Anthropic bổ sung tính năng quét liên tục và theo dõi bản sửa lỗi cho Claude Security

Ngày 21 tháng 10 năm 2026, Anthropic phát hành phiên bản cập nhật của Claude Security dưới dạng beta công khai dành cho khách hàng Claude Enterprise, bổ sung tính năng quét liên tục theo dõi các thay đổi trong mã, tự động theo dõi bản sửa lỗi, mô hình mối đe dọa cho từng dự án và API mới. Theo ưu đãi ra mắt có hiệu lực đến hết ngày 31 tháng 12 năm 2026, các tổ chức đủ điều kiện nhận 25.000 USD tín dụng sử dụng miễn phí mỗi tháng trong hai tháng.

Anthropic cho biết kể từ khi Claude Security bước vào giai đoạn beta công khai vào tháng 4 năm 2026, hàng nghìn tổ chức đã sử dụng công cụ này để tìm ra hơn một triệu lỗ hổng. Công ty cho biết sản phẩm cập nhật được vận hành bởi toàn bộ dòng mô hình của hãng, bao gồm Claude Mythos, mà không cần quyền truy cập Cyber Verification Program.

Quét liên tục và thiết lập kho mã

Người dùng tạo dự án, kết nối các kho mã thông qua ứng dụng Claude GitHub (bao gồm GitHub Enterprise Server) hoặc bằng mã thông báo truy cập từ GitLab và các nhà cung cấp Git khác, rồi chọn nhánh và phạm vi cho từng kho mã. Sau đó, Claude tiến hành quét cơ sở chuyên sâu, có thể mất vài phút hoặc vài giờ tùy theo kích thước kho mã; tiếp đó, công cụ thường xuyên quét các thay đổi dựa trên mức độ rủi ro và độ phức tạp, nhờ vậy danh sách phát hiện luôn phản ánh sát tình trạng hiện tại của mã.

Theo tài liệu trong Trung tâm trợ giúp Claude, mỗi dự án có thể chứa tối đa tám kho mã. Một kho mã có thể nằm trong phạm vi quét, nghĩa là Claude quét kho đó và báo cáo phát hiện, hoặc chỉ được dùng làm ngữ cảnh, nghĩa là Claude đọc kho đó trong quá trình quét nhưng không báo cáo phát hiện nào từ kho; cả hai loại đều được tính vào giới hạn. Các dự án có nhiều kho mã giúp Claude phát hiện những vấn đề phát sinh giữa các dịch vụ, chẳng hạn như phần phụ trợ tin tưởng vào dữ liệu đầu vào mà lẽ ra ứng dụng phía máy khách phải xác thực.

Sau lần quét cơ sở, không có lịch quét cố định. Trung tâm trợ giúp cho biết các lần quét được thiết kế để diễn ra theo cách ngẫu nhiên: khác với các công cụ phân tích tĩnh truyền thống áp dụng những mẫu khớp cố định, Claude Security sử dụng một tác tử có khả năng điều chỉnh phân tích cho từng lần chạy, vì vậy hai lần quét cùng một đoạn mã có thể cho kết quả khác nhau.

Theo dõi bản sửa lỗi, cơ sở tri thức và mô hình mối đe dọa

Claude Security đối chiếu các phát hiện đang mở với phần mã đã thay đổi và đánh dấu chúng là đã sửa khi bản sửa lỗi được đưa vào, bất kể nhóm khắc phục vấn đề bằng Claude Code hay theo một quy trình riêng. Phát hiện đã được đánh dấu là đã sửa sẽ tự động mở lại nếu sau này Claude tìm thấy vấn đề đó một lần nữa. Các phát hiện bị loại bỏ sẽ không xuất hiện lại trong những lần quét sau; nhóm có thể loại bỏ một phát hiện vì đó là cảnh báo sai, rủi ro được chấp nhận, phát hiện trùng lặp hoặc lý do khác, đồng thời có thể thêm ghi chú phân loại tùy chọn.

Mỗi dự án có một cơ sở tri thức để các nhóm mô tả cách triển khai mã, những ai có thể truy cập mã và những chính sách bảo mật nào được áp dụng. Claude Security cũng tạo mô hình mối đe dọa dựa trên mã để các nhóm xem xét và chỉnh sửa; những lần quét tiếp theo sử dụng mô hình này để quyết định cần gắn cờ vấn đề nào và đánh giá mức độ nghiêm trọng ra sao. Trung tâm trợ giúp lưu ý rằng vì Claude xây dựng mô hình mối đe dọa từ mã nên mô hình có thể bỏ sót bối cảnh triển khai, và các nhóm có thể chỉnh sửa mô hình trong cuộc trò chuyện của dự án.

Mỗi phát hiện có mức độ nghiêm trọng được đánh giá dựa trên mô hình mối đe dọa của dự án, kèm theo giải thích về cách kẻ tấn công có thể tiếp cận đoạn mã dễ bị tổn thương; phát hiện cũng có thể bao gồm sơ đồ đường tấn công. Trung tâm trợ giúp định nghĩa mức nghiêm trọng Critical là có thể bị khai thác qua mạng bởi bất kỳ ai mà không cần đăng nhập, cho phép kẻ tấn công vừa đọc vừa thay đổi dữ liệu; High là gây tác động nghiêm trọng nhưng kẻ tấn công cần đăng nhập hoặc cần nạn nhân thực hiện một hành động, hoặc thiệt hại chỉ xảy ra một phần; Medium là gây tác động hạn chế với một điều kiện tiên quyết thực tế; và Low là gây tác động hạn chế, đòi hỏi các điều kiện đặc biệt nằm ngoài tầm kiểm soát của kẻ tấn công. Các loại phát hiện bao gồm chèn mã, duyệt đường dẫn và SSRF, lỗi xác thực và kiểm soát truy cập, an toàn bộ nhớ, mật mã học, giải tuần tự hóa, cùng các vấn đề về giao thức và mã hóa; khi phù hợp, các phát hiện có kèm mã CWE. Mỗi phát hiện đều trải qua quy trình xác minh nhiều giai đoạn, trong đó Claude xem xét nghiêm ngặt các phát hiện của chính mình trước khi chúng được đưa ra, một quy trình mà Anthropic cho biết giúp giảm số cảnh báo sai.

API, trình kết nối MCP và quyền kiểm soát truy cập

API mới cho phép người dùng liệt kê và đọc các dự án cũng như phát hiện, xử lý hoặc mở lại phát hiện, đồng thời tạo và quản lý dự án cùng các kho mã của dự án. Các mã thông báo truy cập cá nhân được tạo trong phần cài đặt Claude Security hoạt động với quyền của người dùng, chỉ xem và thay đổi những gì người dùng đó có thể xem và thay đổi; webhook có thể gửi sự kiện về phát hiện mới đến các hệ thống như Slack hoặc Jira. Claude Security cũng có sẵn dưới dạng trình kết nối MCP trong Claude.ai và Claude Code, nhờ đó kỹ sư có thể mở một phát hiện, hỏi Claude về vấn đề đó, bắt đầu sửa lỗi và đánh dấu phát hiện là đã xử lý ngay trong cùng một phiên làm việc.

Các quyền kiểm soát truy cập mới dựa trên vai trò cho phép quản trị viên quyết định ai có thể tạo dự án và ai có thể xem, phân loại hoặc quản lý dự án; dự án có thể được chia sẻ với người dùng có vai trò Full, Triage hoặc View, hoặc với toàn bộ tổ chức.

Thông báo của Anthropic có lời chia sẻ của khách hàng về giai đoạn beta trước đó và bản cập nhật. Jake Meredith thuộc nhóm bảo mật sản phẩm của Gusto cho biết Claude Security đã quét mã nguồn của công ty một lần để thiết lập mức cơ sở, và hiện tiếp tục theo dõi khi mã nguồn thay đổi. Nathan Hunstad, giám đốc bảo mật tại Vanta, cho biết trong thông báo của Anthropic: “Claude Security đã phát hiện một số lỗi logic mà không công cụ nào khác của chúng tôi tìm ra. Sau khi đưa chính sách rủi ro riêng vào mô hình mối đe dọa, tập trung vào những gì người dùng bên ngoài thực sự có thể truy cập, các phát hiện phù hợp với cách chúng tôi xác định thứ tự ưu tiên, thay vì chỉ dựa vào điểm mức độ nghiêm trọng”

Yêu cầu, giá cả và ưu đãi ra mắt

Để sử dụng Claude Security, cần có gói Claude Enterprise còn hiệu lực, một suất người dùng cao cấp cho mỗi người dùng và tín dụng sử dụng đã được bật. Chủ sở hữu bật tính năng này trong phần cài đặt tổ chức, còn quản trị viên thiết lập những người được phép truy cập. Sản phẩm chỉ tính phí trực tiếp theo chi phí token, không thu thêm phí nền tảng; các tổ chức có thể đặt hạn mức chi tiêu riêng và xem chi phí từ đầu tháng đến nay cũng như chi phí mỗi ngày cho từng dự án.

Theo điều khoản ưu đãi ra mắt, các tổ chức Claude Enterprise đủ điều kiện, bao gồm cả những tổ chức mua dịch vụ qua AWS Marketplace, sẽ nhận được tối đa 25.000 USD tín dụng khuyến mại mỗi tháng trong hai tháng liên tiếp mà không cần đăng ký. Với các tổ chức Enterprise hiện có, ưu đãi bắt đầu từ ngày 21 tháng 10 năm 2026 và kết thúc vào cuối ngày 31 tháng 12 năm 2026; tín dụng chưa sử dụng không được chuyển sang kỳ sau, tín dụng được sử dụng trước khoản chi tiêu đã cam kết, và các tổ chức đăng ký sau ngày 1 tháng 11 năm 2026 sẽ không nhận đủ hai tháng. Ưu đãi chỉ áp dụng cho các dự án được tạo bằng trải nghiệm mới.

Các dự án hiện có vẫn tiếp tục hoạt động; chủ sở hữu có thể di chuyển chúng bằng tùy chọn “Di chuyển dự án”, thao tác này sao chép các phát hiện sang dự án mới và lưu trữ dự án ban đầu. Thành viên, webhook, thư mục bị loại trừ, lịch sử quét và các lần quét theo lịch sẽ không được sao chép; các dự án GitHub Enterprise không thể di chuyển.

Claude Security không hỗ trợ chế độ không lưu giữ dữ liệu (Zero Data Retention), và Anthropic có thể lưu giữ dữ liệu khi pháp luật yêu cầu hoặc để xử lý các vi phạm chính sách sử dụng. Công ty hướng dẫn người dùng cần ZDR hoặc cần dùng mô hình của bên thứ ba đến với plugin Claude Security riêng dành cho Claude Code; plugin đang ở giai đoạn beta cho tất cả người dùng Claude Code và sử dụng các mô hình có trong tài khoản Claude Code của người dùng. Trang sản phẩm nêu rõ rằng các lượt quét sử dụng mô hình Claude Mythos chỉ khả dụng trong ứng dụng Claude Security trên Claude.ai. Trang này cũng lưu ý rằng mọi bản vá được đề xuất đều cần được con người xem xét và phê duyệt, đồng thời Anthropic khuyên người dùng nên kiểm tra các bản vá đề xuất trước khi áp dụng vì Claude có thể mắc lỗi.