od -c | head -20
0000000   山  **  **  田  **  **  太  **  **  郎  **  **   ,   1   2   3
0000020    4       5   6   7   8       9   0   1   2   ,   y   a   m   a
0000040    d   a   .   t   a   r   o   @   e   x   a   m   p   l   e   .
0000060    c   o   m   ,   0   9   0   -   1   2   3   4   -   5   6   7
0000100    8   ,   3   3   0   0   0  \n

数字や文字の間に空白が入るため、「12桁の数字」「@を含む文字列」という正規表現に当たらず、ダミーのマイナンバー・メールアドレス・電話番号が3つともそのままClaudeに渡りました。Claudeに隠すつもりはなく、編集の失敗を調べる普通の手順です。その後、sedでの一括置換は権限の確認で止まり、Claudeは置き換え範囲を「,33000」だけに絞って編集を成功させました。

権限設定の deny ルールの書き方は、Claude Codeの権限設定ガードレールで詳しく解説しています。

画面で隠すこととClaudeに渡さないことは何が違う？

modで個人情報を「隠す」方法は2種類あり、守れる範囲がまったく違います。画面の描画（ui.render）で隠すと、見た目は伏字になりますが、Claudeとモデルには生のデータが渡ります。Claudeに渡さないためには、前の節のようにツールの結果（tool.call）を書き換える必要があります。

公式動画でLydia Hallie氏が作ったのは前者のmodで、録画中に画面へメールアドレスを映さないためのものです。同氏は、隠したあとでもClaudeが本物のアドレスでメールを書けることを示し、その理由をこう説明しています。

「描画のmodは画面に表示されるものしか変えません。だからモデルは、私が変えた版を一度も見ていません」

"a mod on render only changes what shows up on screen. So the model never saw my version."

Lydia Hallie（Anthropic・Claude Code DevRel）— Claude公式「Mods in Claude Code」2:57（字幕の「a model render」は文脈から「a mod on render」と判断）

用途ごとに、どの層を使うべきかを整理します。

表示系modの例：顧客フォルダの取り違えを防ぐ帯

表示系のmodは、情報を守るより「間違いを防ぐ」用途で力を発揮します。当研究所では、作業中のフォルダ名（＝顧客名）とコンテキストの使用率を入力欄の上に常に出すmodを作りました。顧客ごとにフォルダを分けている事務所で、別の顧客のフォルダで指示を出してしまう事故を減らす狙いです。

export function register(on) {
  // 入力欄の上の帯に、作業中のフォルダ名（＝顧客名）とコンテキストの使用率を出す
  on('ui.render', { component: 'AbovePrompt' }, async ($, e, next) => {
    // アンケートなど Claude Code 自身が帯を使っているときは譲る
    if (e.props.hasSurvey) return next(e)
    const cwd = await $.session.cwd()
    const folder = cwd.split('/').filter(Boolean).pop()
    const { context } = await $.session.usage()
    const { Box, Text } = $.ui.resolve(e)
    return Box({
      paddingX: 1,
      gap: 2,
      children: [
        Text({ color: 'yellow', bold: true, children: '作業中の顧客フォルダ: ' + folder }),
        Text({ dimColor: true, children: 'コンテキスト使用率 ' + (context.percent ?? 0) + '%' }),
      ],
    })
  })

  // 1回答えるたびに帯を描き直して、使用率を更新する
  on('turn.complete', async ($, e, next) => {
    $.ui.invalidate('ui.render')
    return next(e)
  })
}

「株式会社サンプル商事」というフォルダで起動し、1回だけ指示を出したときのターミナルの表示が次です（v2.1.291、幅110文字の端末で取り込み）。起動直後は使用率0%、1ターン後は5%に更新されました。

❯ このフォルダに何があるか ls で確認して、一言で教えて
  Listed 1 directory
⏺ このフォルダ(株式会社サンプル商事)は空っぽで、ファイルもサブフォルダもありません。
✻ Worked for 8s
 作業中の顧客フォルダ: 株式会社サンプル商事  コンテキスト使用率 5%
────────────────────────────────────────────
❯ 

この程度のmodなら、Claudeに「作業中のフォルダ名を入力欄の上に大きく出すmodを作って」と頼めば数分で作れます。帯の表示はターミナルとデスクトップアプリのみで、VS Code拡張のチャット欄には出ない点に注意してください。

Modsを入れる前に確認すべきことは？事務所・法人の安全設定

modはサンドボックスで隔離されておらず、入れた人と同じ権限でファイルの読み書き・プログラムの起動・通信ができます。他人のmodを入れる前には claude plugin validate で使う操作を確かめ、組織で使うなら管理設定で「会社が配ったmod以外は読み込まない」を選べます。

modが届く範囲

公式ドキュメントは、読み込まれたmodができることとして次を挙げています。

• ユーザーと同じ権限で、ファイルの読み書き・プログラムの起動・ネットワーク通信をする
• 環境変数や設定ファイルに置いたAPIキーなどを読む
• 送ったプロンプトとClaudeのツール呼び出しをすべて見る・書き換える
• 承認の確認が出る前に、ツール呼び出しを許可してしまう
• 契約プランやAPIキーでモデルを呼び、利用枠を使う

公式動画では「modは独自のサンドボックスで動く」という言い方も出てきますが、ドキュメントは「Mods aren't sandboxed」と明記しています。動画の意味は「modが外に触れるのは $ の操作経由だけ」ということで、その $ を通せばユーザーと同じことができます。sandbox設定を有効にしても隔離されるのはClaudeが実行するBashだけで、modが起動したプロセスは対象外です。

入れる前に validate で「何を使うか」を見る

他人が公開しているプラグイン（mod）を入れる前の確認には、claude plugin validate が使えます。modのコードは静的に解析され、claude plugin validate の calls: 行に、使う操作がすべて並びます。公開されている4つのmodを当研究所で調べた結果が次です。

特に注意して見る操作は、$.fs.write（どこにでも書ける）、$.process.run / spawn（プログラムを起動）、$.http.fetch（外部と通信）、$.env.get と $.settings.read（APIキーを読める）、$.model.complete（利用枠を使う）、$.prompt.submit（ユーザーの発言として送れる）です。hooks: 行に tool.check があれば、承認の確認が出る前に許可・拒否を決めるmodです。

費用面では、プロンプトやシステムプロンプトに文字を足すmodにも注意が要ります。公式ドキュメントは、リクエストごとに変わる文字を足すとプロンプトキャッシュが効かなくなると書いています。先のポッドキャストでも、聞き手が「問い合わせごとにモデルを振り分けるmodを作ったら、プランをすぐ使い切りそうだ」と懸念し、Thariq氏は、キャッシュを壊さない振り分けmodを誰かが作って共有すればよく、Claudeがキャッシュの注意点を理解して警告できるようにしたいと答えています（37:45〜）。

止め方と、組織での管理設定

個人で問題が起きたときは、/plugin の Installed タブで該当のmodを無効にするか、claude --safe-mode で起動すると、入れたmodをすべて止められます（ほかのカスタマイズも止まります）。常に止めたい場合は ~/.claude/settings.json に "disableAllHooks": true を書きます（この場合は自作のsettings hooksやステータスラインも止まります）。

組織では、Team・Enterpriseプランでログインしているか、管理設定（managed settings）が配られたPCで、組み込みのガードmod（sec-default）が最初に読み込まれます。このガードがある環境では、ユーザーが入れたmodは deny ルールで拒否された操作を許可できず、管理設定の PreToolUse フックの拒否も覆せません。ただし $.fs.read のようなmod自身の操作は deny ルールの対象外です。社員が自分で入れたmodを一切読み込ませない場合は、管理設定に次を書きます。

{
  "pluginConfigs": {
    "cc-plugin-sec-default@builtin": {
      "options": {
        "allowManagedModsOnly": true
      }
    }
  },
  "disableSideloadFlags": true
}

allowManagedModsOnly を true にすると、ユーザーが入れたmod、--plugin-dir で読み込んだmod、セッション中にClaudeが書いたmodは読み込まれず、会社が配ったmodと組み込みmodだけが動きます。settings hooksやステータスラインはそのまま使えます。disableSideloadFlags は --plugin-dir などの起動オプションを拒否する設定です。いずれもユーザー側の設定ファイルでは上書きできません（公式ドキュメント「Manage mods for your organization」）。

Claude Code全体のセキュリティ設定はClaude Codeの必須セキュリティ設定8選、Claude Codeそのものの基本はClaude Codeとは（入門ガイド）にまとめています。

まとめ