Anthropic 推出 Claude Code Security，这是内置于 Claude Code 的全新安全扫描能力，可扫描代码库中的安全漏洞并提供修复补丁建议。目前以限量研究预览版形式向 Enterprise 和 Team 客户开放。
为什么需要 AI 安全扫描？
安全团队面临的核心挑战：漏洞太多，人手不足。现有工具（静态分析）只能发现已知模式的问题，而真正被攻击者利用的往往是上下文相关的复杂漏洞——业务逻辑缺陷、权限控制漏洞——这类问题需要有经验的安全研究人员来发现，他们正面临越来越长的积压工作。
AI 正在改变这一现状。
工作原理
不同于传统静态分析
传统静态分析是基于规则的：将代码与已知漏洞模式匹配，只能发现常见问题（暴露的密码、过时的加密方式），对更复杂的漏洞无能为力。
Claude Code Security 的工作方式更像人类安全研究员：
- 理解组件如何交互
- 追踪数据在应用中的流动路径
- 捕获规则工具遗漏的复杂漏洞
多阶段验证流程
每个发现都经过严格验证：
- Claude 扫描代码库，识别潜在漏洞
- Claude 重新审查每个结果，尝试证实或否定自己的发现（过滤误报）
- 发现按严重程度评级，团队可优先处理最重要的问题
- 验证后的发现显示在 Claude Code Security 控制面板中
- 安全研究员审查、查看建议的补丁，批准修复
关键原则：没有人工批准，不会自动应用任何修复。
背后的研究积累
Claude Code Security 建立在超过一年的网络安全研究之上：
- Capture-the-Flag 竞赛：Anthropic 前沿红队参加 CTF 竞赛，持续测试 Claude 的安全能力
- 关键基础设施防护：与太平洋西北国家实验室合作，探索 AI 防护关键基础设施
- 零日漏洞发现：使用 Claude Opus 4.6，在生产开源代码库中发现了 500 多个漏洞，这些 Bug 隐藏了数十年，未被专家审查发现
Anthropic 也用 Claude 审查自己的代码，发现它极其有效地保障了 Anthropic 系统的安全。Claude Code Security 就是为了让这种防御能力更广泛可用而构建的。
实际成效
早期客户反馈：
- Pace（保险科技）：Claude Code Security 在计算机使用任务中达到 94% 准确率，是该公司测试过的最高性能模型，对「提交接收」和「首次损失通知」等工作流至关重要
- 开源社区：已向开源仓库维护者提供免费加速访问，发现的漏洞正在负责任地披露
AI 安全的双刃剑
Anthropic 在发布公告中明确承认了这一现实：
我们预计，在不久的将来，世界上大量的代码将被 AI 扫描。攻击者会用 AI 更快地发现可利用的弱点，但动作快的防御者也能发现同样的弱点、打上补丁、降低攻击风险。
Claude Code Security 的目标是确保这种能力掌握在防御者手中。
如何申请访问
- Enterprise 和 Team 客户：立即申请限量研究预览
- 开源仓库维护者：可申请免费加速访问
- 申请地址：claude.com/contact-sales/security
技术基础
Claude Code Security 基于 Claude Opus 4.6 构建，通过 Claude Code 界面提供，团队可以在熟悉的工具中直接查看发现并迭代修复。
原文：Making frontier cybersecurity capabilities available to defenders | 来源：Anthropic 官方博客