Anthropic añade análisis continuo y seguimiento de correcciones a Claude Security

El 21 de octubre de 2026, Anthropic lanzó una versión actualizada de Claude Security en beta pública para los clientes de Claude Enterprise. La actualización incorpora análisis continuo que sigue los cambios en el código, seguimiento automático de correcciones, modelos de amenazas por proyecto y una nueva API. Como parte de una oferta de lanzamiento vigente hasta el 31 de diciembre de 2026, las organizaciones que cumplan los requisitos recibirán 25.000 $ en créditos de uso gratuitos al mes durante dos meses.

Anthropic afirmó que, desde que Claude Security entró en beta pública en abril de 2026, miles de organizaciones lo han utilizado para encontrar más de un millón de vulnerabilidades. La empresa señaló que el producto actualizado funciona con toda su familia de modelos, incluido Claude Mythos, sin necesidad de tener acceso al Programa de Verificación Cibernética.

Análisis continuo y configuración de repositorios

Los usuarios crean un proyecto, conectan repositorios a través de la aplicación de Claude para GitHub (incluido GitHub Enterprise Server) o mediante un token de acceso de GitLab y otros proveedores de Git, y eligen la rama y el alcance de cada repositorio. A continuación, Claude realiza un análisis de referencia exhaustivo, que puede tardar varios minutos u horas según el tamaño del repositorio. Después, analiza los cambios periódicamente en función de su riesgo y complejidad, para que la lista de hallazgos refleje de cerca el estado actual del código.

Según la documentación del Centro de ayuda de Claude, un proyecto puede incluir hasta ocho repositorios. Un repositorio puede estar dentro del alcance, lo que significa que Claude lo analiza e informa de los hallazgos, o utilizarse solo como contexto, es decir, Claude lo lee durante los análisis, pero no informa de hallazgos en él; ambos cuentan para el límite. Los proyectos con varios repositorios permiten a Claude detectar problemas que surgen entre servicios, como cuando un sistema de backend confía en datos de entrada que, en teoría, debía validar un cliente.

Después del análisis de referencia, no hay un calendario fijo para los análisis. El Centro de ayuda indica que estos son estocásticos por diseño: a diferencia de los analizadores estáticos tradicionales, que aplican patrones fijos, Claude Security utiliza un agente que adapta su análisis en cada ejecución, por lo que dos análisis del mismo código pueden arrojar resultados distintos.

Seguimiento de correcciones, bases de conocimiento y modelos de amenazas

Claude Security contrasta los hallazgos abiertos con el código que ha cambiado y los marca como corregidos cuando se incorpora la corrección, tanto si el equipo resolvió el problema en Claude Code como si lo hizo por separado. Si Claude vuelve a detectar más adelante un problema marcado como corregido, el hallazgo se reabre automáticamente. Los hallazgos descartados no vuelven a aparecer en análisis futuros. Los equipos pueden descartar un hallazgo porque sea un falso positivo, un riesgo aceptado, un duplicado u otro motivo, y añadir una nota de evaluación opcional.

Cada proyecto tiene una base de conocimiento en la que los equipos describen cómo se implementa su código, quién puede acceder a él y qué políticas de seguridad se aplican. Claude Security también genera un modelo de amenazas a partir del código, que los equipos pueden revisar y editar. Los análisis posteriores utilizan ese modelo para decidir qué señalar y cómo calificar la gravedad. El Centro de ayuda advierte que, como Claude redacta el modelo de amenazas a partir del código, puede pasar por alto el contexto de implementación; los equipos pueden corregirlo en el chat del proyecto.

Cada hallazgo incluye una calificación de gravedad, determinada en función del modelo de amenazas del proyecto, y una explicación de cómo podría un atacante llegar al código vulnerable; además, puede incluir un diagrama de la ruta de ataque. El Centro de ayuda define la gravedad Crítica como una vulnerabilidad explotable a través de la red por cualquier persona sin necesidad de iniciar sesión, que permite al atacante tanto leer como modificar datos; la gravedad Alta, como un impacto grave en el que el atacante necesita iniciar sesión o que actúe una víctima, o en el que el daño es parcial; la gravedad Media, como un impacto limitado que requiere una condición previa realista; y la gravedad Baja, como un impacto limitado que requiere condiciones especiales ajenas al control del atacante. Las categorías de hallazgos incluyen inyección, recorrido de rutas y SSRF, fallos de autenticación y control de acceso, seguridad de la memoria, criptografía, deserialización y problemas de protocolos y codificación, con identificadores CWE cuando corresponda. Todos los hallazgos pasan por una verificación de varias etapas, durante la cual Claude revisa críticamente sus propios hallazgos antes de mostrarlos; Anthropic afirma que este proceso reduce los falsos positivos.

API, conector MCP y controles de acceso

La nueva API permite a los usuarios listar y consultar proyectos y hallazgos, resolver o reabrir hallazgos, y crear y gestionar proyectos y sus repositorios. Los tokens de acceso personal creados en la configuración de Claude Security actúan en nombre del usuario y solo permiten ver y modificar aquello a lo que ese usuario tiene acceso. Además, los webhooks pueden enviar eventos de nuevos hallazgos a sistemas como Slack o Jira. Claude Security también está disponible como conector MCP en Claude.ai y Claude Code, de modo que un ingeniero puede consultar un hallazgo, preguntarle a Claude al respecto, iniciar la corrección y marcarlo como resuelto en la misma sesión.

Los nuevos controles de acceso basados en roles permiten a los administradores decidir quién puede crear proyectos y quién puede consultarlos, clasificarlos o gestionarlos. Los proyectos se pueden compartir con los roles de acceso total, clasificación o consulta, o con toda la organización.

El anuncio de Anthropic incluye declaraciones de clientes sobre la versión beta anterior y la actualización. Jake Meredith, del equipo de seguridad de productos de Gusto, dijo que Claude Security analizó el código de la empresa una vez para establecer una referencia y que ahora se mantiene al día a medida que el código cambia. Nathan Hunstad, director de seguridad de Vanta, dijo en el anuncio de Anthropic: «Claude Security encontró varios fallos lógicos que ninguna de nuestras otras herramientas había detectado. Cuando incorporamos nuestra propia política de riesgos al modelo de amenazas, centrándonos en aquello a lo que realmente pueden acceder los usuarios externos, los hallazgos coincidieron con nuestra forma de priorizar, en lugar de basarse únicamente en una puntuación de gravedad»

Requisitos, precios y oferta de lanzamiento

Para usar Claude Security se necesita un plan Claude Enterprise activo, una licencia premium para cada usuario y créditos de uso habilitados; un propietario debe activarlo en la configuración de la organización y los administradores determinan quién puede acceder. El producto se cobra únicamente al costo directo de los tokens, sin tarifas adicionales de plataforma, y las organizaciones pueden establecer un límite de gasto independiente y consultar los costos acumulados en lo que va del mes y por día para cada proyecto.

Según las condiciones de la oferta de lanzamiento, las organizaciones de Claude Enterprise que cumplan los requisitos, incluidas las que hayan adquirido el servicio a través de AWS Marketplace, reciben hasta 25.000 dólares en créditos promocionales en cada uno de dos meses consecutivos, sin necesidad de registrarse. Para las organizaciones que ya tienen Enterprise, la oferta comienza el 21 de octubre de 2026 y termina al final del día 31 de diciembre de 2026; los créditos no utilizados no se transfieren, se usan antes que el gasto comprometido y las organizaciones que se registren después del 1 de noviembre de 2026 no recibirán dos meses completos. La oferta se aplica solo a los proyectos creados con la nueva experiencia.

Los proyectos existentes siguen funcionando y sus propietarios pueden migrarlos mediante la opción «Migrar proyecto», que copia los hallazgos a un proyecto nuevo y archiva el original; no se copian los miembros, los webhooks, los directorios excluidos, el historial de análisis ni los análisis programados, y los proyectos de GitHub Enterprise no se pueden migrar.

Claude Security no admite la Retención Cero de Datos (ZDR), y Anthropic puede conservar datos cuando la ley lo exija o para abordar infracciones de las políticas de uso. La empresa remite a los usuarios que necesitan ZDR o modelos de terceros al complemento independiente Claude Security para Claude Code, que está en fase beta para todos los usuarios de Claude Code y utiliza los modelos disponibles en la cuenta de Claude Code del usuario; la página del producto indica que los análisis basados en modelos Claude Mythos solo están disponibles en la aplicación Claude Security de Claude.ai. Esa página también señala que todas las correcciones sugeridas requieren revisión y aprobación humanas, y Anthropic recomienda revisar las correcciones propuestas antes de aplicarlas, ya que Claude puede cometer errores.