Anthropic 更新了 Claude Security，让它能持续检查已连接的代码仓库，代码一变就跟着看，不再等人手动发起每一次扫描。

打开网易新闻 查看精彩图片

按 Anthropic 的说法，自 4 月公测以来已有数千家机构使用 Claude Security，累计发现超过 100 万个漏洞。这个数字来自公司自身，尚未经过独立核实。更新后的产品面向 Claude Enterprise 客户开放公测。

这次改动的核心，是把漏洞发现拉近到软件当前的状态。新代码会引入风险，旧修复也可能失效，安全团队和开发团队需要面对的是不断变化的代码，而不是某一次扫描留下的快照。

扫描怎么跑

团队先创建项目、连接仓库，再选择要扫描的分支和代码区域。服务支持 Claude GitHub 应用，包括 GitHub Enterprise Server，也支持 GitLab 及其他 Git 提供商的访问令牌。

流程上先做一次深度扫描建立基线，之后按代码变更的风险和复杂度，以不同间隔检查改动。Anthropic 表示没有固定的扫描时间表。

一个项目可以包含多个仓库。这一点有实际意义：安全问题有时出在两个服务如何配合，而不是某个文件本身的缺陷。比如后端服务可能默认客户端已经校验过用户输入。跨连接的代码一起看，Claude Security 才能评估这类关系，并追踪数据在应用中的流动路径。

Anthropic 称该工具使用其 Claude 模型进行安全分析，其中包括 Claude Mythos，客户无需接入 Cyber Verification Program 即可使用。扫描结果包含基于项目威胁模型给出的严重性评级、漏洞代码可能被触达方式的说明，部分情况下还会附上展示应用内路径的示意图。

修复状态会被跟踪

找到问题只是漏洞管理的一环。团队还要判断某个发现是否适用于自己的环境、指派处理人、做出修改，并确认问题已经消失。

Claude Security 会把未关闭的发现与变更后的代码比对，一旦检测到修正就标记为已修复，即使修复工作发生在 Claude Code 之外。如果后续扫描再次发现同一问题，该发现会被重新打开。

服务还允许团队补充代码本身看不出的信息。项目里可以写入软件如何部署、适用哪些安全规则、已有何种控制措施保护系统。Claude Security 会从代码生成威胁模型，团队可以审阅和编辑，后续扫描借助这个模型判断哪些问题重要、严重程度如何。这些上下文能减少对组织已处理风险的关注，但团队仍需核对信息是否正确。

为接入现有安全工作流，Anthropic 增加了 API、webhooks，以及面向 Claude.ai 和 Claude Code 的 MCP 连接器。团队可以用 API 读取发现、管理项目、解决或重新打开问题；webhooks 可在出现新发现时发出提醒；MCP 连接器让工程师在 Claude 会话中讨论某个发现并着手修复。基于角色的访问控制则让管理员设定谁能查看项目、审阅发现或创建项目。

该服务仍处于测试阶段。Anthropic 的帮助文档提示，扫描结果在不同运行之间可能有所差异，建议的修复方案在使用前应当经过审阅。对组织而言，它的发现和修复状态更适合当作有用信号，而不是人工审查的替代品。