Anthropic 公測 Claude Security：用 Opus 4.7 掃漏洞並直接寫補丁

過去在技術團隊裡，安全審計最折磨人的地方往往不是程式碼有漏洞，而是安全掃描器扔出來的成百上千條誤報。工程師得花幾天時間挨個排查，再在 Jira 和 Slack 裡跟安全部門來回扯皮。

Anthropic 正式把此前測試的 Claude Code Security 改名為 Claude Security，並面向 Claude 企業版客戶啟動公開測試。這一次，Anthropic 直接端出了旗艦模型 Claude Opus 4.7，要讓 AI 替人類既當白帽駭客，又當修補匠。

像人類駭客一樣順藤摸瓜

傳統的靜態掃描工具大多是在找已知的程式碼模式，經常把正常的業務邏輯誤判為高危漏洞。Claude Security 走的是另一條路，它會像安全研究人員一樣通讀原始碼，追蹤跨檔案、跨模組的資料流動，理解你的具體業務邏輯。

Anthropic 專門搭建了一套多階段驗證管線，在把掃描結果交給工程師之前，先用內部模型做一輪獨立審查，給每一條漏洞打上置信度評分。這樣做的目的很明確：先把讓人抓狂的誤報壓下去，確保推給團隊的都是值得花精力處理的問題。

工程師在 Claude 側邊欄或者專屬頁面就能直接開工，既能指定具體程式碼庫，也能按特定目錄和分支掃描。找到漏洞後，Claude 會給出嚴重級別、影響範圍、復現步驟以及針對性的修復補丁。

配合網頁端的 Claude Code，開發者可以在上下文環境裡直接調優程式碼。像 DoorDash 這類早期測試企業就提到，過去安全部門發現問題到工程團隊修復往往要耗上好幾天，現在直接把漏洞轉化成了可以在幾分鐘內合併的程式碼 PR。

對於日常管理，公測版還補上了定時掃描、帶理由標記忽略、匯出 CSV 或 Markdown 格式，並且能用 Webhook 把結果直推到 Slack 和 Jira。

盟友拉進群，後門關嚴實

除了在自己的網頁端開箱即用，Anthropic 這次拉來的盟友陣營相當龐大。CrowdStrike、微軟安全部門、Palo Alto Networks、SentinelOne、TrendAI 以及 Wiz 等網路安全廠商，已經在把 Opus 4.7 嵌入各自的原生平臺中。

而在落地交付層面，埃森哲、波士頓諮詢、德勤、印孚瑟斯和普華永道也成了服務夥伴，幫大型企業把這套 AI 審查流程嵌進現有的安全合規體系裡。

不過，把這麼強的挖漏洞能力放出來，難免讓人擔心被駭客反向利用。此前 Anthropic 在 Project Glasswing 專案裡測試過名為 Claude Mythos Preview 的模型，其漏洞挖掘和利用能力已經匹敵甚至超越了人類頂級專家。

為了防患於未然，Opus 4.7 內部內建了網路安全防護攔截規則，一旦檢測到請求帶有違規利用或高危攻擊意圖就會自動攔截。如果你是正規的安全防禦人員，需要通過 Anthropic 的網路安全驗證計劃稽核，才能解開限制。

目前該功能已向企業版開放，團隊版和 Max 版客戶還需要再等一等。

為什麼重要

對開發者和企業工程團隊來說，Claude Security 最實打實的價值不是教你怎麼寫程式碼，而是幫你砍掉了最耗時耗力的安全溝通摩擦。它跳過了自己寫指令碼、調 API 的門檻，點點滑鼠就能跑，而且給出的不是冰冷的警報，而是可直接 review 的補丁。如果你手裡有大型遺留程式碼庫或者迭代極快的前端業務，現在就值得在企業版裡試跑一次全量排查。

從行業影響來看，Anthropic 這次打法非常老練。它沒有把自己孤立成傳統安全廠商的死敵，而是先把模型能力當成彈藥，同時賣給 CrowdStrike、微軟和 Palo Alto 這種巨頭，再讓諮詢公司去收實施費。這不僅壓縮了攻擊者尋找漏洞和發起利用的時間差，也逼著其他大模型廠商必須在安全合規落地場景裡拿出可閉環的方案，而不再只是秀跑分。

我們認為，Anthropic 這套打法很聰明，它把勝負手壓在了準確率和驗證管線上，因為安全領域只要被誤報坑過幾次，使用者就會徹底棄用。但隱患也同樣清晰：當防禦端在用 Opus 4.7 甚至 Mythos 自動化修補漏洞時，地下黑產同樣會想方設法繞過防護規則，讓 AI 批次製造零日攻擊武器。這道安全防護機制能不能把好門，接下來才是真正的考驗。