Anthropic ajoute l’analyse en continu et le suivi des correctifs à Claude Security

Le 21 octobre 2026, Anthropic a lancé une version mise à jour de Claude Security en bêta publique pour les clients de Claude Enterprise. Cette version ajoute l’analyse en continu, qui suit les modifications du code, le suivi automatique des correctifs, des modèles de menace par projet et une nouvelle API. Dans le cadre d’une offre de lancement valable jusqu’au 31 décembre 2026, les organisations admissibles bénéficient de 25 000 $ de crédits d’utilisation gratuits par mois pendant deux mois.

Anthropic a indiqué que, depuis le lancement de la bêta publique de Claude Security en avril 2026, des milliers d’organisations s’en sont servies pour détecter plus d’un million de vulnérabilités. Selon l’entreprise, le produit mis à jour repose sur l’ensemble de sa famille de modèles, dont Claude Mythos, sans qu’il soit nécessaire d’avoir accès au programme de vérification cybernétique.

Analyse en continu et configuration des dépôts

Les utilisateurs créent un projet, connectent des dépôts au moyen de l’application Claude pour GitHub (y compris GitHub Enterprise Server) ou d’un jeton d’accès GitLab ou d’autres fournisseurs Git, puis choisissent la branche et le périmètre de chaque dépôt. Claude effectue alors une analyse approfondie de référence, qui peut prendre plusieurs minutes ou plusieurs heures selon la taille du dépôt. Par la suite, il analyse régulièrement les modifications en fonction de leur risque et de leur complexité, afin que la liste des résultats reflète au mieux l’état actuel du code.

Selon la documentation du centre d’aide de Claude, un projet peut contenir jusqu’à huit dépôts. Un dépôt peut être inclus dans le périmètre, auquel cas Claude l’analyse et signale les résultats, ou servir uniquement de contexte : Claude le consulte alors pendant les analyses, mais n’y signale aucun résultat. Les deux types de dépôts comptent dans la limite. Les projets comportant plusieurs dépôts permettent à Claude de repérer des problèmes qui surviennent entre des services, par exemple lorsqu’un serveur dorsal fait confiance à des données que le client était censé valider.

Après l’analyse de référence, aucun calendrier fixe n’est établi pour les analyses suivantes. Le centre d’aide précise que celles-ci sont aléatoires par conception : contrairement aux analyseurs statiques classiques, qui appliquent des correspondances de motifs fixes, Claude Security utilise un agent qui adapte son analyse à chaque exécution. Deux analyses du même code peuvent donc produire des résultats différents.

Suivi des correctifs, bases de connaissances et modèles de menace

Claude Security vérifie les résultats encore ouverts par rapport au code modifié et les marque comme corrigés dès que le correctif est intégré, que l’équipe ait résolu le problème dans Claude Code ou par un autre moyen. Un résultat marqué comme corrigé est automatiquement rouvert si Claude repère de nouveau le problème par la suite. Les résultats rejetés ne réapparaissent pas lors des analyses ultérieures. Les équipes peuvent rejeter un résultat parce qu’il s’agit d’un faux positif, d’un risque accepté, d’un doublon ou pour une autre raison, et ajouter une note de triage facultative.

Chaque projet dispose d’une base de connaissances dans laquelle les équipes décrivent le déploiement de leur code, les personnes qui peuvent y accéder et les politiques de sécurité applicables. Claude Security génère également, à partir du code, un modèle de menace que les équipes peuvent examiner et modifier. Les analyses ultérieures s’appuient sur ce modèle pour déterminer les éléments à signaler et leur niveau de gravité. Le centre d’aide précise que, puisque Claude établit le modèle de menace à partir du code, il peut ne pas tenir compte du contexte de déploiement. Les équipes peuvent le corriger dans la conversation du projet.

Chaque résultat comporte une évaluation de sa gravité, établie en fonction du modèle de menace du projet, ainsi qu’une explication de la manière dont un attaquant pourrait accéder au code vulnérable. Il peut aussi inclure un schéma du chemin d’attaque. Le centre d’aide définit les niveaux de gravité comme suit : Critique, lorsque la vulnérabilité peut être exploitée à distance par quiconque, sans connexion, et permet à l’attaquant de lire et de modifier des données ; Élevée, lorsque l’impact est grave, mais que l’attaquant doit se connecter ou qu’une victime doit agir, ou lorsque les dommages sont partiels ; Moyenne, lorsque l’impact est limité et qu’une condition préalable réaliste doit être remplie ; Faible, lorsque l’impact est limité et que l’exploitation dépend de circonstances particulières indépendantes de la volonté de l’attaquant. Les catégories de résultats comprennent les injections, le parcours de chemin, les SSRF, les défauts d’authentification et de contrôle d’accès, la sécurité de la mémoire, la cryptographie, la désérialisation ainsi que les problèmes liés aux protocoles et à l’encodage ; les identifiants CWE sont indiqués le cas échéant. Chaque résultat fait l’objet d’une vérification en plusieurs étapes, au cours de laquelle Claude examine de façon critique ses propres résultats avant leur présentation. Selon Anthropic, cette procédure réduit le nombre de faux positifs.

API, connecteur MCP et contrôles d’accès

La nouvelle API permet aux utilisateurs de répertorier et de consulter les projets et les résultats, de résoudre ou de rouvrir ces derniers, ainsi que de créer et de gérer des projets et leurs dépôts. Les jetons d’accès personnels créés dans les paramètres de Claude Security agissent au nom de l’utilisateur et ne permettent de consulter ou de modifier que ce à quoi celui-ci a accès. Les webhooks peuvent transmettre les événements liés aux nouveaux résultats à des systèmes comme Slack ou Jira. Claude Security est également disponible sous forme de connecteur MCP dans Claude.ai et Claude Code. Un ingénieur peut ainsi afficher un résultat, demander à Claude de l’analyser, lancer le correctif et le marquer comme résolu au cours d’une même session.

De nouveaux contrôles d’accès fondés sur les rôles permettent aux administrateurs de déterminer qui peut créer des projets et qui peut les consulter, effectuer leur triage ou les gérer. Les projets peuvent être partagés avec les rôles Accès complet, Triage ou Consultation, ou avec toute l’organisation.

L’annonce d’Anthropic comprend des témoignages de clients sur la version bêta précédente et la mise à jour. Jake Meredith, de l’équipe de sécurité produit de Gusto, a indiqué que Claude Security avait analysé une fois le code de l’entreprise afin d’établir une base de référence et qu’il suivait désormais les modifications apportées au code. Nathan Hunstad, directeur de la sécurité chez Vanta, a déclaré dans l’annonce d’Anthropic : « Claude Security a détecté plusieurs failles logiques qu’aucun de nos autres outils n’avait repérées. Une fois que nous avons intégré notre propre politique de risque au modèle de menace, en nous concentrant sur ce à quoi les utilisateurs externes peuvent réellement accéder, les résultats correspondaient à nos priorités, plutôt que de se limiter à un score de gravité »

Conditions requises, tarifs et offre de lancement

Pour utiliser Claude Security, il faut disposer d’un abonnement Claude Enterprise actif, d’un siège premium pour chaque utilisateur et de crédits d’utilisation activés. Un propriétaire active le service dans les paramètres de l’organisation, et les administrateurs définissent les personnes autorisées à y accéder. Le produit est facturé uniquement au coût direct des jetons, sans frais de plateforme supplémentaires. Les organisations peuvent définir un plafond de dépenses distinct et consulter les coûts cumulés depuis le début du mois ainsi que les coûts quotidiens par projet.

Selon les conditions de l’offre de lancement, les organisations Claude Enterprise admissibles, y compris celles ayant souscrit par l’intermédiaire d’AWS Marketplace, reçoivent jusqu’à 25 000 $ de crédits promotionnels pendant chacun de deux mois consécutifs, sans inscription requise. Pour les organisations Enterprise existantes, l’offre commence le 21 octobre 2026 et prend fin à la fin de la journée du 31 décembre 2026. Les crédits non utilisés ne sont pas reportés, ils sont utilisés avant les dépenses engagées, et les organisations qui s’inscrivent après le 1er novembre 2026 ne bénéficieront pas de deux mois complets. L’offre s’applique uniquement aux projets créés avec la nouvelle expérience.

Les projets existants continuent de fonctionner, et les propriétaires peuvent les migrer à l’aide de l’option « Migrer le projet », qui copie les résultats dans un nouveau projet et archive l’original. Les membres, les webhooks, les répertoires exclus, l’historique des analyses et les analyses planifiées ne sont pas copiés, et les projets GitHub Enterprise ne peuvent pas être migrés.

Claude Security ne prend pas en charge la conservation zéro des données (Zero Data Retention, ZDR), et Anthropic peut conserver des données lorsque la loi l’exige ou pour traiter les violations des règles d’utilisation. L’entreprise oriente les utilisateurs qui ont besoin de la ZDR ou de modèles tiers vers le module d’extension distinct Claude Security pour Claude Code, actuellement en version bêta pour tous les utilisateurs de Claude Code et qui utilise les modèles disponibles dans le compte Claude Code de l’utilisateur. La page du produit précise que les analyses reposant sur des modèles Claude Mythos sont uniquement disponibles dans l’application Claude Security sur Claude.ai. Cette page indique également que chaque correctif suggéré doit être examiné et approuvé par un humain, et Anthropic conseille aux utilisateurs de vérifier les correctifs proposés avant de les appliquer, car Claude peut commettre des erreurs.