Anthropic lägger till kontinuerlig genomsökning och uppföljning av åtgärdade problem i Claude Security

Den 21 oktober 2026 släppte Anthropic en uppdaterad version av Claude Security i offentlig betaversion för Claude Enterprise-kunder. Uppdateringen innehåller kontinuerlig genomsökning som följer kodändringar, automatisk uppföljning av åtgärdade problem, hotmodeller för varje projekt och ett nytt API. Enligt ett lanseringserbjudande som gäller till och med den 31 december 2026 får kvalificerade organisationer 25 000 dollar i kostnadsfria användningskrediter per månad under två månader.

Anthropic uppgav att tusentals organisationer har använt Claude Security för att hitta över en miljon sårbarheter sedan tjänsten lanserades i offentlig betaversion i april 2026. Företaget sade att den uppdaterade produkten drivs av hela dess modellfamilj, inklusive Claude Mythos, utan att åtkomst till Cyber Verification Program krävs.

Kontinuerlig genomsökning och konfiguration av kodförråd

Användare skapar ett projekt, ansluter kodförråd via Claude-appen för GitHub (även GitHub Enterprise Server) eller med en åtkomsttoken från GitLab och andra Git-leverantörer och väljer gren och omfattning för varje kodförråd. Claude gör sedan en grundlig baslinjegenomsökning, som kan ta flera minuter eller timmar beroende på kodförrådets storlek. Därefter genomsöks ändringar regelbundet utifrån risk och komplexitet, så att listan över fynd hålls nära kodens aktuella läge.

Enligt dokumentationen i Claude Help Center kan ett projekt innehålla upp till åtta kodförråd. Ett kodförråd kan ingå i genomsökningen, vilket innebär att Claude genomsöker det och rapporterar fynd, eller användas enbart som kontext, vilket innebär att Claude läser det under genomsökningarna men inte rapporterar några fynd i det. Båda alternativen räknas in i gränsen. Projekt med flera kodförråd gör det möjligt för Claude att upptäcka problem som uppstår mellan tjänster, till exempel när en backend litar på indata som en klient förväntades validera.

Efter baslinjegenomsökningen finns det inget fast schema för genomsökningarna. I Help Center står det att de medvetet är stokastiska: till skillnad från traditionella statiska analysverktyg, som använder fasta mönstermatchningar, använder Claude Security en agent som anpassar sin analys för varje körning. Därför kan två genomsökningar av samma kod ge olika resultat.

Uppföljning av åtgärdade problem, kunskapsbaser och hotmodeller

Claude Security kontrollerar öppna fynd mot den kod som har ändrats och markerar dem som åtgärdade när korrigeringen har införts, oavsett om teamet åtgärdade problemet i Claude Code eller genom en separat process. Ett fynd som markerats som åtgärdat öppnas automatiskt igen om Claude senare upptäcker problemet på nytt. Avfärdade fynd visas inte i framtida genomsökningar. Team kan avfärda ett fynd som en falsk positiv, en accepterad risk, en dubblett eller av något annat skäl och kan även lägga till en valfri kommentar vid bedömningen.

Varje projekt har en kunskapsbas där team beskriver hur koden driftsätts, vilka som kan komma åt den och vilka säkerhetspolicyer som gäller. Claude Security skapar också en hotmodell utifrån koden, som team kan granska och redigera. Efterföljande genomsökningar använder hotmodellen för att avgöra vad som ska flaggas och hur allvarlighetsgraden ska bedömas. I Help Center står det att eftersom Claude skapar hotmodellen utifrån koden kan den missa sammanhang kring driftsättningen, och att team kan korrigera den i projektets chatt.

Varje fynd får en allvarlighetsgradering som bedöms utifrån projektets hotmodell samt en förklaring av hur en angripare skulle kunna nå den sårbara koden. Fynd kan också innehålla ett diagram över angreppsvägen. I Help Center definieras allvarlighetsgraden Kritisk som att sårbarheten kan utnyttjas via nätverket av vem som helst utan inloggning, så att angriparen både kan läsa och ändra data. Hög innebär allvarlig påverkan där angriparen behöver logga in eller få en användare att vidta en åtgärd, eller där skadan är begränsad. Medel innebär begränsad påverkan med ett realistiskt förvillkor, och Låg innebär begränsad påverkan som kräver särskilda omständigheter utanför angriparens kontroll. Fyndkategorierna omfattar injektion, sökvägsmanipulering och SSRF, brister i autentisering och åtkomstkontroll, minnessäkerhet, kryptografi, deserialisering samt problem med protokoll och teckenkodning, med CWE-ID:n där sådana finns. Varje fynd genomgår verifiering i flera steg där Claude granskar sina egna fynd kritiskt innan de visas. Anthropic uppger att den här processen ger färre falska positiva resultat.

API, MCP-anslutning och åtkomstkontroller

Det nya API:et låter användare visa och läsa projekt och fynd, lösa fynd eller öppna dem igen samt skapa och hantera projekt och deras kodförråd. Personliga åtkomsttoken som skapas i inställningarna för Claude Security agerar med användarens behörighet och kan bara visa och ändra sådant som användaren själv har åtkomst till. Webhooks kan skicka händelser om nya fynd till system som Slack eller Jira. Claude Security finns också som en MCP-anslutning i Claude.ai och Claude Code, så att en ingenjör kan öppna ett fynd, fråga Claude om det, påbörja åtgärden och markera fyndet som löst i samma session.

Nya rollbaserade åtkomstkontroller låter administratörer bestämma vem som får skapa projekt och vem som får visa, bedöma eller hantera dem. Projekt kan delas med rollerna Fullständig åtkomst, Bedömning eller Visning, eller med hela organisationen.

Anthropics tillkännagivande innehåller uttalanden från kunder om den tidigare betaversionen och uppdateringen. Jake Meredith från Gusto produktssäkerhetsteam sa att Claude Security skannade företagets kod en gång för att skapa en baslinje och nu följer med när koden ändras. Nathan Hunstad, säkerhetschef på Vanta, sa i Anthropics tillkännagivande: ”Claude Security hittade flera logiska brister som inget av våra andra verktyg hade upptäckt. När vi skrev in vår egen riskpolicy i hotmodellen och fokuserade på vad externa användare faktiskt kan komma åt, stämde resultaten med hur vi prioriterar, i stället för att enbart utgå från en allvarlighetsgrad.”

Krav, prissättning och lanseringserbjudande

För att använda Claude Security krävs en aktiv Claude Enterprise-plan, en premiumlicens för varje användare och aktiverade användningskrediter. En ägare aktiverar tjänsten i organisationens inställningar, och administratörer bestämmer vem som får åtkomst. Produkten debiteras enbart till den direkta tokenkostnaden, utan någon extra plattformsavgift. Organisationer kan ange en separat utgiftsgräns och se kostnaden per projekt hittills under månaden och per dag.

Enligt villkoren för lanseringserbjudandet får berättigade Claude Enterprise-organisationer, även de som köpt tjänsten via AWS Marketplace, kampanjkrediter på upp till 25 000 USD under var och en av två månader i följd, utan att behöva registrera sig. För befintliga Enterprise-organisationer börjar erbjudandet den 21 oktober 2026 och upphör vid dagens slut den 31 december 2026. Outnyttjade krediter förs inte över, krediterna används före avtalade utgifter och organisationer som registrerar sig efter den 1 november 2026 får inte två hela månader. Erbjudandet gäller endast projekt som skapats med den nya upplevelsen.

Befintliga projekt fortsätter att köras, och ägare kan migrera dem med alternativet ”Migrera projekt”, som kopierar resultaten till ett nytt projekt och arkiverar originalet. Medlemmar, webhooks, undantagna kataloger, skanningshistorik och schemalagda skanningar kopieras inte, och GitHub Enterprise-projekt kan inte migreras.

Claude Security har inte stöd för Zero Data Retention, och Anthropic kan behålla data när lagen kräver det eller för att hantera överträdelser av användningspolicyn. Företaget hänvisar användare med ZDR-krav eller behov av tredjepartsmodeller till det separata Claude Security-insticksprogrammet för Claude Code. Det är i betaversion för alla Claude Code-användare och använder de modeller som finns tillgängliga i användarens Claude Code-konto. På produktsidan står det att skanningar som drivs av Claude Mythos-modeller endast är tillgängliga i Claude Security-appen på Claude.ai. Där står också att varje föreslagen korrigering måste granskas och godkännas av en människa. Anthropic rekommenderar att användare granskar föreslagna korrigeringar innan de tillämpas, eftersom Claude kan göra misstag.