Claude Code 上線自動安全審查：終端一條命令掃漏洞，還能直接修

很多團隊用 AI 寫程式碼寫得飛快，結果到了上線前一測，漏洞百出。

Anthropic 給旗下的命令列工具 Claude Code 加上了自動化安全審查功能。開發者在把程式碼推上去之前，只要在終端裡敲一行命令，或者讓 GitHub 自動跑審查，Claude 就能把安全隱患挑出來，還能順手把修補程式碼給寫了。

終端裡敲一行，PR 裡守一道門

這次更新主要分成了兩處場景。

第一處在開發者的本地終端裡。升級 Claude Code 後，只要在專案目錄輸入 /security-review 命令，Claude 就會調動專門針對安全最佳化的提示詞，掃描原生代碼庫裡的隱患。

它主要盯防五大類常見毛病，包括 SQL 注入、跨站指令碼 XSS、認證和授權缺陷、不安全的資料處理以及第三方依賴漏洞。發現問題之後，它不僅會給出解釋，你還可以直接讓它當場動手改程式碼。

第二處則接進了團隊的協作流程。Anthropic 推出了一套新的 GitHub Action，只要有人新建 Pull Request，它就會自動觸發程式碼審查。

這套 Action 允許團隊自定義規則來過濾誤報和已知問題，並且會直接在 PR 的程式碼行旁邊留言，指出漏洞具體在哪裡，應該怎麼改。

Anthropic 自己踩雷，自己排雷

Anthropic 透露，他們內部在開發生產級程式碼和 Claude Code 本身時，就已經在用這套 GitHub Action 把關了。

上週他們內部團隊給一個工具開發新功能，需要啟動一個只接受本地連線的 HTTP 伺服器。結果 GitHub Action 直接在 PR 合併前報了警，指出這裡存在一個可能被 DNS 重繫結利用的遠端程式碼執行 RCE 漏洞。

另一個案例是工程師做內部憑證管理的代理系統，GitHub Action 同樣自動檢測出了可能遭受 SSRF 服務端請求偽造攻擊的風險，趕在上線前排掉了隱患。

目前所有 Claude Code 使用者更新到最新版本後，都可以直接使用終端命令，GitHub Action 也已經開放給團隊整合。

為什麼重要

我們認為，Anthropic 把安全審查做進終端和 PR 流程，切中的是當前 AI 程式設計最大的痛點。

現在很多人用 AI 生成程式碼，速度是提上去了，但開發者往往來不及仔細推敲安全細節。以往的程式碼審計往往要等專門的安全團隊或者昂貴的商業掃描器介入，往往滯後而且打斷節奏。Claude Code 這種隨寫隨查甚至直接給 patch 的做法，把安全把關的門檻拉到了最低，普通獨立開發者也能立刻用起來。

對行業來說，這也是 AI 程式設計工具競爭的一個轉折點。程式碼助手的競爭正從單純的比拼寫程式碼速度，轉向比拼程式碼交付的質量和可靠性。其他廠商接下來大機率也會跟進類似的端到端安全機制。

不過看起來也有潛在隱患。LLM 做程式碼安全審計通常存在幻覺和誤報漏報的平衡問題，雖然 Anthropic 提供了自定義過濾規則，但把關生產環境的安全依然不能完全依賴 AI 自己審查自己。開發者如果因此徹底放棄人工稽核，反倒可能引入更大的盲區。