Anthropic přidává do Claude Security průběžné skenování a sledování oprav

Anthropic 21. října 2026 vydal aktualizovanou verzi Claude Security ve veřejné beta verzi pro zákazníky Claude Enterprise. Nově nabízí průběžné skenování, které sleduje změny kódu, automatické sledování oprav, modely hrozeb pro jednotlivé projekty a nové API. Způsobilé organizace získají v rámci zaváděcí nabídky, která platí do 31. prosince 2026, kredity na využívání v hodnotě 25 000 USD měsíčně po dobu dvou měsíců.

Anthropic uvedl, že od spuštění veřejné beta verze Claude Security v dubnu 2026 jej k vyhledání více než milionu zranitelností využily tisíce organizací. Podle společnosti je aktualizovaný produkt založen na celé její řadě modelů, včetně Claude Mythos, a nevyžaduje přístup do programu ověřování kybernetické bezpečnosti.

Průběžné skenování a nastavení repozitářů

Uživatelé vytvoří projekt, připojí repozitáře prostřednictvím aplikace Claude pro GitHub (včetně GitHub Enterprise Server) nebo pomocí přístupového tokenu z GitLabu či jiných poskytovatelů Gitu a pro každý repozitář vyberou větev a rozsah skenování. Claude poté provede důkladné úvodní skenování, které může podle velikosti repozitáře trvat několik minut až hodin. Následně pravidelně skenuje změny podle jejich rizikovosti a složitosti, aby seznam zjištění co nejvíce odpovídal aktuálnímu stavu kódu.

Podle dokumentace v centru nápovědy Claude může projekt obsahovat až osm repozitářů. Repozitář může být zahrnutý do rozsahu skenování, což znamená, že jej Claude skenuje a hlásí zjištění, nebo může sloužit pouze jako kontext. V takovém případě jej Claude při skenování čte, ale nehlásí v něm žádná zjištění. Do limitu se započítávají oba typy. Projekty s více repozitáři umožňují Claudovi odhalovat problémy na rozhraní mezi službami, například když backend důvěřuje vstupu, který měl ověřit klient.

Po úvodním skenování neexistuje pevně stanovený harmonogram dalších skenů. Centrum nápovědy uvádí, že skenování je záměrně stochastické: na rozdíl od tradičních statických analyzátorů, které používají pevně dané shody se vzory, Claude Security využívá agenta, který přizpůsobuje analýzu každému běhu. Dvě skenování stejného kódu proto mohou přinést odlišné výsledky.

Sledování oprav, znalostní báze a modely hrozeb

Claude Security porovnává otevřená zjištění se změněným kódem a označí je jako opravená, jakmile se oprava projeví, ať už tým problém vyřešil v Claude Code, nebo jiným postupem. Pokud Claude později tentýž problém znovu najde, zjištění označené jako opravené se automaticky znovu otevře. Odmítnutá zjištění se při dalších skenováních znovu neobjevují. Týmy mohou zjištění odmítnout jako falešně pozitivní, přijatelné riziko, duplicitu nebo z jiného důvodu a případně přidat poznámku k posouzení.

Každý projekt má znalostní bázi, v níž týmy popisují, jak se jejich kód nasazuje, kdo k němu má přístup a které bezpečnostní zásady se na něj vztahují. Claude Security také na základě kódu vytvoří model hrozeb, který mohou týmy zkontrolovat a upravit. Následná skenování tento model využívají k rozhodování o tom, na co upozornit a jak závažnost ohodnotit. Centrum nápovědy upozorňuje, že protože Claude vytváří model hrozeb z kódu, může mu uniknout kontext nasazení. Týmy to mohou napravit v chatu daného projektu.

Každé zjištění obsahuje hodnocení závažnosti posouzené vzhledem k modelu hrozeb projektu a vysvětlení, jak by útočník mohl získat přístup ke zranitelnému kódu. Zjištění může také obsahovat diagram cesty útoku. Centrum nápovědy definuje závažnost Critical jako zranitelnost zneužitelnou přes síť kýmkoli bez přihlášení, která útočníkovi umožňuje data číst i měnit; High jako závažný dopad, při němž útočník potřebuje přihlašovací údaje nebo součinnost oběti, případně je škoda částečná; Medium jako omezený dopad s jednou realistickou podmínkou, která musí být splněna; a Low jako omezený dopad vyžadující zvláštní podmínky mimo kontrolu útočníka. Kategorie zjištění zahrnují injekci, průchod cestou k souboru a SSRF, chyby ověřování totožnosti a řízení přístupu, bezpečnost paměti, kryptografii, deserializaci a problémy s protokoly a kódováním. V příslušných případech jsou uvedena také ID CWE. Každé zjištění prochází vícestupňovým ověřováním, při němž Claude své nálezy kriticky přezkoumává, než se zobrazí. Anthropic uvádí, že tento postup vede k menšímu počtu falešně pozitivních výsledků.

API, konektor MCP a řízení přístupu

Nové API umožňuje uživatelům zobrazovat seznamy projektů a zjištění, číst jejich podrobnosti, označovat zjištění jako vyřešená nebo je znovu otevírat a vytvářet a spravovat projekty i jejich repozitáře. Osobní přístupové tokeny vytvořené v nastavení Claude Security jednají jménem uživatele a umožňují zobrazovat a měnit pouze to, k čemu má daný uživatel přístup. Webhooky mohou odesílat události o nových zjištěních do systémů, jako jsou Slack nebo Jira. Claude Security je k dispozici také jako konektor MCP v Claude.ai a Claude Code, takže technik může zobrazit zjištění, zeptat se na něj Clauda, zahájit opravu a označit zjištění jako vyřešené v rámci jedné relace.

Nové řízení přístupu na základě rolí umožňuje správcům určit, kdo může vytvářet projekty a kdo je může zobrazovat, třídit nebo spravovat. Projekty lze sdílet s rolemi Plný přístup, Třídění nebo Zobrazení, případně s celou organizací.

Oznámení společnosti Anthropic obsahuje vyjádření zákazníků k dřívější beta verzi a aktualizaci. Jake Meredith z týmu produktové bezpečnosti společnosti Gusto uvedl, že Claude Security jednou zkontroloval kód společnosti, aby stanovil výchozí stav, a nyní drží krok s jeho změnami. Nathan Hunstad, ředitel bezpečnosti ve společnosti Vanta, v oznámení společnosti Anthropic uvedl: „Claude Security odhalil řadu logických chyb, které žádný z našich ostatních nástrojů nezachytil. Když jsme do modelu hrozeb zapracovali vlastní zásady řízení rizik a zaměřili se na to, k čemu mají externí uživatelé skutečně přístup, odpovídaly výsledky našim prioritám, místo aby vycházely pouze ze skóre závažnosti“

Požadavky, ceny a nabídka při spuštění

Používání Claude Security vyžaduje aktivní tarif Claude Enterprise, prémiovou licenci pro každého uživatele a aktivované kredity na využívání; vlastník tuto funkci zapne v nastavení organizace a správci určí, kdo k ní bude mít přístup. Za produkt se účtují pouze přímé náklady na tokeny, bez dalších poplatků za platformu, a organizace mohou nastavit samostatný limit útraty a zobrazit náklady od začátku měsíce i náklady za jednotlivé dny pro každý projekt.

Podle podmínek nabídky při spuštění získají způsobilé organizace s tarifem Claude Enterprise, včetně těch, které si jej pořídily prostřednictvím AWS Marketplace, propagační kredity až do výše 25 000 USD v každém ze dvou po sobě jdoucích měsíců, aniž by se musely registrovat. U stávajících organizací s tarifem Enterprise nabídka začíná 21. října 2026 a končí na konci dne 31. prosince 2026; nevyužité kredity se nepřevádějí do dalšího období, kredity se čerpají před sjednanými výdaji a organizace, které se zaregistrují po 1. listopadu 2026, nezískají celé dva měsíce. Nabídka se vztahuje pouze na projekty vytvořené v novém prostředí.

Stávající projekty budou nadále fungovat a jejich vlastníci je mohou přesunout pomocí možnosti „Migrovat projekt“, která zkopíruje zjištění do nového projektu a původní projekt archivuje; členové, webhooky, vyloučené adresáře, historie skenování ani naplánovaná skenování se nepřenesou a projekty GitHub Enterprise nelze migrovat.

Claude Security nepodporuje režim Zero Data Retention (ZDR) a společnost Anthropic může uchovávat data, pokud to vyžaduje zákon nebo je to nutné k řešení porušení zásad používání. Uživatelům, kteří potřebují režim ZDR nebo modely třetích stran, společnost doporučuje samostatný doplněk Claude Security pro Claude Code, který je v beta verzi dostupný všem uživatelům Claude Code a využívá modely dostupné v jejich účtu Claude Code; na stránce produktu se uvádí, že skenování využívající modely Claude Mythos je dostupné pouze v aplikaci Claude Security na Claude.ai. Stránka také upozorňuje, že každý navržený patch vyžaduje kontrolu a schválení člověkem, a společnost Anthropic uživatelům doporučuje navržené patche před použitím zkontrolovat, protože Claude může dělat chyby.