Anthropic adiciona varredura contínua e acompanhamento de correções ao Claude Security

Em 21 de outubro de 2026, a Anthropic lançou uma versão atualizada do Claude Security em beta pública para clientes do Claude Enterprise, com varredura contínua que acompanha as alterações no código, acompanhamento automático de correções, modelos de ameaças por projeto e uma nova API. Organizações elegíveis recebem US$ 25.000 em créditos de uso gratuitos por mês durante dois meses, em uma oferta de lançamento válida até 31 de dezembro de 2026.

A Anthropic afirmou que, desde que o Claude Security entrou em beta pública, em abril de 2026, milhares de organizações o utilizaram para encontrar mais de um milhão de vulnerabilidades. A empresa disse que o produto atualizado é alimentado por toda a sua família de modelos, incluindo o Claude Mythos, sem necessidade de acesso ao Programa de Verificação Cibernética.

Varredura contínua e configuração de repositórios

Os usuários criam um projeto, conectam repositórios pelo aplicativo Claude para GitHub (incluindo o GitHub Enterprise Server) ou com um token de acesso do GitLab e de outros provedores Git, e escolhem a ramificação e o escopo de cada repositório. Em seguida, o Claude executa uma varredura inicial aprofundada, que pode levar de alguns minutos a várias horas, dependendo do tamanho do repositório. Depois, verifica regularmente as alterações, de acordo com o risco e a complexidade delas, para que a lista de resultados permaneça próxima do estado atual do código.

De acordo com a documentação da Central de Ajuda do Claude, um projeto pode incluir até oito repositórios. Um repositório pode estar no escopo, o que significa que o Claude o verifica e informa os resultados, ou ser usado apenas como contexto, o que significa que o Claude o lê durante as varreduras, mas não informa resultados sobre ele; ambos contam para o limite. Projetos com vários repositórios permitem que o Claude detecte problemas que surgem entre serviços, como um servidor de back-end que confia em dados de entrada que um cliente deveria ter validado.

Não há um cronograma fixo para as varreduras após a inicial. A Central de Ajuda afirma que, por concepção, as varreduras são estocásticas: ao contrário dos analisadores estáticos tradicionais, que aplicam correspondências de padrões fixos, o Claude Security usa um agente que adapta sua análise a cada execução. Assim, duas varreduras do mesmo código podem produzir resultados diferentes.

Acompanhamento de correções, bases de conhecimento e modelos de ameaças

O Claude Security verifica os resultados em aberto em relação ao código alterado e os marca como corrigidos quando a correção é implementada, quer a equipe tenha resolvido o problema no Claude Code, quer por meio de um processo separado. Se o Claude voltar a encontrar o problema, um resultado marcado como corrigido será reaberto automaticamente. Resultados descartados não voltam a aparecer em varreduras futuras; as equipes podem descartar um resultado por considerá-lo um falso positivo, um risco aceito, uma duplicata ou por outro motivo, com a opção de adicionar uma observação de triagem.

Cada projeto tem uma base de conhecimento na qual as equipes descrevem como o código é implantado, quem pode acessá-lo e quais políticas de segurança se aplicam. O Claude Security também gera, com base no código, um modelo de ameaças que as equipes podem revisar e editar. As varreduras posteriores usam esse modelo para decidir o que sinalizar e como avaliar a gravidade. A Central de Ajuda observa que, como o Claude cria o modelo de ameaças a partir do código, pode não captar o contexto da implantação; as equipes podem corrigi-lo no chat do projeto.

Cada resultado inclui uma classificação de gravidade, avaliada com base no modelo de ameaças do projeto, e uma explicação de como um invasor poderia chegar ao código vulnerável; também pode incluir um diagrama do caminho de ataque. A Central de Ajuda define a gravidade Crítica como uma vulnerabilidade explorável pela rede por qualquer pessoa sem precisar fazer login, que permite ao invasor tanto ler quanto alterar dados; Alta como um impacto grave em que o invasor precisa fazer login ou contar com a ação de uma vítima, ou em que os danos são parciais; Média como um impacto limitado com uma condição prévia realista; e Baixa como um impacto limitado que exige condições especiais fora do controle do invasor. As categorias de resultados incluem injeção, travessia de diretórios e SSRF, falhas de autenticação e controle de acesso, segurança da memória, criptografia, desserialização e problemas de protocolo e codificação, com IDs CWE quando aplicável. Todos os resultados passam por uma verificação em várias etapas, na qual o Claude analisa criticamente suas próprias descobertas antes de apresentá-las; segundo a Anthropic, esse processo reduz os falsos positivos.

API, conector MCP e controles de acesso

A nova API permite que os usuários listem e consultem projetos e resultados, resolvam ou reabram resultados e criem e gerenciem projetos e seus repositórios. Os tokens de acesso pessoal criados nas configurações do Claude Security atuam em nome do usuário e só permitem visualizar e alterar aquilo a que ele próprio tem acesso. Os webhooks podem enviar eventos de novos resultados para sistemas como Slack ou Jira. O Claude Security também está disponível como conector MCP no Claude.ai e no Claude Code, permitindo que um engenheiro consulte um resultado, pergunte ao Claude sobre ele, comece a corrigir o problema e o marque como resolvido na mesma sessão.

Os novos controles de acesso baseados em funções permitem que os administradores decidam quem pode criar projetos e quem pode visualizá-los, fazer a triagem ou gerenciá-los. Os projetos podem ser compartilhados com as funções Acesso total, Triagem ou Visualização, ou com toda a organização.

O anúncio da Anthropic inclui declarações de clientes sobre a versão beta anterior e a atualização. Jake Meredith, da equipe de segurança de produtos da Gusto, disse que o Claude Security analisou o código da empresa uma vez para estabelecer uma referência inicial e, agora, acompanha as mudanças no código. Nathan Hunstad, diretor de segurança da Vanta, disse no anúncio da Anthropic: «O Claude Security encontrou várias falhas de lógica que nenhuma das nossas outras ferramentas havia detectado. Depois que incorporamos nossa própria política de risco ao modelo de ameaças, concentrando-nos no que os usuários externos realmente conseguem acessar, os resultados passaram a corresponder à forma como priorizamos os riscos, em vez de se basearem apenas em uma pontuação de gravidade»

Requisitos, preços e oferta de lançamento

Para usar o Claude Security, é necessário ter um plano Claude Enterprise ativo, uma licença premium para cada usuário e créditos de uso ativados; um proprietário ativa o recurso nas configurações da organização, e os administradores definem quem pode acessá-lo. O produto é cobrado apenas pelo custo direto dos tokens, sem taxas adicionais de plataforma, e as organizações podem definir um limite de gastos separado e consultar os custos acumulados no mês e por dia para cada projeto.

Nos termos da oferta de lançamento, as organizações elegíveis do Claude Enterprise, inclusive as que o adquiriram pelo AWS Marketplace, recebem até US$ 25.000 em créditos promocionais em cada um de dois meses consecutivos, sem necessidade de inscrição. Para as organizações Enterprise existentes, a oferta começa em 21 de outubro de 2026 e termina no fim do dia 31 de dezembro de 2026; os créditos não utilizados não são transferidos, os créditos são usados antes dos gastos comprometidos e as organizações que se inscreverem após 1º de novembro de 2026 não terão dois meses completos. A oferta se aplica apenas a projetos criados com a nova experiência.

Os projetos existentes continuam funcionando, e os proprietários podem migrá-los por meio da opção «Migrar projeto», que copia os achados para um novo projeto e arquiva o original; membros, webhooks, diretórios excluídos, histórico de análises e análises agendadas não são copiados, e projetos do GitHub Enterprise não podem ser migrados.

O Claude Security não é compatível com Zero Data Retention, e a Anthropic pode reter dados quando exigido por lei ou para lidar com violações das políticas de uso. A empresa orienta os usuários que precisam de ZDR ou de modelos de terceiros a usar o plugin separado do Claude Security para Claude Code, que está em versão beta para todos os usuários do Claude Code e utiliza os modelos disponíveis na conta Claude Code do usuário; a página do produto informa que as análises executadas com modelos Claude Mythos estão disponíveis apenas no aplicativo Claude Security no Claude.ai. A página também observa que todas as correções sugeridas exigem análise e aprovação humanas, e a Anthropic recomenda que os usuários revisem as correções propostas antes de aplicá-las, pois o Claude pode cometer erros.