Anthropic Menambahkan Pemindaian Berkelanjutan dan Pelacakan Perbaikan ke Claude Security

Pada 21 Oktober 2026, Anthropic merilis versi terbaru Claude Security dalam beta publik untuk pelanggan Claude Enterprise. Pembaruan ini menambahkan pemindaian berkelanjutan yang mengikuti perubahan kode, pelacakan perbaikan otomatis, model ancaman untuk setiap proyek, dan API baru. Melalui penawaran peluncuran yang berlaku hingga 31 Desember 2026, organisasi yang memenuhi syarat mendapatkan kredit penggunaan gratis senilai $25.000 per bulan selama dua bulan.

Anthropic mengatakan bahwa sejak Claude Security memasuki beta publik pada April 2026, ribuan organisasi telah menggunakannya untuk menemukan lebih dari satu juta kerentanan. Perusahaan itu mengatakan bahwa produk yang diperbarui ini didukung oleh seluruh rangkaian modelnya, termasuk Claude Mythos, tanpa memerlukan akses ke Program Verifikasi Siber.

Pemindaian Berkelanjutan dan Penyiapan Repositori

Pengguna membuat proyek, menghubungkan repositori melalui aplikasi GitHub Claude (termasuk GitHub Enterprise Server) atau dengan token akses dari GitLab dan penyedia Git lainnya, lalu memilih cabang dan cakupan untuk setiap repositori. Claude kemudian menjalankan pemindaian dasar mendalam, yang dapat memakan waktu beberapa menit atau beberapa jam, bergantung pada ukuran repositori. Setelah itu, Claude memindai perubahan secara berkala berdasarkan risiko dan kompleksitasnya agar daftar temuan tetap mencerminkan kondisi terkini kode.

Menurut dokumentasi Pusat Bantuan Claude, sebuah proyek dapat memuat hingga delapan repositori. Repositori dapat dimasukkan dalam cakupan, artinya Claude memindainya dan melaporkan temuan, atau hanya digunakan sebagai konteks, artinya Claude membacanya selama pemindaian tetapi tidak melaporkan temuan di dalamnya; keduanya tetap dihitung dalam batas tersebut. Proyek dengan beberapa repositori memungkinkan Claude menemukan masalah lintas layanan, seperti ketika sistem backend memercayai masukan yang seharusnya divalidasi oleh aplikasi klien.

Tidak ada jadwal pemindaian tetap setelah pemindaian dasar. Pusat Bantuan menyatakan bahwa pemindaian memang dirancang bersifat stokastik: tidak seperti penganalisis statis tradisional yang menerapkan pencocokan pola tetap, Claude Security menggunakan agen yang menyesuaikan analisisnya pada setiap pemindaian, sehingga dua pemindaian terhadap kode yang sama dapat menghasilkan temuan berbeda.

Pelacakan Perbaikan, Basis Pengetahuan, dan Model Ancaman

Claude Security memeriksa temuan yang masih terbuka terhadap kode yang berubah dan menandainya sebagai telah diperbaiki saat perbaikan diterapkan, baik tim memperbaiki masalah tersebut di Claude Code maupun melalui proses terpisah. Temuan yang ditandai telah diperbaiki akan terbuka kembali secara otomatis jika Claude kemudian menemukan masalah itu lagi. Temuan yang diabaikan tidak akan muncul kembali dalam pemindaian berikutnya; tim dapat mengabaikan temuan karena dianggap positif palsu, sebagai risiko yang diterima, duplikat, atau alasan lain, serta menambahkan catatan triase secara opsional.

Setiap proyek memiliki basis pengetahuan tempat tim menjelaskan cara kode mereka diterapkan, siapa yang dapat mengaksesnya, dan kebijakan keamanan apa yang berlaku. Claude Security juga membuat model ancaman dari kode yang dapat ditinjau dan diedit oleh tim. Pemindaian berikutnya menggunakan model ancaman tersebut untuk menentukan hal yang perlu ditandai dan cara menilai tingkat keparahannya. Pusat Bantuan mencatat bahwa karena Claude menyusun model ancaman berdasarkan kode, model itu mungkin tidak mencakup konteks penerapan. Tim dapat memperbaikinya melalui obrolan proyek.

Setiap temuan disertai penilaian tingkat keparahan berdasarkan model ancaman proyek dan penjelasan tentang cara penyerang dapat mencapai kode yang rentan. Temuan juga dapat menyertakan diagram jalur serangan. Pusat Bantuan mendefinisikan tingkat keparahan Kritis sebagai kerentanan yang dapat dieksploitasi melalui jaringan oleh siapa pun tanpa perlu masuk, sehingga penyerang dapat membaca sekaligus mengubah data; Tinggi sebagai dampak serius ketika penyerang perlu masuk atau memerlukan tindakan korban, atau ketika kerusakannya terbatas; Sedang sebagai dampak terbatas dengan satu prasyarat yang realistis; dan Rendah sebagai dampak terbatas yang memerlukan kondisi khusus di luar kendali penyerang. Kategori temuan mencakup injeksi, penelusuran jalur dan SSRF, kelemahan autentikasi dan akses, keamanan memori, kriptografi, deserialisasi, serta masalah protokol dan pengodean, disertai ID CWE jika berlaku. Setiap temuan menjalani verifikasi bertahap, dengan Claude meninjau temuannya sendiri secara kritis sebelum ditampilkan. Menurut Anthropic, proses ini menghasilkan lebih sedikit positif palsu.

API, Konektor MCP, dan Kontrol Akses

API baru memungkinkan pengguna melihat daftar dan membaca proyek serta temuan, menyelesaikan atau membuka kembali temuan, serta membuat dan mengelola proyek beserta repositorinya. Token akses pribadi yang dibuat di pengaturan Claude Security bertindak sebagai pengguna tersebut, dengan akses untuk melihat dan mengubah hanya hal-hal yang dapat diakses oleh pengguna itu. Webhook dapat mengirimkan peristiwa temuan baru ke sistem seperti Slack atau Jira. Claude Security juga tersedia sebagai konektor MCP di Claude.ai dan Claude Code, sehingga seorang teknisi dapat membuka temuan, bertanya kepada Claude tentang temuan tersebut, memulai perbaikan, dan menandainya sebagai telah diselesaikan dalam sesi yang sama.

Kontrol akses berbasis peran yang baru memungkinkan admin menentukan siapa yang dapat membuat proyek serta siapa yang dapat melihat, melakukan triase, atau mengelolanya. Proyek dapat dibagikan dengan peran Akses Penuh, Triase, atau Lihat, maupun kepada seluruh organisasi.

Pengumuman Anthropic memuat pernyataan pelanggan tentang versi beta sebelumnya dan pembaruan ini. Jake Meredith dari tim keamanan produk Gusto mengatakan bahwa Claude Security memindai kode perusahaan satu kali untuk menetapkan kondisi awal, dan kini terus memantau perubahan kode. Nathan Hunstad, direktur keamanan di Vanta, mengatakan dalam pengumuman Anthropic: “Claude Security menemukan sejumlah kelemahan logika yang tidak terdeteksi oleh alat kami yang lain. Setelah kami memasukkan kebijakan risiko kami sendiri ke dalam model ancaman, dengan berfokus pada hal-hal yang benar-benar dapat dijangkau pengguna eksternal, temuan yang diperoleh selaras dengan cara kami menentukan prioritas, bukan hanya berdasarkan skor tingkat keparahan”

Persyaratan, Harga, dan Penawaran Peluncuran

Untuk menggunakan Claude Security, diperlukan paket Claude Enterprise yang aktif, lisensi premium untuk setiap pengguna, dan kredit penggunaan yang diaktifkan; pemilik mengaktifkannya di pengaturan organisasi, sementara admin menentukan siapa yang dapat mengaksesnya. Produk ini hanya dikenai biaya token langsung, tanpa biaya platform tambahan, dan organisasi dapat menetapkan batas pengeluaran terpisah serta melihat biaya per proyek untuk bulan berjalan dan per hari.

Berdasarkan ketentuan penawaran peluncuran, organisasi Claude Enterprise yang memenuhi syarat, termasuk yang membeli melalui AWS Marketplace, menerima kredit promosi hingga $25,000 pada masing-masing dari dua bulan berturut-turut tanpa perlu mendaftar. Untuk organisasi Enterprise yang sudah ada, penawaran dimulai pada 21 Oktober 2026 dan berakhir pada penghujung hari tanggal 31 Desember 2026; kredit yang tidak digunakan tidak dapat dialihkan, kredit digunakan sebelum pengeluaran yang telah dikomitmenkan, dan organisasi yang mendaftar setelah 1 November 2026 tidak akan memperoleh dua bulan penuh. Penawaran ini hanya berlaku untuk proyek yang dibuat menggunakan pengalaman baru.

Proyek yang sudah ada tetap berjalan, dan pemilik dapat memigrasikannya melalui opsi “Migrasikan proyek”, yang menyalin temuan ke proyek baru dan mengarsipkan proyek asli; anggota, webhook, direktori yang dikecualikan, riwayat pemindaian, dan pemindaian terjadwal tidak disalin, dan proyek GitHub Enterprise tidak dapat dimigrasikan.

Claude Security tidak mendukung kebijakan Zero Data Retention (ZDR), dan Anthropic dapat menyimpan data jika diwajibkan oleh hukum atau untuk menangani pelanggaran kebijakan penggunaan. Perusahaan mengarahkan pengguna yang memiliki persyaratan ZDR atau membutuhkan model pihak ketiga ke plugin Claude Security terpisah untuk Claude Code, yang masih dalam versi beta untuk semua pengguna Claude Code dan menggunakan model apa pun yang tersedia di akun Claude Code pengguna; halaman produk menyatakan bahwa pemindaian yang didukung model Claude Mythos hanya tersedia di aplikasi Claude Security di Claude.ai. Halaman itu juga menjelaskan bahwa setiap patch yang disarankan memerlukan peninjauan dan persetujuan manusia, dan Anthropic menyarankan pengguna untuk meninjau patch yang diusulkan sebelum menerapkannya karena Claude dapat melakukan kesalahan.