Anthropic, Claude Security에 지속적인 스캔과 수정 추적 기능 추가

Anthropic은 2026년 10월 21일 Claude Enterprise 고객을 대상으로 Claude Security의 업데이트 버전을 공개 베타로 출시했다. 이번 업데이트에는 코드 변경 사항을 반영하는 지속적인 스캔, 자동 수정 추적, 프로젝트별 위협 모델, 새로운 API가 추가됐다. 자격 요건을 충족하는 조직은 2026년 12월 31일까지 진행되는 출시 프로모션을 통해 2개월 동안 매월 25,000달러 상당의 무료 사용 크레딧을 받을 수 있다.

Anthropic은 2026년 4월 Claude Security가 공개 베타로 전환된 이후 수천 개 조직이 이 도구를 사용해 100만 건이 넘는 취약점을 찾아냈다고 밝혔다. 또한 Claude Mythos를 포함한 자사 전체 모델 제품군을 기반으로 업데이트된 제품을 제공하며, 사이버 검증 프로그램 이용 권한은 필요하지 않다고 설명했다.

지속적인 스캔 및 저장소 설정

사용자는 프로젝트를 만들고, Claude GitHub 앱(GitHub Enterprise Server 포함)을 통해 저장소를 연결하거나 GitLab 및 기타 Git 제공업체의 액세스 토큰을 사용해 연결한 다음, 저장소별 브랜치와 범위를 선택한다. 그러면 Claude가 심층 기준선 스캔을 실행한다. 저장소 크기에 따라 몇 분에서 몇 시간이 걸릴 수 있다. 이후에는 위험도와 복잡성을 고려해 변경 사항을 정기적으로 스캔하므로, 발견 사항 목록이 코드의 현재 상태를 최대한 반영한다.

Claude 도움말 센터 문서에 따르면 프로젝트 하나에 저장소를 최대 8개까지 포함할 수 있다. 저장소는 Claude가 스캔해 발견 사항을 보고하는 범위 내 저장소로 지정하거나, 스캔 중에 읽지만 해당 저장소의 발견 사항은 보고하지 않는 맥락 전용 저장소로 지정할 수 있다. 두 유형 모두 저장소 개수 한도에 포함된다. 여러 저장소를 포함하는 프로젝트를 사용하면 서비스 간에 걸쳐 있는 문제도 찾아낼 수 있다. 예를 들어 클라이언트에서 검증했어야 하는 입력값을 백엔드가 신뢰하는 경우가 이에 해당한다.

기준선 스캔 이후에는 정해진 스캔 일정이 없다. 도움말 센터에 따르면 스캔은 의도적으로 확률적 방식으로 수행된다. 고정된 패턴을 적용하는 기존 정적 분석기와 달리, Claude Security는 각 실행에 맞춰 분석을 조정하는 에이전트를 사용하므로 같은 코드를 두 번 스캔해도 결과가 다를 수 있다.

수정 추적, 지식 기반 및 위협 모델

Claude Security는 아직 해결되지 않은 발견 사항을 변경된 코드와 대조하고, 수정 사항이 반영되면 해당 항목을 수정 완료로 표시한다. 팀이 Claude Code에서 문제를 해결했든 별도의 절차로 해결했든 마찬가지다. 수정 완료로 표시된 발견 사항도 Claude가 나중에 같은 문제를 다시 찾으면 자동으로 다시 열린다. 제외된 발견 사항은 이후 스캔에 다시 나타나지 않는다. 팀은 오탐, 수용 가능한 위험, 중복 또는 기타 사유로 발견 사항을 제외할 수 있으며, 선택 사항으로 분류 메모를 남길 수 있다.

각 프로젝트에는 팀이 코드의 배포 방식, 코드에 접근할 수 있는 주체, 적용되는 보안 정책을 설명하는 지식 기반이 있다. Claude Security는 코드에서 위협 모델도 생성한다. 팀은 이 모델을 검토하고 수정할 수 있으며, 이후 스캔에서는 위협 모델을 바탕으로 어떤 항목을 보고할지와 심각도를 어떻게 평가할지를 결정한다. 도움말 센터는 Claude가 코드로 위협 모델을 작성하기 때문에 배포 환경의 맥락을 놓칠 수 있으며, 팀은 프로젝트 채팅에서 이를 보완할 수 있다고 설명한다.

각 발견 사항에는 프로젝트의 위협 모델을 기준으로 판단한 심각도 등급과 공격자가 취약한 코드에 도달할 수 있는 방법에 대한 설명이 포함되며, 공격 경로를 보여 주는 다이어그램이 포함될 수도 있다. 도움말 센터의 심각도 정의에 따르면, 심각은 로그인하지 않은 누구나 네트워크를 통해 악용해 데이터를 읽고 변경할 수 있는 경우다. 높음은 영향이 심각하지만 공격자에게 로그인이나 피해자의 조치가 필요하거나 피해가 일부에 그치는 경우다. 중간은 영향이 제한적이고 현실적인 선행 조건이 하나 있는 경우다. 낮음은 영향이 제한적이며 공격자가 통제할 수 없는 특별한 조건이 필요한 경우다. 발견 사항의 범주에는 인젝션, 경로 순회 및 SSRF, 인증 및 접근 제어 결함, 메모리 안전성, 암호화, 역직렬화, 프로토콜 및 인코딩 문제가 포함되며, 해당하는 경우 CWE ID도 제공된다. 모든 발견 사항은 여러 단계의 검증 절차를 거친다. Claude가 결과를 공개하기 전에 자체 발견 사항을 비판적으로 검토하며, Anthropic은 이 과정으로 오탐이 줄어든다고 설명한다.

API, MCP 커넥터 및 접근 제어

새 API를 사용하면 프로젝트와 발견 사항을 나열하고 조회할 수 있으며, 발견 사항을 해결하거나 다시 열고 프로젝트와 해당 저장소를 만들고 관리할 수도 있다. Claude Security 설정에서 만든 개인 액세스 토큰은 사용자 권한으로 작동하므로, 해당 사용자가 볼 수 있고 변경할 수 있는 항목에만 접근한다. 웹훅을 사용하면 새로운 발견 사항 이벤트를 Slack이나 Jira 같은 시스템으로 전송할 수 있다. Claude Security는 Claude.ai와 Claude Code에서 MCP 커넥터로도 사용할 수 있다. 따라서 엔지니어는 같은 세션에서 발견 사항을 불러오고, Claude에 이에 관해 질문하고, 수정을 시작한 뒤 해결된 것으로 표시할 수 있다.

새로운 역할 기반 접근 제어 기능을 통해 관리자는 프로젝트를 만들 수 있는 사람과 프로젝트를 보거나 분류하거나 관리할 수 있는 사람을 정할 수 있다. 프로젝트는 전체 권한, 분류 권한 또는 보기 권한 역할을 부여해 공유하거나 조직 전체와 공유할 수 있다.

Anthropic의 발표에는 이전 베타 버전과 업데이트에 관한 고객들의 의견이 담겨 있다. Gusto의 제품 보안팀 소속 Jake Meredith는 Claude Security가 기준선을 설정하기 위해 회사의 코드를 한 차례 스캔했으며, 이제 코드가 변경될 때마다 이를 따라가며 계속 점검한다고 말했다. Vanta의 보안 책임자 Nathan Hunstad는 Anthropic의 발표에서 다음과 같이 말했다. “Claude Security는 다른 어떤 도구도 잡아내지 못한 논리적 결함을 여러 건 발견했습니다. 외부 사용자가 실제로 접근할 수 있는 부분에 초점을 맞춰 자체 위험 정책을 위협 모델에 반영한 뒤에는, 단순히 심각도 점수에만 의존하는 대신 우리가 우선순위를 정하는 방식과 조사 결과가 일치했습니다.”

요구 사항, 요금 및 출시 혜택

Claude Security를 사용하려면 활성 상태의 Claude Enterprise 요금제와 사용자별 프리미엄 좌석이 필요하며, 사용량 크레딧도 활성화되어 있어야 한다. 조직 설정에서 소유자가 기능을 활성화하고 관리자가 액세스 권한을 설정한다. 요금은 토큰 직접 비용만 청구되며 플랫폼 추가 요금은 없다. 조직은 별도의 지출 한도를 설정하고 프로젝트별 월 누계 비용과 일일 비용을 확인할 수 있다.

출시 혜택 약관에 따라 AWS Marketplace를 통해 구매한 조직을 포함해 자격 요건을 충족하는 Claude Enterprise 조직은 별도 신청 없이 2개월 연속으로 매월 최대 $25,000의 프로모션 크레딧을 받는다. 기존 Enterprise 조직의 혜택은 2026년 10월 21일에 시작해 2026년 12월 31일 당일 종료 시점에 끝난다. 사용하지 않은 크레딧은 다음 기간으로 이월되지 않으며, 크레딧이 약정 지출보다 먼저 사용된다. 2026년 11월 1일 이후에 가입하는 조직은 두 달 전체에 해당하는 혜택을 받지 못한다. 이 혜택은 새로운 환경에서 만든 프로젝트에만 적용된다.

기존 프로젝트는 계속 실행되며, 소유자는 “프로젝트 마이그레이션” 옵션을 통해 프로젝트를 이전할 수 있다. 이 옵션은 조사 결과를 새 프로젝트에 복사하고 기존 프로젝트를 보관 처리한다. 구성원, 웹훅, 제외 디렉터리, 스캔 기록 및 예약된 스캔은 복사되지 않으며, GitHub Enterprise 프로젝트는 마이그레이션할 수 없다.

Claude Security는 제로 데이터 보존(Zero Data Retention, ZDR)을 지원하지 않으며, Anthropic은 법률상 요구되는 경우 또는 사용 정책 위반에 대응하기 위해 데이터를 보관할 수 있다. ZDR 요건이 있거나 타사 모델을 사용해야 하는 사용자에게 Anthropic은 별도의 Claude Code용 Claude Security 플러그인을 안내한다. 이 플러그인은 모든 Claude Code 사용자에게 베타 버전으로 제공되며, 사용자의 Claude Code 계정에서 이용할 수 있는 모델을 사용한다. 제품 페이지에는 Claude Mythos 모델을 사용하는 스캔은 Claude.ai의 Claude Security 앱에서만 이용할 수 있다고 나와 있다. 해당 페이지는 제안된 모든 패치에 사람의 검토와 승인이 필요하다고도 설명하며, Claude가 실수할 수 있으므로 Anthropic은 패치를 적용하기 전에 제안 내용을 검토할 것을 권고한다.