結論：競合ではなく、深さとタイミングが違う
コミット前の軽い確認はCopilot /security-review、文脈依存の深い監査はClaude Security、継続的で再現性のある検査はCodeQLが担当します。どれか1つへ置き換えるより、変更前・PR前・CIの3段階に配置すると取りこぼしを減らせます。
対象範囲と出力の違い
| 比較 | Claude Security | Copilot /security-review | CodeQL |
|---|---|---|---|
| 主な対象 | リポジトリ全体、ブランチ・PR差分、コミット | 現在のローカル変更 | リポジトリ全体のコードフロー |
| 方式 | 脅威モデルを含むマルチエージェント探索 | 単発のAIセキュリティレビュー | クエリに基づく静的解析 |
| 実行時期 | 必要時の深い監査 | コミット前 | push、PR、定期解析 |
| 修正支援 | 独立検証したパッチ候補。自動適用なし | 指摘と修正案 | アラート、対応機能との連携 |
| 再現性 | 非決定的。再実行で差が出る | AI出力のため変動し得る | 同じクエリとコードなら比較的再現しやすい |
| 得意領域 | 複数ファイル、認証、業務ロジック | 今書いた差分の早期確認 | データフロー、既知パターン、CIゲート |
実務では3段階に分ける
- 変更中：小さな差分ごとにテストし、Copilot
/security-reviewなどで早期確認します。 - PR前：認証、権限、入力処理など高リスク領域へClaude Securityを実行し、独立検証済みの候補を得ます。
- CI：CodeQL、依存関係検査、Secret scanningを必須チェックとして実行します。
- 人間レビュー：悪用条件、影響範囲、修正による回帰を確認します。
- 修正後：テスト、静的解析、必要ならAI再スキャンを行います。
Claude Securityは深い分、利用量と時間を使う
Claude Security各スキャンがClaudeプランの利用枠を消費。対象範囲と相対コストを確認してから開始します。
/security-review作業中の差分へ単発実行。全体監査ではありません。
CodeQLCIへ組み込みやすく、ルールと履歴に基づく継続的な判定に向きます。
Claude Securityの結果には対象コミットと検証範囲が記録されますが、同じ入力でも同じ指摘になる保証はありません。比較可能な基準としてCodeQLを残し、AI監査は文脈探索の追加レイヤーとして扱います。
選び方
| 状況 | 優先する機能 |
|---|---|
| コミット前に今の変更だけ確認したい | Copilot /security-review |
| 古いコードや複数ファイルにまたがる認証経路を調べたい | Claude Security |
| PRごとに一定基準を必ず通したい | CodeQL / code scanning |
| 依存ライブラリや漏えいキーを確認したい | Dependabot、Secret scanningなどの専用機能 |
| 重要な修正パッチを適用したい | AI提案に加え、人間レビューとテストを必須化 |
AIレビューが0件でも安全証明にはなりません。専用スキャナーが0件でも業務ロジックの欠陥は残り得ます。異なる方式を重ねることに意味があります。