Anthropic dodaje ciągłe skanowanie i śledzenie poprawek do Claude Security

21 października 2026 r. Anthropic udostępniło zaktualizowaną wersję Claude Security w publicznej wersji beta dla klientów Claude Enterprise. Aktualizacja wprowadza ciągłe skanowanie uwzględniające zmiany w kodzie, automatyczne śledzenie poprawek, modele zagrożeń dla poszczególnych projektów oraz nowe API. Kwalifikujące się organizacje otrzymają w ramach oferty premierowej bezpłatne środki na korzystanie z usługi w wysokości 25 000 USD miesięcznie przez dwa miesiące. Oferta obowiązuje do 31 grudnia 2026 r.

Anthropic poinformowało, że od czasu udostępnienia Claude Security w publicznej wersji beta w kwietniu 2026 r. tysiące organizacji wykorzystały to narzędzie do wykrycia ponad miliona luk w zabezpieczeniach. Firma podała, że zaktualizowany produkt korzysta z pełnej rodziny jej modeli, w tym Claude Mythos, i nie wymaga dostępu do programu Cyber Verification Program.

Ciągłe skanowanie i konfiguracja repozytoriów

Użytkownicy tworzą projekt, łączą repozytoria za pośrednictwem aplikacji Claude dla GitHub (w tym GitHub Enterprise Server) lub przy użyciu tokenu dostępu z GitLab i innych usług Git, a następnie wybierają gałąź i zakres skanowania dla każdego repozytorium. Claude przeprowadza szczegółowe skanowanie początkowe, które może potrwać od kilku minut do kilku godzin, zależnie od wielkości repozytorium. Później regularnie skanuje zmiany, uwzględniając ich ryzyko i złożoność, dzięki czemu lista wykrytych problemów odzwierciedla aktualny stan kodu.

Zgodnie z dokumentacją w Claude Help Center jeden projekt może obejmować maksymalnie osiem repozytoriów. Repozytorium może być objęte zakresem skanowania — Claude skanuje je i zgłasza wykryte problemy — albo służyć wyłącznie jako kontekst: Claude odczytuje je podczas skanowania, ale nie zgłasza w nim żadnych problemów. Oba rodzaje repozytoriów wliczają się do limitu. Projekty obejmujące wiele repozytoriów pozwalają Claude wykrywać problemy występujące na styku usług, na przykład sytuację, w której system zaplecza ufa danym wejściowym, które klient miał zweryfikować.

Po skanowaniu początkowym nie obowiązuje stały harmonogram kolejnych skanowań. Jak podaje Help Center, skanowania są z założenia stochastyczne: w przeciwieństwie do tradycyjnych analizatorów statycznych, które stosują stałe dopasowywanie wzorców, Claude Security wykorzystuje agenta dostosowującego analizę do każdego uruchomienia. W rezultacie dwa skanowania tego samego kodu mogą przynieść różne wyniki.

Śledzenie poprawek, bazy wiedzy i modele zagrożeń

Claude Security weryfikuje otwarte zgłoszenia na podstawie zmienionego kodu i oznacza je jako naprawione, gdy poprawka zostanie wprowadzona — niezależnie od tego, czy zespół rozwiązał problem w Claude Code, czy w osobnym procesie. Jeśli Claude później ponownie wykryje problem, zgłoszenie oznaczone jako naprawione zostanie automatycznie ponownie otwarte. Odrzucone zgłoszenia nie pojawiają się w kolejnych skanowaniach. Zespoły mogą odrzucić zgłoszenie jako wynik fałszywie pozytywny, zaakceptowane ryzyko, duplikat lub z innego powodu, a także dodać opcjonalną notatkę z oceną zgłoszenia.

Każdy projekt ma bazę wiedzy, w której zespoły opisują sposób wdrażania kodu, osoby mogące uzyskać do niego dostęp oraz obowiązujące zasady bezpieczeństwa. Claude Security tworzy również na podstawie kodu model zagrożeń, który zespoły mogą przeglądać i edytować. Kolejne skanowania korzystają z tego modelu, aby określić, jakie problemy zgłaszać i jak oceniać ich wagę. Help Center zauważa, że ponieważ Claude tworzy model zagrożeń na podstawie kodu, może nie uwzględnić kontekstu wdrożenia. Zespoły mogą uzupełnić te informacje na czacie projektu.

Każde zgłoszenie zawiera ocenę wagi ustaloną na podstawie modelu zagrożeń projektu oraz wyjaśnienie, w jaki sposób atakujący mógłby uzyskać dostęp do podatnego fragmentu kodu. Zgłoszenie może również zawierać diagram ścieżki ataku. Help Center definiuje poziom krytyczny (Critical) jako podatność możliwą do wykorzystania przez sieć przez dowolną osobę bez logowania, pozwalającą atakującemu zarówno odczytywać, jak i zmieniać dane; poziom wysoki (High) jako poważny wpływ, gdy atakujący musi się zalogować lub skłonić ofiarę do działania albo gdy szkody są częściowe; poziom średni (Medium) jako ograniczony wpływ przy jednym realistycznym warunku wstępnym; oraz poziom niski (Low) jako ograniczony wpływ wymagający szczególnych warunków niezależnych od atakującego. Kategorie zgłoszeń obejmują wstrzykiwanie, przechodzenie między ścieżkami, SSRF, błędy uwierzytelniania i kontroli dostępu, bezpieczeństwo pamięci, kryptografię, deserializację oraz problemy z protokołami i kodowaniem. W stosownych przypadkach podawane są identyfikatory CWE. Każde zgłoszenie przechodzi wieloetapową weryfikację, w trakcie której Claude krytycznie ocenia własne ustalenia, zanim zostaną przedstawione użytkownikom. Anthropic twierdzi, że ten proces ogranicza liczbę wyników fałszywie pozytywnych.

API, łącznik MCP i kontrola dostępu

Nowe API pozwala użytkownikom wyświetlać listę projektów i zgłoszeń oraz odczytywać ich szczegóły, zamykać zgłoszenia i ponownie je otwierać, a także tworzyć projekty i zarządzać nimi oraz należącymi do nich repozytoriami. Osobiste tokeny dostępu tworzone w ustawieniach Claude Security działają w imieniu użytkownika i dają dostęp do odczytu oraz wprowadzania zmian wyłącznie w zakresie jego uprawnień. Za pomocą webhooków można przekazywać do systemów takich jak Slack lub Jira powiadomienia o nowych zgłoszeniach. Claude Security jest również dostępne jako łącznik MCP w Claude.ai i Claude Code, dzięki czemu inżynier może wyświetlić zgłoszenie, zapytać o nie Claude, rozpocząć naprawę i oznaczyć problem jako rozwiązany podczas tej samej sesji.

Nowe mechanizmy kontroli dostępu oparte na rolach pozwalają administratorom określić, kto może tworzyć projekty oraz kto może je wyświetlać, segregować zgłoszenia lub nimi zarządzać. Projekty można udostępniać z rolą Pełny dostęp, Obsługa zgłoszeń lub Podgląd albo całej organizacji.

W ogłoszeniu Anthropic znalazły się wypowiedzi klientów na temat wcześniejszej wersji beta i aktualizacji. Jake Meredith z zespołu ds. bezpieczeństwa produktów w Gusto powiedział, że Claude Security raz przeskanował kod firmy, aby ustalić punkt odniesienia, a teraz na bieżąco uwzględnia zmiany w kodzie. Nathan Hunstad, dyrektor ds. bezpieczeństwa w Vanta, powiedział w ogłoszeniu Anthropic: „Claude Security wykrył szereg błędów logicznych, których nie wychwyciło żadne z naszych pozostałych narzędzi. Kiedy uwzględniliśmy w modelu zagrożeń własną politykę ryzyka, koncentrując się na tym, do czego faktycznie mogą uzyskać dostęp użytkownicy z zewnątrz, wyniki odpowiadały naszym priorytetom, a nie tylko ocenie poziomu zagrożenia”

Wymagania, ceny i oferta na start

Aby korzystać z Claude Security, trzeba mieć aktywny plan Claude Enterprise, wykupić licencję premium dla każdego użytkownika i włączyć kredyty na korzystanie z usługi. Właściciel włącza ją w ustawieniach organizacji, a administratorzy określają, kto ma do niej dostęp. Opłata za produkt obejmuje wyłącznie bezpośredni koszt tokenów — nie jest pobierana dodatkowa opłata za platformę. Organizacje mogą ustawić osobny limit wydatków oraz sprawdzać koszty od początku miesiąca i koszty dzienne dla każdego projektu.

Zgodnie z warunkami oferty na start kwalifikujące się organizacje korzystające z Claude Enterprise, w tym te, które wykupiły usługę za pośrednictwem AWS Marketplace, otrzymają do 25 000 USD kredytów promocyjnych w każdym z dwóch kolejnych miesięcy, bez konieczności rejestracji. W przypadku organizacji, które już korzystają z Enterprise, oferta rozpoczyna się 21 października 2026 r. i kończy z końcem dnia 31 grudnia 2026 r. Niewykorzystane kredyty nie przechodzą na kolejny okres, kredyty są wykorzystywane przed zakontraktowanymi wydatkami, a organizacje, które zarejestrują się po 1 listopada 2026 r., nie otrzymają pełnych dwóch miesięcy. Oferta dotyczy wyłącznie projektów utworzonych w nowej wersji.

Istniejące projekty nadal działają, a ich właściciele mogą je przenieść za pomocą opcji „Przenieś projekt”, która kopiuje ustalenia do nowego projektu i archiwizuje oryginał. Nie są kopiowane członkowie, webhooki, wykluczone katalogi, historia skanowania ani zaplanowane skanowania. Projektów GitHub Enterprise nie można przenosić.

Claude Security nie obsługuje funkcji Zero Data Retention, a Anthropic może przechowywać dane, jeśli wymaga tego prawo lub jest to konieczne, by przeciwdziałać naruszeniom zasad korzystania z usługi. Użytkownikom, którzy muszą korzystać z ZDR lub potrzebują modeli innych firm, firma wskazuje osobną wtyczkę Claude Security do Claude Code, która jest dostępna w wersji beta dla wszystkich użytkowników Claude Code i korzysta z modeli dostępnych na koncie Claude Code danego użytkownika. Na stronie produktu podano, że skanowanie z użyciem modeli Claude Mythos jest dostępne wyłącznie w aplikacji Claude Security w serwisie Claude.ai. Na stronie zaznaczono również, że każda sugerowana poprawka wymaga weryfikacji i zatwierdzenia przez człowieka, a Anthropic zaleca sprawdzenie proponowanych poprawek przed ich zastosowaniem, ponieważ Claude może popełniać błędy.