Anthropic 升級 Claude Security：程式碼改動自動掃，修復上線自動關

很多開發團隊對安全掃描工具的態度都很微妙：明知道得跑，但又怕它跑。因為每次跑完都是幾百條警報，很多還是脫離業務場景的假警報；而且今天剛把漏洞清零，明天同事提了個新 PR，整個程式碼庫又得重新掃一遍。

Anthropic 剛剛給旗下的 Claude Security 來了一次大升級。這個面向企業客戶的程式碼安全掃描工具，現在不再需要你手動去點掃描按鈕，而是會在程式碼倉庫發生變動時自動跟進，甚至能看懂跨服務之間的邏輯漏洞。

讓 AI 盯著程式碼變動，修好了自動劃掉

自今年 4 月開啟公測以來，已經有數千家機構用 Claude Security 找出了超過 100 萬個漏洞。這次升級最大的變化，就是把過去「拍快照」式的單次掃描，變成了持續監控。

企業使用者把 GitHub 或者 GitLab 倉庫接進來之後，Claude 會先做一次深度基準掃描。之後只要有人提交程式碼，它就會根據改動的風險和複雜度自動複查，不用任何人排期。

更有意思的是跨倉庫檢測。一個專案裡可以掛多個倉庫，很多微服務之間常見的毛病，比如後端盲目信任前端傳來的資料，現在能被直接揪出來。

而且它開始具備閉環能力。不管你的補丁是在 Claude Code 裡寫的，還是在別的編輯器裡改的，只要修復程式碼合入分支，Claude Security 就會自動把漏洞標記為已修復。要是哪天有人不小心把老程式碼又抄了回來，這個漏洞還會自動重新開啟。

讀懂你的架構，才不會亂報假警報

光會翻程式碼的工具往往最吵，因為它不知道你的網路環境裡其實早就做好了防護。這次 Anthropic 給每個專案都配了一個知識庫，讓團隊可以把部署架構、安全規範寫進去，就像在給一個新來的安全工程師交接工作。

Claude 還會根據你的程式碼自動生成威脅模型。團隊可以在這個模型上調整優先順序，之後它在挑毛病時，就會附帶攻擊路徑說明和圖解，專挑外部駭客真正能夠得著的致命漏洞報。

在協同方面，這次新增了完整的 API、Webhooks 以及 MCP 聯結器。開發者可以直接在 Claude.ai 或者終端裡的 Claude Code 介面調出漏洞詳情，邊問邊改，改完在同一個窗口裡直接關閉警報。底層甚至用上了 Claude Mythos 模型，企業客戶不需要專門去申請安全計劃的准入資格。

為了推行這套方案，Anthropic 給每家 Claude Enterprise 企業送了連續兩個月、每月 25000 美元的免費額度，活動一直持續到 2026 年 12 月 31 日。

為什麼重要

這可以說是 Anthropic 往企業核心研發流程裡扎得最深的一刀。以往的安全工具往往只負責提問題，把報告往開發者臉上一扔就算完事，導致安全團隊和業務研發天天扯皮。Claude Security 現在的打法，是把發現問題、解釋攻擊路徑到用 Claude Code 動手修復，全打包在了自己的閉環裡。

對企業安全團隊來說，那些靠傳統規則掃描查不出來的跨服務業務邏輯漏洞，最耗費資深安全專家的精力。量子計算公司 IonQ 的反饋就提到，它查出了同時期傳統滲透測試都漏掉的實質問題。如果真能把假警報壓下去，團隊現在完全值得趁著每個月兩萬五千美元的免費額度去大範圍試跑。

但這裡的隱患也很明顯。當一個團隊把程式碼庫、架構圖和威脅模型全部餵給同一個大模型，並在它的建議下一鍵修程式碼時，企業對 Anthropic 工具鏈的依賴會達到前所未有的深度。更現實的問題是，大模型分析複雜邏輯的算力成本極高，等兩個月的贈送額度用完，中小團隊能不能承受得起高頻監控的賬單，還要打個問號。