Anthropic føjer løbende scanning og sporing af rettelser til Claude Security

Anthropic lancerede 21. oktober 2026 en opdateret version af Claude Security i offentlig betaversion for Claude Enterprise-kunder. Opdateringen tilføjer løbende scanning, der følger kodeændringer, automatisk sporing af rettelser, trusselsmodeller for hvert projekt og et nyt API. Berettigede organisationer får 25.000 USD i gratis forbrugskreditter om måneden i to måneder som led i et lanceringstilbud, der gælder til og med 31. december 2026.

Anthropic oplyste, at tusindvis af organisationer har brugt Claude Security til at finde over en million sårbarheder, siden tjenesten kom i offentlig betaversion i april 2026. Virksomheden oplyste, at det opdaterede produkt drives af hele modellfamilien, herunder Claude Mythos, uden krav om adgang til Cyber Verification Program.

Løbende scanning og opsætning af repositories

Brugerne opretter et projekt, tilslutter repositories via Claude-appen til GitHub (herunder GitHub Enterprise Server) eller med et adgangstoken fra GitLab og andre Git-udbydere og vælger en gren og et omfang for hvert repository. Claude gennemfører derefter en grundig indledende scanning, som kan tage flere minutter eller timer afhængigt af repositoryets størrelse. Herefter scanner Claude regelmæssigt ændringer ud fra deres risiko og kompleksitet, så listen over fund afspejler kodens aktuelle tilstand så tæt som muligt.

Ifølge dokumentationen i Claude Help Center kan et projekt indeholde op til otte repositories. Et repository kan være omfattet af scanningen, hvilket betyder, at Claude scanner det og rapporterer fund, eller kun bruges som kontekst, hvilket betyder, at Claude læser det under scanninger, men ikke rapporterer fund i det. Begge dele tæller med i grænsen. Projekter med flere repositories gør det muligt for Claude at finde problemer, der opstår mellem tjenester, f.eks. når en backend har tillid til input, som en klient skulle have valideret.

Der er ingen fast tidsplan for scanningerne efter den indledende scanning. Help Center oplyser, at scanningerne bevidst er stokastiske: I modsætning til traditionelle statiske analysatorer, der anvender faste mønstermatchninger, bruger Claude Security en agent, som tilpasser sin analyse til hver kørsel. Derfor kan to scanninger af den samme kode give forskellige resultater.

Sporing af rettelser, vidensbaser og trusselsmodeller

Claude Security sammenholder åbne fund med den ændrede kode og markerer dem som rettet, når rettelsen er implementeret, uanset om teamet løste problemet i Claude Code eller på anden vis. Et fund, der er markeret som rettet, genåbnes automatisk, hvis Claude senere finder problemet igen. Afviste fund dukker ikke op igen i fremtidige scanninger. Teams kan afvise et fund, fordi det er en falsk positiv, en accepteret risiko, en dublet eller af en anden årsag, og de kan tilføje en valgfri triagenote.

Hvert projekt har en vidensbase, hvor teams beskriver, hvordan deres kode implementeres, hvem der har adgang til den, og hvilke sikkerhedspolitikker der gælder. Claude Security genererer også en trusselsmodel ud fra koden, som teams kan gennemgå og redigere. Efterfølgende scanninger bruger trusselsmodellen til at afgøre, hvad der skal fremhæves, og hvordan alvorlighedsgraden skal vurderes. Help Center bemærker, at Claude udarbejder trusselsmodellen ud fra koden, så den kan mangle oplysninger om implementeringsmiljøet. Teams kan rette den i projektets chat.

Hvert fund har en alvorlighedsgrad, der vurderes i forhold til projektets trusselsmodel, samt en forklaring på, hvordan en angriber kan få adgang til den sårbare kode. Fund kan også indeholde et diagram over angrebsvejen. Help Center definerer alvorlighedsgraden Kritisk som en sårbarhed, der kan udnyttes over netværket af hvem som helst uden login, så angriberen både kan læse og ændre data; Høj som en alvorlig påvirkning, hvor angriberen skal være logget ind eller have et offer til at handle, eller hvor skaden er begrænset; Middel som en begrænset påvirkning med én realistisk forudsætning; og Lav som en begrænset påvirkning, der kræver særlige forhold uden for angriberens kontrol. Fundkategorier omfatter injektion, sti-traversering og SSRF, fejl i godkendelse og adgangskontrol, hukommelsessikkerhed, kryptografi, deserialisering samt problemer med protokoller og kodning, med CWE-id’er, hvor det er relevant. Hvert fund gennemgår verifikation i flere trin, hvor Claude kritisk gennemgår sine egne fund, inden de vises. Anthropic oplyser, at denne proces fører til færre falske positiver.

API, MCP-forbindelse og adgangskontroller

Det nye API giver brugerne mulighed for at få vist og læse projekter og fund, løse eller genåbne fund samt oprette og administrere projekter og deres repositories. Personlige adgangstokens, der oprettes i indstillingerne for Claude Security, fungerer på vegne af brugeren og giver kun adgang til at se og ændre det, som brugeren selv har adgang til. Webhooks kan sende hændelser om nye fund til systemer som Slack eller Jira. Claude Security kan også bruges som en MCP-forbindelse i Claude.ai og Claude Code, så en tekniker kan hente et fund frem, spørge Claude om det, påbegynde en rettelse og markere fundet som løst i samme session.

Nye rollebaserede adgangskontroller giver administratorer mulighed for at bestemme, hvem der kan oprette projekter, og hvem der kan se, triagere eller administrere dem. Projekter kan deles med rollerne Fuld adgang, Triage eller Visning eller med hele organisationen.

Anthropics meddelelse indeholder udtalelser fra kunder om den tidligere betaversion og opdateringen. Jake Meredith fra Gusto’s produktsikkerhedsteam sagde, at Claude Security én gang gennemgik virksomhedens kode for at etablere et udgangspunkt, og at værktøjet nu følger med, efterhånden som koden ændrer sig. Nathan Hunstad, sikkerhedsdirektør hos Vanta, sagde i Anthropics meddelelse: “Claude Security fandt en række logiske fejl, som ingen af vores andre værktøjer havde opdaget. Da vi indarbejdede vores egen risikopolitik i trusselsmodellen med fokus på, hvad eksterne brugere rent faktisk kan tilgå, stemte resultaterne overens med vores prioriteringer i stedet for kun at afspejle en alvorlighedsscore”

Krav, priser og lanceringstilbud

For at bruge Claude Security kræves et aktivt Claude Enterprise-abonnement, en premiumlicens til hver bruger og aktiverede forbrugskreditter. En ejer aktiverer tjenesten i organisationens indstillinger, og administratorer bestemmer, hvem der kan få adgang. Produktet faktureres udelukkende til den direkte tokenpris uden yderligere platformgebyr, og organisationer kan fastsætte en separat forbrugsgrænse og se omkostningerne pr. projekt for den aktuelle måned til dato og pr. dag.

I henhold til vilkårene for lanceringstilbuddet modtager berettigede Claude Enterprise-organisationer, herunder organisationer, der har købt abonnementet via AWS Marketplace, op til $25,000 i kampagnekreditter i hver af to på hinanden følgende måneder uden at skulle tilmelde sig. For eksisterende Enterprise-organisationer begynder tilbuddet den 21. oktober 2026 og slutter ved dagens udgang den 31. december 2026. Ubrugte kreditter overføres ikke, kreditterne bruges før det aftalte forbrug, og organisationer, der tilmelder sig efter den 1. november 2026, får ikke to hele måneder. Tilbuddet gælder kun projekter, der oprettes med den nye oplevelse.

Eksisterende projekter fortsætter med at køre, og ejere kan migrere dem via indstillingen “Migrér projekt”, som kopierer resultaterne til et nyt projekt og arkiverer det oprindelige. Medlemmer, webhooks, udelukkede mapper, scanningshistorik og planlagte scanninger kopieres ikke, og GitHub Enterprise-projekter kan ikke migreres.

Claude Security understøtter ikke nul dataopbevaring (ZDR), og Anthropic kan opbevare data, hvis det kræves ved lov eller for at håndtere overtrædelser af brugspolitikken. Virksomheden henviser brugere med krav om ZDR eller behov for tredjepartsmodeller til det separate Claude Security-plugin til Claude Code, som er i beta for alle Claude Code-brugere og benytter de modeller, der er tilgængelige på brugerens Claude Code-konto. På produktsiden står der, at scanninger, der drives af Claude Mythos-modeller, kun er tilgængelige i Claude Security-appen på Claude.ai. Siden oplyser også, at alle foreslåede programrettelser skal gennemgås og godkendes af et menneske, og Anthropic anbefaler, at brugerne gennemgår foreslåede programrettelser, før de anvender dem, fordi Claude kan begå fejl.