Anthropic aggiunge la scansione continua e il monitoraggio delle correzioni a Claude Security

Il 21 ottobre 2026 Anthropic ha rilasciato una versione aggiornata di Claude Security in beta pubblica per i clienti Claude Enterprise, introducendo la scansione continua che segue le modifiche al codice, il monitoraggio automatico delle correzioni, modelli di minaccia per ogni progetto e una nuova API. Le organizzazioni idonee riceveranno 25.000 $ in crediti gratuiti al mese per due mesi, nell’ambito di un’offerta di lancio valida fino al 31 dicembre 2026.

Anthropic ha dichiarato che, da quando Claude Security è entrato in beta pubblica nell’aprile 2026, migliaia di organizzazioni lo hanno utilizzato per individuare oltre un milione di vulnerabilità. L’azienda ha affermato che il prodotto aggiornato si basa sull’intera famiglia di modelli, tra cui Claude Mythos, senza richiedere l’accesso al programma di verifica informatica.

Scansione continua e configurazione dei repository

Gli utenti creano un progetto, collegano i repository tramite l’app Claude per GitHub (incluso GitHub Enterprise Server) oppure con un token di accesso di GitLab e altri fornitori Git, quindi scelgono il ramo e l’ambito per ciascun repository. Claude esegue quindi una scansione approfondita iniziale, che può richiedere da alcuni minuti a diverse ore a seconda delle dimensioni del repository, e in seguito analizza regolarmente le modifiche in base al rischio e alla complessità, così che l’elenco dei risultati rispecchi da vicino lo stato attuale del codice.

Secondo la documentazione del Centro assistenza di Claude, un progetto può contenere fino a otto repository. Un repository può rientrare nell’ambito della scansione, il che significa che Claude lo analizza e segnala i risultati, oppure essere utilizzato solo come contesto: in questo caso Claude lo legge durante le scansioni, ma non vi segnala alcun risultato. Entrambi i tipi di repository concorrono al limite. I progetti con più repository consentono a Claude di individuare problemi che si verificano tra servizi diversi, per esempio quando un backend si fida di dati che il client avrebbe dovuto convalidare.

Dopo la scansione iniziale non esiste una pianificazione fissa delle scansioni. Il Centro assistenza spiega che, per scelta progettuale, le scansioni sono stocastiche: a differenza dei tradizionali analizzatori statici, che applicano corrispondenze basate su schemi fissi, Claude Security utilizza un agente che adatta la propria analisi a ogni esecuzione, perciò due scansioni dello stesso codice possono restituire risultati diversi.

Monitoraggio delle correzioni, basi di conoscenza e modelli di minaccia

Claude Security confronta i risultati aperti con il codice modificato e li contrassegna come corretti quando la correzione viene applicata, sia che il team abbia risolto il problema in Claude Code sia che lo abbia fatto tramite una procedura separata. Un risultato contrassegnato come corretto viene riaperto automaticamente se Claude individua di nuovo il problema in un secondo momento. I risultati archiviati non ricompaiono nelle scansioni future; i team possono archiviarli come falsi positivi, rischi accettati, duplicati o per altri motivi, aggiungendo facoltativamente una nota di valutazione.

Ogni progetto dispone di una base di conoscenza in cui i team descrivono come viene distribuito il codice, chi può accedervi e quali criteri di sicurezza si applicano. Claude Security genera inoltre un modello di minaccia a partire dal codice, che i team possono esaminare e modificare; le scansioni successive lo utilizzano per decidere quali problemi segnalare e come valutarne la gravità. Il Centro assistenza avverte che, poiché Claude crea il modello di minaccia basandosi sul codice, potrebbe non cogliere il contesto di distribuzione; i team possono correggerlo nella chat del progetto.

Ogni risultato include una valutazione della gravità, determinata in base al modello di minaccia del progetto, e una spiegazione di come un aggressore potrebbe raggiungere il codice vulnerabile; può inoltre comprendere un diagramma del percorso di attacco. Il Centro assistenza definisce Critica la gravità di una vulnerabilità sfruttabile in rete da chiunque, senza necessità di autenticazione, che consenta all’aggressore sia di leggere sia di modificare i dati; Alta quella con un impatto serio per la quale l’aggressore deve autenticarsi o indurre una vittima ad agire, oppure i cui danni sono parziali; Media quella con impatto limitato e un’unica precondizione realistica; e Bassa quella con impatto limitato che richiede condizioni speciali al di fuori del controllo dell’aggressore. Le categorie di risultati comprendono iniezione, attraversamento dei percorsi, SSRF, vulnerabilità di autenticazione e controllo degli accessi, sicurezza della memoria, crittografia, deserializzazione e problemi di protocolli e codifica; ove applicabile, sono inclusi gli ID CWE. Ogni risultato viene sottoposto a una verifica in più fasi, durante la quale Claude esamina criticamente i propri risultati prima che vengano mostrati; secondo Anthropic, questo processo riduce i falsi positivi.

API, connettore MCP e controlli di accesso

La nuova API consente agli utenti di elencare e consultare progetti e risultati, risolvere o riaprire i risultati e creare e gestire progetti e i relativi repository. I token di accesso personali creati nelle impostazioni di Claude Security agiscono con le autorizzazioni dell’utente, consentendo di visualizzare e modificare solo ciò a cui quell’utente ha accesso; i webhook possono inviare eventi relativi a nuovi risultati a sistemi come Slack o Jira. Claude Security è inoltre disponibile come connettore MCP in Claude.ai e Claude Code, così un tecnico può aprire un risultato, chiedere informazioni a Claude, avviare la correzione e contrassegnarlo come risolto nella stessa sessione.

I nuovi controlli di accesso basati sui ruoli consentono agli amministratori di decidere chi può creare progetti e chi può visualizzarli, valutarli o gestirli; i progetti possono essere condivisi assegnando i ruoli Completo, Valutazione o Visualizzazione, oppure con l’intera organizzazione.

L’annuncio di Anthropic include dichiarazioni dei clienti sulla precedente versione beta e sull’aggiornamento. Jake Meredith, del team di sicurezza dei prodotti di Gusto, ha dichiarato che Claude Security ha analizzato una volta il codice dell’azienda per stabilire una base di riferimento e ora segue le modifiche man mano che il codice cambia. Nathan Hunstad, responsabile della sicurezza di Vanta, ha dichiarato nell’annuncio di Anthropic: «Claude Security ha individuato diversi difetti logici che nessuno dei nostri altri strumenti aveva rilevato. Dopo aver inserito la nostra politica di rischio nel modello delle minacce, concentrandoci su ciò che gli utenti esterni possono effettivamente raggiungere, i risultati hanno rispecchiato il nostro modo di stabilire le priorità, anziché basarsi soltanto su un punteggio di gravità»

Requisiti, prezzi e offerta di lancio

Per usare Claude Security è necessario disporre di un piano Claude Enterprise attivo, di una licenza premium per ciascun utente e di crediti di utilizzo abilitati; un titolare può attivare il servizio nelle impostazioni dell’organizzazione e gli amministratori possono definire chi vi ha accesso. Il prodotto prevede esclusivamente l’addebito del costo diretto dei token, senza costi aggiuntivi per la piattaforma, e le organizzazioni possono impostare un limite di spesa separato e consultare i costi mensili aggiornati e quelli giornalieri per ciascun progetto.

In base ai termini dell’offerta di lancio, le organizzazioni Claude Enterprise idonee, comprese quelle che hanno acquistato il servizio tramite AWS Marketplace, ricevono fino a 25.000 $ di crediti promozionali in ciascuno di due mesi consecutivi, senza bisogno di registrarsi. Per le organizzazioni Enterprise già esistenti, l’offerta inizia il 21 ottobre 2026 e termina alla fine della giornata del 31 dicembre 2026; i crediti non utilizzati non vengono trasferiti, i crediti vengono usati prima della spesa impegnata e le organizzazioni che si registrano dopo il 1º novembre 2026 non usufruiranno di due mesi interi. L’offerta si applica solo ai progetti creati con la nuova esperienza.

I progetti esistenti continuano a funzionare e i titolari possono migrarli tramite l’opzione «Migra progetto», che copia i risultati in un nuovo progetto e archivia quello originale; i membri, i webhook, le directory escluse, la cronologia delle scansioni e le scansioni pianificate non vengono copiati, e i progetti GitHub Enterprise non possono essere migrati.

Claude Security non supporta la conservazione zero dei dati (Zero Data Retention) e Anthropic può conservare i dati nei casi previsti dalla legge o per affrontare violazioni delle politiche di utilizzo. L’azienda indirizza gli utenti che necessitano della ZDR o di modelli di terze parti al plugin separato Claude Security per Claude Code, disponibile in versione beta per tutti gli utenti di Claude Code e basato sui modelli disponibili nell’account Claude Code dell’utente; la pagina del prodotto specifica che le scansioni basate sui modelli Claude Mythos sono disponibili solo nell’app Claude Security su Claude.ai. La pagina precisa inoltre che ogni patch suggerita deve essere esaminata e approvata da una persona e Anthropic consiglia agli utenti di verificare le patch proposte prima di applicarle, perché Claude può commettere errori.