← 入れ方のページへ戻る

細かい説明

1. 載せている話 (18 件)
2. 入れ方のしくみ・手で入れる (くわしい人向け)
3. チェックの時に動く物 (くわしい人向け)
4. 自分で版 (バージョン) を見る
5. この一覧の版・更新のしかた
6. この一覧について (範囲・使う時の注意・通信とプライバシー)

載せている話

入れ方のしくみ・手で入れる (自分で確かめたい人へ)

入れる行は、はなパパの投稿にだけ置いています (最初はオープンチャットで配っています。ほかの場所で配る時も同じ行です)。このページには載せていません。このページの置き場が乗っ取られても、偽の行を貼らないためです。入れる行は、はなパパ本人の投稿からだけもらってください。

入れ方のしくみ: Claude Code・Codex が公式に持っている「プラグイン」の入れ方を使います。投稿の 2 行は、はなパパの置き場 (GitHub) を登録する行と、そこから pc-update-check を入れる行です。Claude Code は /plugin marketplace add と /plugin install、Codex は codex plugin marketplace add と codex plugin add です。入れる時は人が貼るだけで、AI は何も打ちません (2026-10-24 に Windows の Claude Code 2.1.310 と Codex 0.164.0 で、作り手の PC の中の置き場で確かめました)。置き場の版 (タグ) は投稿に書きます。Codex は、タグを付け替えられても変わらないよう、長い英数字 (40 字) で固定して入れます。Claude Code はタグ指定で、付け替えは 2 段階認証・タグの保護で起きにくくするだけです。

更新: Claude Code は、第三者の置き場の自動更新が初めからオフです (公式の説明)。Codex の自動の更新は、起動後 35 秒の範囲では見ませんでした (確かめられていません)。新しい版が出たら投稿でお知らせするので、その時に案内した手順で入れ替えます。

Codex の人のチェック: 作り手が試した Codex の設定では、守りのために通信が止まりました (ほかの設定は確かめていません)。そのため Codex の中で「ソフト更新チェックして」と言うと、読む許可や実行の許可を何度も聞かれます (作り手の試しでは、最後まで答えていません)。通信が止まるため、最後まで進めても判定できないことがあります。チェックは、投稿の「チェック用の 1 行」を自分の端末に貼って動かします。その 1 行は、入った場所 (~/.codex/plugins/cache/…/pc-update-check/<版>/skills/pc-update-check/scripts/check.mjs) のうち、一番新しい版のフォルダを自分で選び、そのチェックを、NODE_OPTIONS・NODE_PATH を外して Node で動かすだけです (版が上がっても同じ行です)。Windows の PowerShell で、報告が出るところまで確かめました。Mac は試していません (Codex の置き場の既定が ~/.codex なのは公式の説明で確かめましたが、入った場所の並びは Windows でしか見ていません)。

直せない弱さ: 最初に信用するのは、はなパパ本人の投稿です。投稿そのものや、置き場の GitHub のアカウントが乗っ取られた時は、気づけません。2 段階認証・タグの保護は、起きにくくするだけで、守れる保証ではありません。入った場所のファイルが書き換えられても、この手順では見つけられません (自分だけが使う PC でも、同じユーザーで動く別のプログラムが書き換えることはありえます)。公式 (Anthropic・OpenAI) が安全を確かめた物でもありません。

チェックのプログラムは Node (プログラムを動かす土台) で動きます。Claude Code の人で Node が無い PC では、AI が版を表にするだけになります。Codex の人が端末で動かす 1 行は、この端末で node が使えないと、エラーが出て、チェック結果は出ません (その時は未チェックです・「AI の道具が無い人」の 3 つへ)。

手で入れる (zip)

プラグインの入れ方がうまくいかない人のために、zip でも配っています。入れる物は「スキル」(Claude Code・Codex に足して使う、説明書と小さなプログラムのフォルダ) で、zip にまとめてあります。

• zip: pc-update-check-1.0.5.zip
• 署名: pc-update-check-1.0.5.zip.sig / 確かめに使う鍵: allowed_signers
• sha256: 494087b32edcc2adeebc5d4f91284b0051e2200ffd2233703d100fd8cd6f13f9 (pc-update-check-1.0.5.zip.sha256)

1. 入れる前に、zip の署名を確かめます。 投稿の「手で入れる人」からコピーした命令 (下の物と同じ) で、出力に出る SHA256:… (鍵の指紋) が、このページの下の「本物の印 (署名の鍵の指紋)」と、はなパパの投稿の「手で入れる人」の値の鍵の指紋の両方と同じか見比べます。zip の SHA256 も、同じ「手で入れる人用の値」と見比べます。違えば入れないでください。
2. zip を展開してできた pc-update-check のフォルダを、次の 2 か所に置きます: ~/.claude/skills/ (Claude Code) と ~/.agents/skills/ (Codex)。同じ物を両方に置いて構いません。
3. Claude Code は、開き直して「ソフト更新チェックして」と話しかけます。Codex の人は、作り手が試した設定では通信が止まったので、Codex の中でなく自分の端末で、投稿の「手で入れる人」の「手で入れた後のチェックの命令」を動かします。

Mac は試していません (Mac の実機が無いため)。うまく調べられない時は「調べられなかった物」として出るので、下の「スキルを使わずに、自分で版を見る」を使ってください。

入れる前に、署名を確かめる

手で入れる時の命令も、このページだけを頼りにしないでください。 このページの置き場が乗っ取られると、下の命令そのものも差し替えられるおそれがあります。打つ命令は、はなパパ本人の投稿の「手で入れる人」からコピーしてください。打った後の値の一致だけでは、命令に足された処理は防げません。値は、投稿の物と比べるために使います。

先にこのページの命令を打たないでください。 このページが乗っ取られていると、ここの命令に別の処理が足されていても、打った後の値の一致では防げません。次の命令は、はなパパの投稿の「手で入れる人」にも同じ物が載っています。投稿の「手で入れる人」の命令をコピーして使い、このページの物は読む用にしてください。手で入れた後のチェックの命令も、投稿の「手で入れる人」にあります。zip の展開と置き方は、フォルダを手で動かすだけで済み、命令は要りません。このページにある端末の命令は、準備・展開・不具合対処を含め、投稿の「手で入れる人」に無い物は実行しないでください。

zip・.sig・allowed_signers の 3 つを同じフォルダに保存して、そのフォルダで投稿の「手で入れる人」からコピーした次の命令 (ここの物と同じ) を打ちます (ssh-keygen は Windows 10 以降と Mac に標準で入っています)。「Good "sec-kit" signature」と出なければ (エラー・使い方の表示が出たら)、入れないでください (確かめを飛ばさない)。

Mac:

/usr/bin/ssh-keygen -Y verify -f allowed_signers -I sec-kit@hanapapa -n sec-kit -s pc-update-check-1.0.5.zip.sig < pc-update-check-1.0.5.zip
/usr/bin/shasum -a 256 pc-update-check-1.0.5.zip

Windows (PowerShell):

C:\Windows\System32\cmd.exe /d /c "C:\Windows\System32\OpenSSH\ssh-keygen.exe -Y verify -f allowed_signers -I sec-kit@hanapapa -n sec-kit -s pc-update-check-1.0.5.zip.sig < pc-update-check-1.0.5.zip"
C:\Windows\System32\certutil.exe -hashfile pc-update-check-1.0.5.zip SHA256

「Good "sec-kit" signature … SHA256:…」と出れば署名は合っています。2 行目の sha256 が上の欄の値と同じことも見ます。

指紋と zip の SHA256 は、はなパパの投稿の「手で入れる人」の値とも見比べます。 このページの置き場が乗っ取られると、zip と鍵とこのページの値が一緒に差し替えられるおそれがあります。投稿は別の場所なので、そこと同じなら、はなパパが出した物と同じです。

署名が合うのは「はなパパが出した物と同じ」という意味で、中身の安全の保証ではありません。中身は文字のファイル (SKILL.md・scripts/check.mjs など) なので、入れる前に読めます。動かすには Node (18 以上) が要ります。無い時は、版を表にするだけの手動の道になります。

チェックの時に動く物 (くわしい人向け)

チェックの本体は、入った場所の scripts/check.mjs を Node で動かす、決まった 1 つの命令です。

• Claude Code: 「ソフト更新チェックして」と言うと、AI が下の bash の形 1 つだけを動かします。スキルの許可 (allowed-tools) に * 無しで書いてあるので、聞かれずに動きます (その 1 回の手番だけ)。ほかの命令は、ふつうどおり聞かれます。作り手の試し (2026-10-24・Windows の Claude Code 2.1.310・プラグインで入れた後) では、聞かれたのは「pc-update-check を使ってよいか」の 1 回でした。聞かれる回数は設定で変わります。
• Codex: 上のとおり、チェックは自分の端末で動かします。Codex にやらせると、読む許可や実行の許可を何度も聞かれます (作り手の試しでは、最後まで答えていません)。通信が止まって判定できないこともあります。その問いには答えず、自分の端末で動かしてください。

bash の形:

env -u NODE_OPTIONS -u NODE_PATH node "置いた場所/pc-update-check/scripts/check.mjs"

PowerShell の形:

$env:NODE_OPTIONS=$null; $env:NODE_PATH=$null; node "置いた場所/pc-update-check/scripts/check.mjs"

• 前の NODE_OPTIONS・NODE_PATH を外す所は、チェックを正しく動かすための準備です (この 2 つが付いたままだと、チェックは判定せずに止まります)。
• Claude Code で聞かれるのは、「Use skill …?」の 1 回だけのはずです。それ以外の命令を聞かれたら、このページの見本を根拠にせず、「いいえ」にして、はなパパの投稿で確かめてください (このページが書き換えられていても、投稿は別の場所です)。

スキルを使わずに、自分で版を見る (1 分)

AI の道具を入れていない人、スキルが動かない人は、ここで版を見て、上の「直った版」と見比べます。

• Windows: 設定 → Windows Update → 更新の履歴 / winver
• Mac: システム設定 → 一般 → 情報 / ソフトウェアアップデート
• Chrome: 右上の ︙ → ヘルプ → Google Chrome について
• Edge: 右上の … → ヘルプとフィードバック → Microsoft Edge について
• Claude Code: claude --version / Codex: codex --version
• Node.js: node --version / Python: python --version (Mac は python3 --version)
• Ollama: ollama --version
• WordPress: 管理画面 → ダッシュボード → 更新

この一覧の版と、署名の鍵

版

2026-10-24.2

公式の発表と照らした日

2026-10-24

有効期限

2026-11-07

更新のしかた

新しい弱点が出たら一覧に足して、投稿で知らせます

本物の印 (署名の鍵の指紋)

SHA256:CoKntGMgDGUUH34SYFRq+u/U85XtD9sgBpuzhkG9HL0

自分で見比べる時の相手は、はなパパの投稿の「手で入れる人」の値です。 このページの印とだけ見比べても、ページの置き場の乗っ取りは見抜けません (乗っ取られると、ここの印も一緒に差し替えられるため)。投稿を確かめられない時は、入れないでください。

この一覧について

• 範囲: パソコンの中を全部調べる物ではありません。ウイルスも探しません。対象は、この一覧に載っているソフトの版だけです。AI のチェックが版を見に行くのは、そのうち自分の PC の OS に関係する物だけです (MCP の SDK と Java は聞くだけ)。
• 誰が: はなパパが個人で、無料で出しています (最初はオープンチャットで配っています)。質問は、受け取った場所で、はなパパへ。
• どう確かめているか: 各メーカーか公的機関 (セキュリティの窓口など) の公式の発表で確かめた話だけを載せます。噂・SNS だけの話は載せません。
• 限界: 載っていない = 安全、ではありません。 載せているのは、公式の修正か回避策がある話だけです。チェックは、署名が合い、有効期限の内の一覧と比べます。いちばん新しい一覧であることまでは保証しません (期限の内の古い一覧に戻されても、見分けられないことがあります)。
• 使う時の注意: 一覧は、はなパパ自身が出典を確かめながら作りましたが、間違いや遅れがあるかもしれません。当てはまるかどうかは人によって違うので、更新だけでなく、使うのをやめる・より安全な方法に替えることも含めて、最後はご自身で判断してください。
• チェックの限界 (版の読み方): 決まった場所が 2 つ以上ある時 (ユーザー用と全員用の VS Code など) は、見つかった版のうち一番古い方で判定します。macOS は、Apple が発表した 15 と 26 の系統だけ直った版と比べ、それ以外の系統 (14 以前・27 以降) は「調べられなかった」と出ます (この一覧に、14 以前の直った版が載っていないため)。Claude のアプリ (Mac) の勧告は 1.1.3918 以上が対象ですが、チェックは下限を見ないので、それより古い版にも「更新」と出ます。
• 更新は必ず公式の手順で行ってください。うまくいかない時は、各メーカーの公式のサポートへ。
• 製品の名前: 載せている製品の会社や団体 (Google・Microsoft・Apple・Anthropic・OpenAI など) とは関係ありません。名前は、対象のソフトを示すためだけに使っています。
• 通信とプライバシー:スキルのプログラムが外と通信するのは、データと署名の 2 つを取りに行く時だけで、結果を送る通信はしません。ただし、結果の文 (手元のソフトの版を含みます) は、いつもの AI との会話と同じく、あなたが使っている AI の会社のサーバーに送られます。データを取りに行く時、置き場 (Cloudflare) に通常のアクセスの記録が残ることがあります。Codex の人が自分の端末でチェックを動かした時は、結果はその端末に出るだけです (会話に貼れば、その AI の会社に届きます)。入れる時は、Claude Code・Codex が、はなパパの置き場 (GitHub) へ入れる物を取りに行きます (このページの置き場ではありません)。「更新して」で更新を実行する時は、その更新の通信が出ます。このページにアクセス解析は入れていません。