使用量メーターをMinecraftのHUDに変える
クリエイターが作成したMinecraft風のカスタムディスプレイでは、ハートが7日間の制限を、空腹ゲージが5時間の制限を、アーマーがFableの使用量を、そしてXPバーがコンテキストウィンドウの消費量を視覚的に表示していました。これは外部APIのフックではなく、静的な数値を動的でパーソナライズされたインターフェースへと変貌させる深い統合によるものです。
Claude CodeのModは、Claude Codeのプロセス内で直接実行されるJavaScriptまたはTypeScriptのプラグインです。これらはCLIとデスクトップアプリの両方でシームレスに機能します。従来のフックとは異なり、Modはイベントの書き換え、カスタムUIの描画、さらには組み込み機能の置き換えさえ可能です。例えば、Claude自身の/diffコマンドも、コアModとして提供されています。
ワークフローは極めて効率的です。Minecraft HUDが欲しいという平易な英語のプロンプトを記述すると、Claude Codeが機能するModを生成し、約5分でセッションにホットリロードしました。この迅速な反復により、ありふれた使用状況レポートが、ゲームのようなレスポンシブなダッシュボードへと変わりました。
重要なのは、これらのModがClaude Codeの内部プロセスにアクセスできる点です。これにより、Minecraft HUDのModは、外部APIでは決して公開されない非公開エンドポイントからFableの使用データを取得できました。Modはユーザーとして認証されるため、公式のAPI制限を回避し、ソースから直接包括的な使用状況メトリクスを提供できるのです。
これらのプラグインは単なる見た目の変更以上のことができる
Modはフックとは根本的に異なります。フックは一般的にイベントに反応するだけですが、Modはイベントを傍受、書き換え、ブロックし、カスタムUIを直接レンダリングできます。この深い統合により、Modは組み込み機能を完全に置き換えることが可能です。
例えば、Claude Codeの/diffコマンド自体がModとして実装されています。これは、この拡張フレームワークの強力さを示しており、ユーザーは単にコアクライアントのロジックを拡張するだけでなく、置き換えることさえ可能です。このシステムは、ゼロからのカスタマイズを想定して設計されています。
ある遊び心のある実験では、偽のTwitchチャットModが作成されました。このModはClaude Code内でのコーディング活動を監視し、AIによるライブの「ロースト（辛口コメント）」を生成しました。これにより、通常は孤独な開発プロセスにユーモアと予期せぬソーシャルな側面が加わり、ワークフローが再構築されました。
ModはClaude Codeのメインプロセス内で実行されるため、内部の非公開エンドポイントにアクセスできます。例えば、Minecraft HUDのModは、内部APIから直接Fableの使用データを取得しました。このレベルのアクセス権は強力で詳細なカスタマイズを可能にしますが、同時に重大なセキュリティ上の懸念も生じさせます。
巧妙なショートカットには隠れた代償がある
巧妙なショートカットには隠れた代償が伴います。動画では、カスタムModが非公開エンドポイントを直接クエリすることで、セカンダリサービス層であるFableの使用状況を表示する方法が示されています。これはサポートされた統合ではなく、Claude Code内で実行されるModが、ホストプロセスの認証と内部APIへのアクセス権をそのまま継承したに過ぎません。
ここから核心的な懸念が浮かび上がります。Modは隔離されたサンドボックスではなく、Claude Codeのプロセス内で実行されます。ブラウザ拡張機能や厳格な権限を強制する他のプラグインアーキテクチャとは異なり、Claude CodeのModは親プロセスが持つすべての権限を継承できてしまうのです。
悪意のあるプラグインはこれを悪用する可能性があります。具体的には、以下のことが可能です：
- ローカルファイルの読み取り
- 環境変数のアクセス
- プロンプトやプロジェクトコードの傍受
- 任意のコマンドの実行
- 使用クォータの消費
サードパーティ製のModをインストールする際は、必ず事前に Claude plugin validate を使用して検証してください。基盤となるアーキテクチャの詳細については、Anthropic Claude Code GitHub Repository を確認してください。分離機能がないため、Modとして読み込むコードには実質的にルートアクセス権を与えることになり、重大なサプライチェーンリスクが生じます。
この記事が気に入ったら、毎朝同じようなものをメールで受け取れます。
1日1通 · 2クリックで解除 · サードパーティのトラッキングなし
すべてのModを、自分が書いたコードではないものとして扱ってください
すべてのModを、自分が書いたコードではないものとして扱ってください。プラグインをインストールする前に、そのソースと出所を確認してください。動画では claude plugin validate の実行が推奨されており、これは優れた習慣ですが、検証によって安全性が保証されるわけではありません。
ガードレールは不可欠です。信頼できないプラグインは避け、実験が必要な場合は、分離された環境または権限の低い環境を使用してください。可能な限りプロジェクトファイルにシークレット情報を置かないようにし、すべてのModが情報を外部に流出させる可能性があることを前提としてください。
Modはサンドボックス内ではなく、Claude Codeのプロセス内で実行されます。つまり、Modはファイルの読み取り、APIキーへのアクセス、プロンプトの閲覧、使用量の消費が可能です。Modの柔軟性により、プラグインの信頼性は重大な開発者セキュリティの判断事項となります。
よくある質問
Claude Code modsとは何ですか？
これらは、CLIおよびデスクトップアプリにおけるClaude Codeの動作やインターフェースをカスタマイズできるJavaScriptまたはTypeScriptのプラグインです。
Modとフック（hooks）の違いは何ですか？
フックは通常イベントに応答するものですが、Modはイベントの変更、UIのカスタマイズ、組み込み動作の置き換えも可能です。
Claude Code modsはサンドボックス化されていますか？
動画では、Modはサンドボックス化されておらず、ホストプロセスが持つファイル、認証情報、プロンプトへのアクセス権を継承する可能性があると警告しています。
Claude Codeのプラグインをチェックするにはどうすればよいですか？
claude plugin validate を実行し、特に不明なソースからのプラグインである場合は、インストール前にソースコードを確認してください。