Anthropic legger til kontinuerlig skanning og sporing av rettinger i Claude Security

Anthropic lanserte 21. oktober 2026 en oppdatert versjon av Claude Security i offentlig betaversjon for Claude Enterprise-kunder. Oppdateringen inkluderer kontinuerlig skanning som følger kodeendringer, automatisk sporing av rettinger, trusselmodeller for hvert prosjekt og et nytt API. Kvalifiserte organisasjoner får 25 000 dollar i gratis brukskreditter per måned i to måneder gjennom et lanseringstilbud som gjelder til og med 31. desember 2026.

Anthropic opplyste at tusenvis av organisasjoner har brukt Claude Security til å finne over én million sårbarheter siden løsningen ble tilgjengelig i offentlig betaversjon i april 2026. Selskapet sa at det oppdaterte produktet drives av hele modellfamilien deres, inkludert Claude Mythos, uten at det kreves tilgang til Cyber Verification Program.

Kontinuerlig skanning og oppsett av repositorier

Brukerne oppretter et prosjekt, kobler til repositorier via Claude GitHub-appen (inkludert GitHub Enterprise Server) eller med et tilgangstoken fra GitLab og andre Git-leverandører, og velger gren og omfang for hvert repositorium. Claude kjører deretter en grundig grunnskanning, som kan ta flere minutter eller timer avhengig av størrelsen på repositoriet. Etterpå skanner Claude regelmessig endringene, basert på risiko og kompleksitet, slik at listen over funn holdes oppdatert med den gjeldende kodetilstanden.

Ifølge dokumentasjonen i Claude Help Center kan et prosjekt inneholde opptil åtte repositorier. Et repositorium kan være innenfor omfanget, det vil si at Claude skanner det og rapporterer funn, eller bare brukes som kontekst, det vil si at Claude leser det under skanninger, men ikke rapporterer funn i det. Begge deler teller med i grensen. Prosjekter med flere repositorier gjør det mulig for Claude å oppdage problemer som oppstår mellom tjenester, for eksempel når en backend stoler på inndata som en klient skulle ha validert.

Det finnes ingen fast skanneplan etter grunnskanningen. Help Center opplyser at skanningene med hensikt er stokastiske: I motsetning til tradisjonelle statiske analyseverktøy som bruker faste mønstermatcher, benytter Claude Security en agent som tilpasser analysen til hver kjøring. Derfor kan to skanninger av den samme koden gi ulike resultater.

Sporing av rettinger, kunnskapsbaser og trusselmodeller

Claude Security kontrollerer åpne funn opp mot koden som er endret, og markerer dem som rettet når rettelsen blir tatt i bruk, enten teamet rettet problemet i Claude Code eller gjennom en separat prosess. Et funn som er markert som rettet, åpnes automatisk på nytt hvis Claude senere finner problemet igjen. Avviste funn dukker ikke opp igjen i framtidige skanninger. Teamene kan avvise et funn fordi det er en falsk positiv, en akseptert risiko, en duplikat eller av en annen grunn, og kan eventuelt legge til et notat om vurderingen.

Hvert prosjekt har en kunnskapsbase der teamene beskriver hvordan koden deres distribueres, hvem som har tilgang til den, og hvilke sikkerhetspolicyer som gjelder. Claude Security genererer også en trusselmodell basert på koden, som teamene kan gjennomgå og redigere. Senere skanninger bruker denne trusselmodellen til å avgjøre hva som skal flagges, og hvordan alvorlighetsgraden skal vurderes. Help Center påpeker at fordi Claude utarbeider trusselmodellen ut fra koden, kan den mangle kontekst om distribusjonen. Teamene kan korrigere dette i prosjektets chat.

Hvert funn har en alvorlighetsgrad som vurderes opp mot prosjektets trusselmodell, samt en forklaring på hvordan en angriper kan nå den sårbare koden. Funn kan også inneholde et diagram over angrepsveien. Help Center definerer alvorlighetsgraden Kritisk som sårbarheter som kan utnyttes over nettverket av hvem som helst uten innlogging, slik at angriperen både kan lese og endre data. Høy betyr alvorlig innvirkning der angriperen trenger en innlogging eller en handling fra et offer, eller der skaden er begrenset. Middels betyr begrenset innvirkning med én realistisk forutsetning, mens Lav betyr begrenset innvirkning som krever særlige forhold utenfor angriperens kontroll. Kategorier av funn omfatter injeksjon, katalogtraversering og SSRF, feil i autentisering og tilgangskontroll, minnesikkerhet, kryptografi, deserialisering samt protokoll- og kodingsproblemer, med CWE-ID-er der det er relevant. Hvert funn gjennomgår verifisering i flere trinn, der Claude kritisk vurderer sine egne funn før de vises. Anthropic sier at denne prosessen gir færre falske positive.

API, MCP-kobling og tilgangskontroller

Det nye API-et lar brukerne vise og lese prosjekter og funn, løse eller åpne funn på nytt samt opprette og administrere prosjekter og tilhørende repositorier. Personlige tilgangstokener som opprettes i innstillingene for Claude Security, fungerer på vegne av brukeren og gir bare tilgang til det brukeren selv kan se og endre. Webhooks kan sende varsler om nye funn til systemer som Slack eller Jira. Claude Security er også tilgjengelig som en MCP-kobling i Claude.ai og Claude Code, slik at en ingeniør kan hente fram et funn, spørre Claude om det, starte rettingen og markere det som løst i samme økt.

Nye rollebaserte tilgangskontroller lar administratorer bestemme hvem som kan opprette prosjekter, og hvem som kan vise, vurdere eller administrere dem. Prosjekter kan deles med rollene Full tilgang, Sortering eller Visning, eller med hele organisasjonen.

Anthropics kunngjøring inneholder uttalelser fra kunder om den tidligere betaversjonen og oppdateringen. Jake Meredith fra Gusto-teamet for produktsikkerhet sa at Claude Security skannet selskapets kode én gang for å etablere et utgangspunkt, og nå holder tritt etter hvert som koden endres. Nathan Hunstad, sikkerhetsdirektør i Vanta, sa i Anthropics kunngjøring: «Claude Security fant flere logiske feil som ingen av de andre verktøyene våre hadde oppdaget. Da vi la vår egen risikopolicy inn i trusselmodellen og fokuserte på hva eksterne brukere faktisk kan nå, samsvarte funnene med hvordan vi prioriterer, i stedet for bare å følge en alvorlighetsgrad.»

Krav, priser og lanseringstilbud

For å bruke Claude Security må man ha et aktivt Claude Enterprise-abonnement, en premiumlisens for hver bruker og aktiverte brukskreditter. En eier aktiverer tjenesten i organisasjonsinnstillingene, og administratorer bestemmer hvem som får tilgang. Produktet faktureres kun etter direkte tokenkostnad, uten ekstra plattformavgift. Organisasjoner kan sette en egen forbruksgrense og se kostnadene hittil i måneden og per dag for hvert prosjekt.

I henhold til vilkårene for lanseringstilbudet får kvalifiserte Claude Enterprise-organisasjoner, også de som kjøper abonnementet gjennom AWS Marketplace, opptil $25,000 i kampanjekreditter i hver av to påfølgende måneder, uten at de trenger å registrere seg. For eksisterende Enterprise-organisasjoner starter tilbudet 21. oktober 2026 og avsluttes ved dagens slutt 31. desember 2026. Ubrukte kreditter overføres ikke, kreditter brukes før forpliktet forbruk, og organisasjoner som registrerer seg etter 1. november 2026, får ikke to hele måneder. Tilbudet gjelder bare prosjekter som opprettes med den nye opplevelsen.

Eksisterende prosjekter fortsetter å kjøre, og eiere kan migrere dem med alternativet «Migrer prosjekt». Dette kopierer funnene til et nytt prosjekt og arkiverer det opprinnelige. Medlemmer, webhooks, utelatte kataloger, skannelogg og planlagte skanninger kopieres ikke, og GitHub Enterprise-prosjekter kan ikke migreres.

Claude Security støtter ikke Zero Data Retention, og Anthropic kan beholde data når loven krever det, eller for å håndtere brudd på retningslinjene for bruk. Selskapet viser brukere med ZDR-krav eller behov for tredjepartsmodeller til den separate Claude Security-utvidelsen for Claude Code. Den er i betaversjon for alle Claude Code-brukere og bruker modellene som er tilgjengelige i brukerens Claude Code-konto. Produktsiden opplyser at skanninger drevet av Claude Mythos-modeller bare er tilgjengelige i Claude Security-appen på Claude.ai. Der står det også at alle foreslåtte programrettinger må gjennomgås og godkjennes av et menneske, og Anthropic anbefaler at brukerne gjennomgår foreslåtte programrettinger før de tar dem i bruk, fordi Claude kan gjøre feil.