Anthropic lisää Claude Securityyn jatkuvan skannauksen ja korjausten seurannan

Anthropic julkaisi 21. lokakuuta 2026 Claude Securityn päivitetyn version julkisena beetaversiona Claude Enterprise -asiakkaille. Päivitys tuo mukanaan jatkuvan skannauksen, joka seuraa koodiin tehtäviä muutoksia, automaattisen korjausten seurannan, projektikohtaiset uhkamallit sekä uuden API-rajapinnan. Julkaisutarjouksen perusteella ehdot täyttävät organisaatiot saavat 25 000 dollarin arvosta maksuttomia käyttöhyvityksiä kuukaudessa kahden kuukauden ajan. Tarjous on voimassa 31. joulukuuta 2026 asti.

Anthropicin mukaan tuhannet organisaatiot ovat käyttäneet Claude Securityä sen jälkeen, kun palvelu siirtyi julkiseen beetavaiheeseen huhtikuussa 2026, ja löytäneet sen avulla yli miljoona haavoittuvuutta. Yhtiön mukaan päivitetty tuote hyödyntää sen koko malliperhettä, mukaan lukien Claude Mythos, eikä Cyber Verification Program -ohjelmaan tarvitse päästä mukaan.

Jatkuva skannaus ja tietovarastojen käyttöönotto

Käyttäjät luovat projektin, yhdistävät siihen tietovarastoja Claude GitHub -sovelluksen kautta (myös GitHub Enterprise Serveriä voi käyttää) tai GitLabista ja muista Git-palveluntarjoajista saadulla käyttöoikeustunnisteella sekä valitsevat kullekin tietovarastolle haaran ja laajuuden. Claude suorittaa ensin perusteellisen lähtötasoskannauksen, joka voi kestää tietovaraston koosta riippuen useita minuutteja tai tunteja. Sen jälkeen se skannaa muutoksia säännöllisesti niiden riskin ja monimutkaisuuden perusteella, jotta löydösluettelo vastaa mahdollisimman hyvin koodin ajantasaista tilaa.

Claude Help Centerin ohjeiden mukaan yhteen projektiin voi liittää enintään kahdeksan tietovarastoa. Tietovarasto voidaan sisällyttää skannauksen piiriin, jolloin Claude skannaa sen ja ilmoittaa löydöksistä, tai sitä voidaan käyttää vain taustatietona, jolloin Claude lukee sitä skannausten aikana mutta ei ilmoita siitä löydöksistä. Molemmat vaihtoehdot lasketaan mukaan enimmäismäärään. Usean tietovaraston projektien avulla Claude voi havaita palveluiden välisiä ongelmia, kuten tilanteen, jossa taustajärjestelmä luottaa syötteeseen, jonka asiakkaan olisi pitänyt tarkistaa.

Lähtötasoskannauksen jälkeen skannauksille ei ole kiinteää aikataulua. Ohjekeskuksen mukaan skannaukset ovat tarkoituksella luonteeltaan stokastisia: toisin kuin perinteiset staattiset analysaattorit, jotka soveltavat kiinteitä malliosumia, Claude Security käyttää agenttia, joka mukauttaa analyysinsä kullakin suorituskerralla. Siksi kaksi samaan koodiin kohdistuvaa skannausta voi tuottaa erilaisia tuloksia.

Korjausten seuranta, tietämyskannat ja uhkamallit

Claude Security vertaa avoimia löydöksiä muuttuneeseen koodiin ja merkitsee ne korjatuiksi, kun korjaus on tehty. Tämä pätee riippumatta siitä, korjasiko tiimi ongelman Claude Codessa vai erillisessä prosessissa. Korjatuksi merkitty löydös avautuu automaattisesti uudelleen, jos Claude havaitsee ongelman myöhemmin uudestaan. Hylätyt löydökset eivät tule vastaan tulevissa skannauksissa. Tiimit voivat hylätä löydöksen vääränä positiivisena, hyväksyttynä riskinä, kaksoiskappaleena tai muusta syystä ja lisätä halutessaan käsittelyä koskevan huomautuksen.

Jokaisella projektilla on tietämyskanta, johon tiimit kuvaavat, miten niiden koodi otetaan käyttöön, ketkä pääsevät siihen käsiksi ja mitä tietoturvakäytäntöjä siihen sovelletaan. Claude Security luo koodin perusteella myös uhkamallin, jota tiimit voivat tarkastella ja muokata. Myöhemmissä skannauksissa uhkamallia käytetään sen määrittämiseen, mistä ilmoitetaan ja miten löydösten vakavuus arvioidaan. Ohjekeskuksen mukaan Claude muodostaa uhkamallin koodista, joten siltä voi jäädä huomaamatta käyttöönottoon liittyvää kontekstia. Tiimit voivat korjata mallia projektin keskustelussa.

Jokaiselle löydökselle annetaan projektin uhkamalliin perustuva vakavuusarvio sekä selitys siitä, miten hyökkääjä voisi päästä käsiksi haavoittuvaan koodiin. Löydökseen voi sisältyä myös hyökkäyspolkua havainnollistava kaavio. Ohjekeskuksen määritelmän mukaan kriittisen vakavuustason haavoittuvuutta voi hyödyntää verkon kautta kuka tahansa ilman kirjautumista, ja hyökkääjä voi sekä lukea että muuttaa tietoja. Korkea vakavuus tarkoittaa vakavaa vaikutusta, kun hyökkääjä tarvitsee kirjautumisen tai uhrin toimia tai kun vahinko on osittainen. Keskitasoinen vakavuus tarkoittaa rajallista vaikutusta, johon liittyy yksi realistinen ennakkoehto. Matala vakavuus tarkoittaa rajallista vaikutusta, joka edellyttää erityisiä hyökkääjän vaikutusmahdollisuuksien ulkopuolella olevia olosuhteita. Löydösluokkia ovat injektiot, polun läpikävely ja SSRF, todennukseen ja käyttöoikeuksiin liittyvät puutteet, muistiturvallisuus, kryptografia, sarjallistamisen purku sekä protokolla- ja koodausongelmat. Soveltuvissa tapauksissa mukana ovat CWE-tunnisteet. Jokainen löydös käy läpi monivaiheisen varmennuksen, jossa Claude arvioi löydöksensä kriittisesti ennen niiden esittämistä. Anthropicin mukaan tämä vähentää vääriä positiivisia tuloksia.

API, MCP-liitin ja käyttöoikeuksien hallinta

Uuden API-rajapinnan avulla käyttäjät voivat luetella ja lukea projekteja ja löydöksiä, ratkaista löydöksiä tai avata ne uudelleen sekä luoda ja hallita projekteja ja niiden tietovarastoja. Claude Securityn asetuksissa luodut henkilökohtaiset käyttöoikeustunnisteet toimivat käyttäjän oikeuksilla: niillä voi nähdä ja muuttaa vain sitä, mihin kyseisellä käyttäjällä on oikeus. Verkkokoukut voivat välittää uusista löydöksistä ilmoittavia tapahtumia esimerkiksi Slackiin tai Jiraan. Claude Security on saatavilla myös MCP-liittimenä Claude.ai:ssa ja Claude Codessa, joten insinööri voi avata löydöksen, kysyä siitä Claudelta, aloittaa korjauksen ja merkitä löydöksen ratkaistuksi saman istunnon aikana.

Uusien roolipohjaisten käyttöoikeuksien avulla ylläpitäjät voivat päättää, kuka saa luoda projekteja ja kuka voi tarkastella, käsitellä tai hallita niitä. Projekteja voi jakaa täydet oikeudet, käsittelyoikeudet tai katseluoikeudet sisältävillä rooleilla tai koko organisaation kanssa.

Anthropicin ilmoitus sisältää asiakkaiden kommentteja aiemmasta beetaversiosta ja päivityksestä. Guston tuoteturvallisuustiimin Jake Meredith kertoi, että Claude Security skannasi yrityksen koodin kerran lähtötason määrittämiseksi ja pysyy nyt ajan tasalla koodin muuttuessa. Vantan tietoturvajohtaja Nathan Hunstad sanoi Anthropicin ilmoituksessa: ”Claude Security löysi useita logiikkavirheitä, joita mikään muu työkalumme ei ollut havainnut. Kun kirjasimme oman riskikäytäntömme uhkamalliin ja keskityimme siihen, mihin ulkoiset käyttäjät tosiasiassa pääsevät käsiksi, löydökset vastasivat priorisointiamme sen sijaan, että ne olisivat perustuneet pelkkään vakavuuspisteytykseen.”

Vaatimukset, hinnoittelu ja julkaisutarjous

Claude Securityn käyttö edellyttää aktiivista Claude Enterprise -tilausta, jokaiselle käyttäjälle erikseen hankittua premium-käyttöoikeutta sekä käyttöhyvitysten käyttöönottoa. Omistaja ottaa palvelun käyttöön organisaation asetuksissa, ja ylläpitäjät määrittävät, ketkä voivat käyttää sitä. Tuotteen hinta perustuu ainoastaan suoraan token-kustannukseen, eikä siihen lisätä alustamaksua. Organisaatiot voivat asettaa erillisen kulutusrajan sekä tarkastella projektikohtaisia, kuukauden alusta kertyneitä ja päiväkohtaisia kustannuksia.

Julkaisutarjouksen ehtojen mukaan siihen oikeutetut Claude Enterprise -organisaatiot, myös AWS Marketplacen kautta hankitut, saavat enintään 25 000 dollarin arvosta tarjoushyvityksiä kumpanakin kahdesta peräkkäisestä kuukaudesta ilman erillistä rekisteröitymistä. Nykyisille Enterprise-organisaatioille tarjous alkaa 21. lokakuuta 2026 ja päättyy 31. joulukuuta 2026 päivän lopussa. Käyttämättömät hyvitykset eivät siirry seuraavalle kuukaudelle, hyvitykset käytetään ennen sitoutunutta kulutusta, eivätkä 1. marraskuuta 2026 jälkeen rekisteröityvät organisaatiot saa kahta täyttä kuukautta. Tarjous koskee vain uudella käyttökokemuksella luotuja projekteja.

Olemassa olevat projektit jatkavat toimintaansa, ja omistajat voivat siirtää ne käyttämällä ”Siirrä projekti” -vaihtoehtoa. Se kopioi löydökset uuteen projektiin ja arkistoi alkuperäisen. Jäseniä, webhookeja, pois rajattuja hakemistoja, skannaushistoriaa eikä ajastettuja skannauksia kopioida, eikä GitHub Enterprise -projekteja voi siirtää.

Claude Security ei tue Zero Data Retentionia, ja Anthropic voi säilyttää tietoja, jos laki sitä edellyttää tai jos tietoja tarvitaan käyttökäytäntöjen rikkomusten käsittelyyn. Yritys ohjaa ZDR-vaatimuksia tai kolmansien osapuolten malleja tarvitsevat käyttäjät erillisen Claude Security -laajennuksen pariin Claude Codea varten. Laajennus on beetavaiheessa kaikille Claude Coden käyttäjille, ja se käyttää niitä malleja, jotka ovat saatavilla käyttäjän Claude Code -tilillä. Tuotesivulla kerrotaan, että Claude Mythos -malleilla toimivat skannaukset ovat saatavilla vain Claude Security -sovelluksessa osoitteessa Claude.ai. Sivulla myös todetaan, että jokainen ehdotettu korjaus edellyttää ihmisen tarkistusta ja hyväksyntää. Anthropic kehottaa käyttäjiä tarkistamaan ehdotetut korjaukset ennen niiden käyttöönottoa, sillä Claude voi tehdä virheitä.