Anthropic додала до Claude Security безперервне сканування та відстеження виправлень

21 жовтня 2026 року Anthropic випустила оновлену версію Claude Security у форматі публічної бета-версії для клієнтів Claude Enterprise. Серед нових можливостей — безперервне сканування з урахуванням змін у коді, автоматичне відстеження виправлень, моделі загроз для окремих проєктів і новий API. У межах пропозиції з нагоди запуску, яка діє до 31 грудня 2026 року, відповідні організації отримуватимуть кредити на безкоштовне користування на суму 25 000 доларів США щомісяця протягом двох місяців.

За словами Anthropic, від початку публічного бета-тестування Claude Security у квітні 2026 року тисячі організацій скористалися ним, щоб виявити понад мільйон вразливостей. Компанія зазначила, що в оновленому продукті використовується все сімейство її моделей, зокрема Claude Mythos, і для цього не потрібен доступ до Cyber Verification Program.

Безперервне сканування та налаштування репозиторіїв

Користувачі створюють проєкт, під’єднують репозиторії через застосунок Claude для GitHub (зокрема GitHub Enterprise Server) або за допомогою токена доступу від GitLab чи інших Git-платформ, а потім вибирають гілку й область сканування для кожного репозиторію. Після цього Claude виконує поглиблене базове сканування, яке залежно від розміру репозиторію може тривати кілька хвилин або годин. Надалі система регулярно сканує зміни, зважаючи на їхній ризик і складність, щоб список виявлених проблем відповідав поточному стану коду.

Згідно з документацією довідкового центру Claude, один проєкт може містити до восьми репозиторіїв. Репозиторій можна включити в область сканування — тоді Claude перевірятиме його й повідомлятиме про виявлені проблеми — або використовувати лише як контекст: у такому разі Claude читатиме його під час сканування, але не повідомлятиме про проблеми в ньому. Обидва типи репозиторіїв враховуються в ліміті. Завдяки проєктам із кількома репозиторіями Claude може виявляти проблеми на стику сервісів, наприклад коли серверна частина покладається на перевірку вхідних даних, яку мав виконати клієнт.

Після базового сканування фіксованого розкладу перевірок немає. У довідковому центрі зазначено, що сканування навмисно має стохастичний характер: на відміну від традиційних статичних аналізаторів, які зіставляють код із фіксованими шаблонами, Claude Security використовує агента, що адаптує аналіз до кожного запуску. Тому результати двох сканувань того самого коду можуть відрізнятися.

Відстеження виправлень, бази знань і моделі загроз

Claude Security перевіряє відкриті проблеми за зміненим кодом і позначає їх як виправлені, щойно виправлення внесено — незалежно від того, чи команда усунула проблему в Claude Code, чи в інший спосіб. Якщо Claude згодом знову виявить проблему, позначену як виправлену, вона автоматично відкриється повторно. Відхилені проблеми не з’являються в наступних скануваннях; команди можуть відхилити проблему як хибне спрацювання, прийнятий ризик, дублікат або з іншої причини, додавши за бажанням примітку для сортування.

Кожен проєкт має базу знань, у якій команди описують, як розгортається їхній код, хто має до нього доступ і які політики безпеки застосовуються. Claude Security також формує на основі коду модель загроз, яку команди можуть переглядати й редагувати. Під час наступних сканувань ця модель допомагає вирішити, на що звертати увагу та як оцінювати серйозність проблем. У довідковому центрі зазначено, що Claude створює модель загроз на основі коду, тому може не врахувати особливості розгортання; команди можуть виправити це в чаті проєкту.

Для кожної виявленої проблеми визначається рівень серйозності з огляду на модель загроз проєкту та наводиться пояснення, як зловмисник може дістатися вразливого коду; також до опису проблеми може додаватися схема шляху атаки. У довідковому центрі критичний рівень визначено як можливість експлуатації через мережу будь-ким без входу в систему, що дає змогу зловмиснику і читати, і змінювати дані. Високий рівень означає серйозний вплив, коли зловмисникові потрібен обліковий запис або дія жертви, чи коли шкода є частковою. Середній рівень — це обмежений вплив за наявності однієї реалістичної передумови. Низький рівень означає обмежений вплив, для якого потрібні особливі умови поза контролем зловмисника. До категорій виявлених проблем належать ін’єкції, обхід каталогів і SSRF, недоліки автентифікації та контролю доступу, проблеми безпеки пам’яті, криптографії, десеріалізації, протоколів і кодування; де це доречно, додаються ідентифікатори CWE. Кожна виявлена проблема проходить багатоступеневу перевірку: перш ніж її буде показано, Claude критично аналізує власні результати. За словами Anthropic, завдяки цьому зменшується кількість хибних спрацювань.

API, конектор MCP і засоби контролю доступу

Новий API дає змогу переглядати список проєктів і виявлених проблем та читати їх, позначати проблеми як усунені або відкривати їх повторно, а також створювати проєкти й керувати ними та їхніми репозиторіями. Персональні токени доступу, створені в налаштуваннях Claude Security, діють від імені користувача: з ними можна переглядати й змінювати лише те, до чого має доступ цей користувач. Вебхуки можуть передавати в системи на кшталт Slack або Jira повідомлення про нові виявлені проблеми. Claude Security також доступний як конектор MCP у Claude.ai та Claude Code, тож інженер може відкрити опис проблеми, запитати про неї Claude, розпочати виправлення й позначити проблему як усунену в межах одного сеансу.

Нові засоби контролю доступу на основі ролей дають адміністраторам змогу визначати, хто може створювати проєкти, а хто — переглядати їх, сортувати виявлені проблеми чи керувати ними. Проєктами можна ділитися, надаючи ролі «Повний доступ», «Сортування» або «Перегляд», або відкривати їх для всієї організації.

В оголошенні Anthropic наведено відгуки клієнтів про попередню бета-версію та оновлення. Джейк Мередіт із команди безпеки продуктів Gusto розповів, що Claude Security одноразово перевірив код компанії, щоб встановити базовий рівень, а тепер стежить за змінами в коді. Натан Ганстад, директор із безпеки Vanta, сказав у оголошенні Anthropic: «Claude Security виявив низку логічних помилок, яких не знайшов жоден із наших інших інструментів. Коли ми додали власну політику ризиків до моделі загроз і зосередилися на тому, до чого насправді можуть отримати доступ зовнішні користувачі, результати відповідали нашим пріоритетам, а не лише оцінці серйозності»

Вимоги, ціни та пропозиція до запуску

Для використання Claude Security потрібні активний план Claude Enterprise, преміум-ліцензія для кожного користувача та ввімкнені кредити на використання. Власник облікового запису вмикає сервіс у налаштуваннях організації, а адміністратори визначають, хто матиме до нього доступ. Оплата стягується лише за фактичну вартість токенів — без додаткової плати за платформу. Організації можуть установити окремий ліміт витрат і переглядати витрати від початку місяця та за кожен день для кожного проєкту.

Згідно з умовами пропозиції до запуску, організації Claude Enterprise, які відповідають вимогам, зокрема ті, що придбали план через AWS Marketplace, отримають рекламні кредити на суму до $25,000 у кожному з двох місяців поспіль без необхідності реєструватися. Для організацій, які вже користуються Enterprise, пропозиція діє з 21 жовтня 2026 року до кінця дня 31 грудня 2026 року. Невикористані кредити не переносяться на наступний період, кредити застосовуються до зафіксованих витрат, а організації, які зареєструються після 1 листопада 2026 року, не отримають повні два місяці. Пропозиція поширюється лише на проєкти, створені в новому інтерфейсі.

Наявні проєкти продовжують працювати, а власники можуть перенести їх за допомогою опції «Перенести проєкт», яка копіює результати перевірок у новий проєкт і архівує оригінал. Учасники, вебхуки, виключені каталоги, історія сканувань і заплановані сканування не копіюються; проєкти GitHub Enterprise перенести неможливо.

Claude Security не підтримує політику нульового зберігання даних (Zero Data Retention, ZDR), а Anthropic може зберігати дані, якщо цього вимагає закон або щоб реагувати на порушення політики використання. Компанія радить користувачам, яким потрібна підтримка ZDR або сторонні моделі, скористатися окремим плагіном Claude Security для Claude Code. Він перебуває на стадії бета-тестування й доступний усім користувачам Claude Code, а також використовує будь-які моделі, доступні в обліковому записі Claude Code користувача. На сторінці продукту зазначено, що сканування на моделях Claude Mythos доступне лише в застосунку Claude Security на Claude.ai. Там також наголошено, що кожне запропоноване виправлення має перевірити й схвалити людина, а Anthropic радить перевіряти запропоновані виправлення перед застосуванням, оскільки Claude може помилятися.