Anthropic adaugă scanarea continuă și urmărirea remedierilor în Claude Security

Pe 21 octombrie 2026, Anthropic a lansat o versiune actualizată a Claude Security, disponibilă în versiune beta publică pentru clienții Claude Enterprise. Actualizarea adaugă scanarea continuă, care urmărește modificările codului, urmărirea automată a remedierilor, modele de amenințări pentru fiecare proiect și un API nou. Organizațiile eligibile primesc credite de utilizare gratuite în valoare de 25.000 $ pe lună, timp de două luni, printr-o ofertă de lansare valabilă până la 31 decembrie 2026.

Anthropic a declarat că, de când Claude Security a intrat în versiune beta publică, în aprilie 2026, mii de organizații l-au folosit pentru a găsi peste un milion de vulnerabilități. Compania a precizat că produsul actualizat este susținut de întreaga sa familie de modele, inclusiv Claude Mythos, fără a fi necesar accesul la Programul de verificare cibernetică.

Scanarea continuă și configurarea depozitelor

Utilizatorii creează un proiect, conectează depozite prin aplicația Claude pentru GitHub (inclusiv GitHub Enterprise Server) sau cu ajutorul unui token de acces de la GitLab și alți furnizori Git, apoi aleg ramura și aria de scanare pentru fiecare depozit. Claude efectuează apoi o scanare inițială aprofundată, care poate dura de la câteva minute la câteva ore, în funcție de dimensiunea depozitului. Ulterior, scanează periodic modificările, în funcție de riscul și complexitatea acestora, astfel încât lista constatărilor să reflecte cât mai bine starea actuală a codului.

Potrivit documentației din Centrul de ajutor Claude, un proiect poate include până la opt depozite. Un depozit poate fi inclus în aria de scanare, ceea ce înseamnă că Claude îl scanează și raportează constatările, sau poate fi folosit doar ca sursă de context, caz în care Claude îl citește în timpul scanărilor, dar nu raportează constatări în legătură cu acesta; ambele tipuri de depozite se iau în calcul pentru limită. Proiectele cu mai multe depozite îi permit lui Claude să identifice probleme care apar între servicii, de exemplu situația în care un serviciu de backend are încredere în datele de intrare pe care un client ar fi trebuit să le valideze.

După scanarea inițială, nu există un program fix de scanare. Centrul de ajutor precizează că scanările sunt aleatorii prin proiectare: spre deosebire de analizoarele statice tradiționale, care aplică potriviri de tipare fixe, Claude Security folosește un agent care își adaptează analiza la fiecare rulare, astfel încât două scanări ale aceluiași cod pot da rezultate diferite.

Urmărirea remedierilor, baze de cunoștințe și modele de amenințări

Claude Security verifică constatările deschise în raport cu codul modificat și le marchează ca remediate atunci când remedierea este integrată, indiferent dacă echipa a rezolvat problema în Claude Code sau printr-un proces separat. O constatare marcată ca remediată se redeschide automat dacă Claude identifică din nou problema ulterior. Constatările respinse nu reapar în scanările viitoare; echipele pot respinge o constatare considerată rezultat fals pozitiv, risc acceptat, duplicat sau din alt motiv și pot adăuga opțional o notă de triere.

Fiecare proiect are o bază de cunoștințe în care echipele descriu cum este implementat codul, cine îl poate accesa și ce politici de securitate i se aplică. Claude Security generează, de asemenea, un model de amenințări pe baza codului, pe care echipele îl pot examina și modifica, iar scanările ulterioare folosesc acel model pentru a stabili ce probleme să semnaleze și cum să le evalueze gravitatea. Centrul de ajutor menționează că, deoarece Claude generează modelul de amenințări pornind de la cod, este posibil să nu surprindă contextul implementării; echipele îl pot corecta în conversația proiectului.

Fiecare constatare include un nivel de gravitate evaluat în raport cu modelul de amenințări al proiectului și o explicație despre cum ar putea un atacator să ajungă la codul vulnerabil; constatările pot include și o diagramă a traseului de atac. Centrul de ajutor definește nivelul Critic drept o vulnerabilitate exploatabilă prin rețea de către oricine, fără autentificare, care îi permite atacatorului atât să citească, cât și să modifice date; nivelul Ridicat indică un impact grav, când atacatorul are nevoie de autentificare sau de o acțiune a victimei ori când daunele sunt parțiale; nivelul Mediu indică un impact limitat, cu o condiție prealabilă realistă; iar nivelul Scăzut indică un impact limitat, care presupune condiții speciale aflate în afara controlului atacatorului. Categoriile de constatări includ injecția, traversarea căilor și SSRF, probleme de autentificare și control al accesului, siguranța memoriei, criptografia, deserializarea, precum și probleme legate de protocoale și codificare; acolo unde este cazul, sunt incluse ID-uri CWE. Fiecare constatare este supusă unei verificări în mai multe etape, în cadrul căreia Claude își analizează critic propriile constatări înainte ca acestea să fie afișate; Anthropic afirmă că acest proces reduce numărul rezultatelor fals pozitive.

API, conector MCP și controale de acces

Noul API le permite utilizatorilor să listeze și să consulte proiecte și constatări, să rezolve sau să redeschidă constatări și să creeze și să gestioneze proiecte și depozitele acestora. Tokenurile de acces personal create din setările Claude Security acționează în numele utilizatorului, având acces doar la ceea ce acel utilizator poate vedea și modifica, iar webhook-urile pot trimite evenimente despre constatări noi către sisteme precum Slack sau Jira. Claude Security este disponibil și ca un conector MCP în Claude.ai și Claude Code, astfel încât un inginer poate deschide o constatare, îl poate întreba pe Claude despre aceasta, poate începe remedierea și o poate marca drept rezolvată în aceeași sesiune.

Noile controale de acces bazate pe roluri le permit administratorilor să decidă cine poate crea proiecte și cine le poate vizualiza, tria sau gestiona; proiectele pot fi partajate cu roluri de acces complet, triere sau vizualizare ori cu întreaga organizație.

Anunțul Anthropic include declarații ale clienților despre versiunea beta anterioară și actualizare. Jake Meredith, din echipa de securitate a produselor de la Gusto, a spus că Claude Security a scanat o singură dată codul companiei pentru a stabili un nivel de referință, iar acum ține pasul cu modificările codului. Nathan Hunstad, directorul de securitate de la Vanta, a declarat în anunțul Anthropic: „Claude Security a identificat mai multe erori logice pe care niciunul dintre celelalte instrumente ale noastre nu le detectase. După ce ne-am inclus propria politică de risc în modelul de amenințări, concentrându-ne asupra elementelor la care pot ajunge efectiv utilizatorii externi, constatările au reflectat modul în care stabilim prioritățile, în loc să se bazeze doar pe un scor de severitate”

Cerințe, prețuri și ofertă de lansare

Pentru a utiliza Claude Security, este necesar un plan Claude Enterprise activ, un loc premium pentru fiecare utilizator și credite de utilizare activate; un proprietar activează serviciul din setările organizației, iar administratorii stabilesc cine îi poate accesa funcțiile. Produsul este tarifat doar la costul direct al tokenurilor, fără taxe suplimentare pentru platformă, iar organizațiile pot stabili o limită separată de cheltuieli și pot consulta costurile de la începutul lunii și costurile zilnice pentru fiecare proiect.

Conform condițiilor ofertei de lansare, organizațiile Claude Enterprise eligibile, inclusiv cele care au achiziționat serviciul prin AWS Marketplace, primesc credite promoționale de până la 25.000 $ în fiecare dintre două luni consecutive, fără să fie necesară înscrierea. Pentru organizațiile Enterprise existente, oferta începe la 21 octombrie 2026 și se încheie la sfârșitul zilei de 31 decembrie 2026; creditele neutilizate nu se reportează, creditele sunt folosite înaintea cheltuielilor angajate, iar organizațiile care se înscriu după 1 noiembrie 2026 nu vor beneficia de două luni întregi. Oferta se aplică numai proiectelor create cu noua experiență.

Proiectele existente continuă să funcționeze, iar proprietarii le pot migra prin opțiunea „Migrați proiectul”, care copiază constatările într-un proiect nou și arhivează proiectul inițial; membrii, webhook-urile, directoarele excluse, istoricul scanărilor și scanările programate nu sunt copiate, iar proiectele GitHub Enterprise nu pot fi migrate.

Claude Security nu acceptă păstrarea zero a datelor (ZDR), iar Anthropic poate păstra datele atunci când legea o impune sau pentru a aborda încălcările politicii de utilizare. Compania îndrumă utilizatorii care au nevoie de ZDR sau de modele terțe către pluginul separat Claude Security pentru Claude Code, aflat în versiune beta pentru toți utilizatorii Claude Code și care folosește modelele disponibile în contul Claude Code al utilizatorului; pagina produsului precizează că scanările bazate pe modelele Claude Mythos sunt disponibile doar în aplicația Claude Security de pe Claude.ai. Pagina menționează, de asemenea, că fiecare remediere sugerată necesită verificare și aprobare din partea unei persoane, iar Anthropic le recomandă utilizatorilor să verifice remedierile propuse înainte de a le aplica, deoarece Claude poate face greșeli.