简介
Claude Security 是 Anthropic 面向安全团队的代码漏洞扫描与修复服务，2026 年 4 月 30 日进入公测，官方称此后已有数千家机构用它发现了超过一百万个漏洞。与基于规则匹配的传统扫描器不同，它让 Claude 像安全研究员一样阅读代码、查看 Git 历史、追踪跨文件和跨仓库的数据流，重点寻找内存破坏、注入、认证绕过和复杂逻辑错误等高危问题，并为每条发现给出补丁建议，由团队审核批准后再合入。2026 年 10 月 21 日的更新把它从「手动发起扫描」改为持续监控：首次深度扫描后随代码变化自动复扫，修复上线后自动关闭发现，团队可以把部署环境和安全策略写进项目知识库、编辑自动生成的威胁模型，以减少已被环境防住的风险；同时开放了 API、Webhook、MCP 连接器和基于角色的权限控制。扫描由包括 Claude Mythos 在内的全系列模型驱动，无需加入网络安全验证计划。管理员在 Claude Enterprise 管理后台开启即可使用；开发者也可以在 Claude Code 里安装官方 Claude Security 插件，在本地会话中对仓库或改动做多智能体漏洞扫描。官方提醒 Claude 可能出错，关键系统的补丁务必人工复核。官方来源：https://claude.com/product/claude-security 、https://claude.com/resources/articles/claude-security-now-scans-continuously-and-tracks-fixes 、https://code.claude.com/docs/en/claude-security （2026-10-22 核对）。 定价：Claude Enterprise 公测功能（Enterprise 方案 $20/席/月、年付、最少 20 席，用量按 API 价格另计）；2026-12-31 前企业可连续两个月每月获得 $25,000 免费用量额度。Claude Code 插件 beta 按 Claude Code 用量计费。
- 持续扫描建项目、连接仓库（Claude GitHub App，含 GitHub Enterprise Server；GitLab 等用访问令牌），选分支和范围后先做一次深度基线扫描，之后按改动的风险和复杂度定期复扫，无需排期
- 跨仓库一个项目可包含多个仓库，能发现服务之间的问题，例如后端信任了本应由客户端校验的输入
- 对抗式复核每条发现在推送给团队前都要经过独立验证；附严重等级、攻击者如何到达漏洞代码的路径说明，可附攻击路径图
- 威胁模型与知识库自动从代码生成可编辑的威胁模型；每个项目有知识库，可写明部署方式、安全策略和已有防护，减少误报
- 修复跟踪每条发现附建议补丁，需人工审核批准；修复上线后自动标记为已修复，同一问题再次出现会自动重新打开
- 集成新 API 可列出、读取、处理或重新打开发现并管理项目（个人访问令牌权限与用户一致）；Webhook 推送新发现；在 Claude.ai 和 Claude Code 中可作为 MCP 连接器使用；新增基于角色的访问控制
- Claude Code 插件（beta）在 Claude Code 中输入 /plugin install claude-security@claude-plugins-official 安装，运行 /claude-security 可扫描整个仓库或只扫一个分支 / PR / 提交的改动，再把选中的发现转成补丁；在本地会话中运行，使用你账号可用的模型（Mythos 扫描仅限 Claude.ai 上的 Claude Security 应用）
