2026/4/14AISecurityTips

gstackでClaude Codeが仮想開発チームに変わる【インストールから実践まで】

はじめに
gstackとは
前提条件
インストール
主要コマンド一覧
推奨ワークフロー
実践：開発中のプロジェクトでエンジニアリングレビュー
/careful — まず入れるべきスキル
Tips
まとめ

はじめに

Claude Codeを使っていて感じるのが、「企画も設計もレビューもテストも全部同じ人格がやっている」という問題。人間のチームなら、CEOが方向性を決めて、エンジニアが設計を詰めて、QAがバグを探す。役割が分かれているから品質が上がるのに、AIには全部同じ顔で働かせている。

gstackは、Y CombinatorのCEO Garry Tanが作ったClaude Code用のスキルパックで、この問題をまるごと解決してくれます。Claude Codeに28個のスラッシュコマンドを追加して、CEO・テックリード・QA・セキュリティ・リリースエンジニアなどの「専門家チーム」に変えてしまう。

実際に開発中のプロジェクトのエンジニアリングレビューで試したところ、P0（Critical）のセキュリティ問題を2件発見してくれました。これは普通に助かる。

gstackとは

gstackはClaude CodeのSkills機能を使ったスキルパックです。開発ライフサイクルの各フェーズに特化した「認知モード」を持っていて、スラッシュコマンドでモードを切り替えます。

Garry Tan本人が60日間で60万行のコードを生産した実績があり、GitHubで公開から48時間でStars 10,000を突破しています。MITライセンスで完全無料。

前提条件

Claude Code がインストール済みであること
Git が使えること
Bun v1.0以上（/browseスキルのビルドに必要）

インストール

1. Bunのインストール（未導入の場合）

$ curl -fsSL https://bun.sh/install | bash
$ exec /bin/zsh   # シェルを再起動してPATHを読み込み
$ bun --version
1.3.11

2. gstackのインストール

$ git clone --single-branch --depth 1 https://github.com/garrytan/gstack.git ~/.claude/skills/gstack
$ cd ~/.claude/skills/gstack && ./setup

セットアップ中にいくつか質問されます。

コマンドの命名 — 「Short names」を選択。/qa、/shipのように短いコマンド名になります。他のスキルパックと併用している場合は「Namespaced」（/gstack-qa等）を選んでください。

セットアップが完了すると、32個のスキルが登録されて使えるようになります。

3. 削除したい場合

$ rm -rf ~/.claude/skills/gstack

フォルダごと消すだけです。

主要コマンド一覧

28個以上ありますが、実際によく使うのはこのあたりです。

企画・設計フェーズ

コマンド	役割	やること
`/office-hours`	CEO	アイデアを6つの質問で構造化する。YCのオフィスアワーのような壁打ち
`/plan-ceo-review`	CEO	スコープを拡大/縮小/維持で判断する
`/plan-eng-review`	テックリード	技術設計レビュー。データモデル、API設計、エッジケース
`/plan-design-review`	デザイナー	UI/UXの視点でレビュー

実装・レビューフェーズ

コマンド	役割	やること
`/review`	スタッフエンジニア	コードレビュー。フォーマット等は自動修正、深い問題は指摘
`/qa`	QAリード	実Chromiumブラウザでテスト実行
`/cso`	セキュリティオフィサー	OWASP Top 10 + STRIDE脅威モデリング
`/investigate`	デバッガー	バグの根本原因を調査（自動で関連ディレクトリをfreeze）

リリースフェーズ

コマンド	役割	やること
`/ship`	リリースエンジニア	テストフレームワークのブートストラップ→テスト実行→カバレッジ監査→デプロイ
`/land-and-deploy`	リリースエンジニア	PRのマージとデプロイ
`/document-release`	ドキュメントエンジニア	README、ARCHITECTURE、CHANGELOG等を自動更新
`/retro`	EM	週次振り返り。人別の貢献分析、テスト健全性トレンド

安全ガードレール

コマンド	効果
`/careful`	`rm -rf`、`DROP TABLE`、force-push等の破壊的コマンドの前に警告
`/freeze`	指定ディレクトリ以外の編集をロック
`/guard`	`/careful` + `/freeze` 両方ON
`/unfreeze`	ロック解除

ブラウザ・その他

コマンド	役割
`/browse`	実Chromiumブラウザを操作。スクリーンショット付き
`/setup-browser-cookies`	Chrome/Arc/Brave/Edgeからクッキーをインポート
`/learn`	セッション間で学んだことを管理
`/autoplan`	自然言語から自動でプランを生成

推奨ワークフロー

Garry Tanの推奨は、1つの機能を以下の8ステップで作るフローです。

/office-hours — アイデアを練る。6つの質問で要件を構造化
/plan-ceo-review — スコープ決定。作るもの/作らないものを明確に
/plan-eng-review — 技術設計。データモデル、API、エッジケース
実装 — 普通にClaude Codeでコーディング
/review — コードレビュー。自動修正+深い問題の指摘
/qa — ブラウザテスト
/ship — テスト+デプロイ
/retro — 振り返り

全フェーズでAIの「人格」が変わるため、同じプロジェクトを多角的な視点でチェックできる。ここがgstackの設計思想の核です。

実践：開発中のプロジェクトでエンジニアリングレビュー

実際に開発中のプロジェクトで/plan-eng-reviewを実行してみました。

セットアップ時の質問

初回実行時やレビュー中にいくつかの設定や質問を聞かれます。

プロアクティブ提案 — 作業中に適切なスキルを自動提案してくれる機能。「これ動く？」と言えば/qaを、バグに当たれば/investigateを提案してくれます。有効にするのがおすすめ。

ルーティング追加 — プロジェクトのCLAUDE.mdにスキルルーティングルールを追加する設定。約15行の追加で、Claude Codeが直接回答する代わりに専用ワークフローを使うようになります。

クロスプロジェクト学習 — 他のプロジェクトからの学習も検索対象に含める設定。ソロ開発なら有効推奨。複数クライアントのコードベースを扱う場合はOFF。

レビュー結果

STATUS: DONE_WITH_CONCERNS
- 18件の問題 を発見 (P0: 2, P1: 5, P2: 11)
- Critical Gap 2件:
  1. .envシークレット漏洩リスク
  2. ベクトル検索SQLインジェクションリスク
- テストカバレッジ: 0%

P0が2件見つかったのが大きい。

1つ目の.env漏洩リスクは把握済みで対応予定でしたが、2つ目のSQLインジェクションリスク（embedding値のfloat検証なしでSQLに渡している箇所）は開発段階では気づきにくい問題で、これを事前に発見できたのは実際に助かりました。

人間のレビューでも見落としがちなセキュリティ問題を、コマンド一発で洗い出せるのはgstackの明確な価値です。

`/careful` — まず入れるべきスキル

gstackの中で最もシンプルかつ即効性があるのが/carefulです。

> /careful

Safety mode is now active.
Destructive command guardrails are enabled for this session.

これだけで、rm -rf、DROP TABLE、git push --force、git reset --hard等の破壊的コマンドを実行する前に警告が出るようになります。Claude Codeに--dangerously-skip-permissionsで全許可している場合は特に入れておくべきです。

Tips

日本語で出力させたい場合

グローバルCLAUDE.mdに設定するのが確実です。

$ echo "- 回答は必ず日本語で行ってください" >> ~/.claude/CLAUDE.md

セッション限りなら#で一時ルールを追加できます。

#日本語で回答してください

グローバル vs プロジェクトごとのインストール

個人開発ならグローバルインストール（~/.claude/skills/gstack）で十分。/carefulや/reviewはどのプロジェクトでも使うので。

チーム開発でgitにコミットして全員に共有したい場合はプロジェクトごとにコピーします。

$ cp -Rf ~/.claude/skills/gstack .claude/skills/gstack
$ rm -rf .claude/skills/gstack/.git
$ cd .claude/skills/gstack && ./setup

スキルが見つからない場合

$ cd ~/.claude/skills/gstack && ./setup

アップグレード

/gstack-upgrade

または~/.gstack/config.yamlでauto_upgrade: trueを設定すると自動更新されます。

まとめ

gstackは「Claude Codeを専門家チームに変える」という発想がシンプルで強力です。

実際に使ってみて特に価値を感じたのは以下の3点です。

セキュリティレビューが自動化できる — SQLインジェクションのような開発段階では見落としがちな問題を発見してくれた
/carefulで事故防止 — 破壊的コマンドの前に警告が出るだけで安心感が全然違う
開発フェーズごとに思考モードが切り替わる — 企画と実装とレビューで別の視点が入るのは人間のチーム開発に近い

インストールは30秒、削除はrm -rf一発。これは試さない理由がありません。
今回は開発中のプロジェクトで試したが、次は/office-hoursでアイデアを練るところから試してみたいと思います。