Claude Security scansiona i repository di continuo e traccia i fix
Quando una correzione arriva nel codice, Claude Security la riconosce da solo e segna la vulnerabilità come risolta; se il problema ricompare, la segnalazione si riapre. È una delle novità della nuova versione dello strumento di Anthropic, che secondo l’annuncio dell’azienda è in public beta per i clienti Claude Enterprise. Un owner può abilitarlo dalla console: servono un piano Claude Enterprise attivo, un posto premium per ogni utente e i crediti d’uso abilitati per la fatturazione a consumo.
Anthropic precisa che Claude Security è in public beta da aprile e che migliaia di organizzazioni lo hanno usato per trovare oltre un milione di vulnerabilità.
Scansioni che seguono il codice, correzioni che si chiudono da sole
Finora una scansione fotografava un momento preciso. Ora, spiega Anthropic, Claude esegue prima una scansione di base approfondita e poi analizza le modifiche con regolarità, in base al loro rischio e alla loro complessità. L’elenco delle segnalazioni resta così vicino allo stato attuale dei repository.
Il tracciamento delle correzioni funziona confrontando le segnalazioni aperte con il codice cambiato. Quando il fix arriva, la segnalazione passa a «risolta», sia che il team l’abbia sistemata con Claude Code sia con un processo esterno. Se lo stesso problema viene ritrovato, si riapre in automatico.
Un progetto può contenere più repository. Per Anthropic questo permette di individuare problemi che stanno tra un servizio e l’altro, per esempio un backend che si fida di un input che il client avrebbe dovuto validare.
Progetti, knowledge base e threat model
Si parte creando un progetto e collegando i repository: tramite l’app GitHub di Claude (anche con GitHub Enterprise Server) oppure con un access token per GitLab e altri provider Git. Si può scansionare solo codice proprio o aziendale, con tutti i diritti necessari: sono esclusi i repository di terzi esterni al codice aziendale, open source compresi. Per ogni repository si scelgono branch e ambito.
Ogni progetto ha poi una knowledge base, dove descrivere come è distribuito il codice, quali policy di sicurezza valgono e tutto ciò che servirebbe sapere a un nuovo security engineer del team. Claude Security genera inoltre dal codice un threat model (la mappa delle minacce rilevanti per quel progetto) che il team può rivedere e modificare. Le scansioni successive lo usano per decidere cosa segnalare, e il contesto aggiunto aiuta a saltare i rischi che l’ambiente già gestisce.
Vanta racconta che, dopo aver scritto la propria policy di rischio nel threat model, le segnalazioni hanno rispecchiato il suo modo di assegnare le priorità e non soltanto un punteggio di gravità.
Cosa contiene ogni segnalazione
Ogni segnalazione porta un livello di gravità, valutato rispetto al threat model del progetto, e una spiegazione di come un attaccante potrebbe arrivare al codice vulnerabile. L’idea, dice Anthropic, è correggere prima ciò che è davvero raggiungibile. Alcune segnalazioni possono includere anche un diagramma del percorso di attacco.
API, webhook, MCP e ruoli
Per inserire lo strumento nei propri flussi c’è l’API, che secondo Anthropic permette di:
- elencare e leggere progetti e segnalazioni;
- risolvere o riaprire le segnalazioni;
- creare e gestire progetti e relativi repository.
L’accesso passa da un personal access token, che ogni utente crea nelle impostazioni di Claude Security e che vede e modifica solo ciò che l’utente stesso può vedere e modificare. I webhook possono avvisare altri sistemi quando arriva una nuova segnalazione.
Claude Security è anche un connettore MCP in Claude.ai e Claude Code: un ingegnere può aprire una segnalazione, farne domande a Claude, avviare la correzione e segnarla come risolta nella stessa sessione. Ogni patch proposta richiede però revisione e approvazione umana prima di essere applicata: Anthropic avverte che Claude può commettere errori, e la cautela vale soprattutto per i sistemi critici. I nuovi controlli di accesso basati sui ruoli, infine, lasciano agli admin la scelta di chi può vedere i progetti, fare il triage delle segnalazioni e creare progetti, così lo strumento si apre ad altri team senza dare a tutti il permesso di creare progetti.
Modelli, crediti e disponibilità
Anthropic dice che Claude Security è alimentato dalla famiglia completa dei suoi modelli, incluso Claude Mythos, e che non serve l’accesso al Cyber Verification Program.
Le organizzazioni Enterprise ricevono fino a 25.000 dollari al mese di crediti d’uso gratuiti per due mesi consecutivi, solo per i progetti creati con la nuova versione o migrati. Il periodo parte in automatico il 21 ottobre per i clienti già esistenti, oppure dal giorno dell’iscrizione, e finisce comunque il 31 dicembre 2026 (UTC): chi aderisce dopo il 1º novembre non avrà due mesi pieni. I crediti inutilizzati non passano al mese successivo; i termini completi sono nell’Help Center di Anthropic.
