Anthropic 发布 Claude Code Security：AI 驱动漏洞管理的新前沿

Anthropic 推出 Claude Code Security，这是一款面向企业用户的 AI 驱动工具，用于扫描代码库漏洞并自动提供补丁建议。

2026年2月28日

Anthropic 发布 Claude Code Security：AI 驱动漏洞管理的新前沿

软件安全领域正经历着一场剧变。几十年来，开发人员一直依赖静态应用程序安全测试 (SAST) 和动态应用程序安全测试 (DAST) 在代码进入生产环境之前捕捉漏洞。虽然这些工具行之有效，但往往难以理解上下文，导致产生大量的误报，或者更糟糕的是，遗漏了需要人类水平的推理才能识别的复杂逻辑缺陷。

Anthropic 正通过推出 Claude Code Security 来填补这一空白，这是集成在其 Claude Code 开发工具中的一套新功能。该功能目前仅向企业 (Enterprise) 和团队 (Team) 客户提供有限的研究预览，旨在改变组织在代码库中识别、理解和修复安全漏洞的方式。

超越模式匹配：AI 优势

传统的安全扫描器通常寻找特定模式或已知的不良代码签名——这就像是在一座巨大的图书馆中高速搜索某个特定的单词。然而，Claude Code Security 的运作方式更像是一位专业的图书管理员，他实际上会阅读并理解每本书的情节。

通过利用 Claude 3.5 和 Claude 3.7 模型系列的推理能力，该工具不仅仅是标记一行代码；它还能理解数据流和开发者的意图。这使其能够发现“业务逻辑”漏洞——即代码在语法上正确但在架构上存在危险的缺陷——而传统工具经常会忽略这些漏洞。

Claude Code Security 的工作原理

当开发人员或安全工程师启动扫描时，Claude Code Security 会遍历代码仓库以映射依赖关系和执行路径。该过程可以分解为三个不同的阶段：

上下文扫描： AI 分析代码库以识别攻击者的潜在入口点，例如未经验证的用户输入或不安全的 API 配置。
漏洞推理： Claude 不仅仅是标记潜在问题，还会解释其为什么存在风险，并提供漏洞利用路径的详细分解。
针对性补丁： 也许最重要的飞跃是该工具建议特定软件补丁的能力。它不仅会说“这里坏了”；它还会提供一段旨在修复问题同时保持周围逻辑的代码片段。

Anthropic 强调，这些补丁旨在用于人工审查。这种“人机协同”的理念确保了虽然 AI 承担了发现和起草的繁重工作，但提交代码的最终决定权仍掌握在开发人员手中。

方法对比：传统 vs. AI 驱动

为了了解 Claude Code Security 在现代 DevSecOps 流程中的位置，将其与现有技术进行对比会很有帮助。

特性	传统 SAST	Claude Code Security
检测方法	模式匹配与启发式算法	语义推理与 LLM 分析
误报率	通常较高；需要手动调整	较低，得益于上下文理解
修复	通常仅提供文档说明	建议功能性、上下文相关的补丁
逻辑缺陷	难以处理复杂逻辑	擅长识别架构风险
速度	大型仓库速度极快	较慢；推理需要计算资源

研究预览与企业重点

通过将初期推广限制在企业和团队客户，Anthropic 正在对 AI 的安全性和可靠性采取审慎的态度。安全工具是一把双刃剑；能够发现漏洞的智能理论上也可以被用来利用漏洞。通过将工具保持在受控环境中，Anthropic 可以在完善其准确性的同时，收集 AI 如何处理多样化的专有代码库的数据。

对于企业领导者来说，该工具代表了解决“安全瓶颈”的潜在方案。通常情况下，安全团队与开发人员的人数比例为 1:100。自动化漏洞发现和补丁生成的首轮环节可以显著缩短修复时间，让专家能够专注于高层策略，而不是追踪微小的配置错误。

开发团队的实践建议

如果您的组织是 Claude Code 生态系统的一部分或正在考虑加入研究预览，以下是准备工作：

审计权限： 确保 Claude Code 拥有访问代码仓库的必要（但遵循最小权限原则）权限，以便在不逾越安全边界的情况下进行有效扫描。
建立审查协议： 为 AI 生成的补丁如何通过审核定义清晰的工作流。AI 建议的修复方案应与任何人工编写的代码一样，经过严格的同行评审 (Peer Review) 和 CI/CD 测试。
不要丢弃传统工具： Claude Code Security 是一个强大的补充，而非完全替代品。将其与传统扫描器结合使用，以同时捕捉底层语法错误和高层逻辑缺陷。
监控幻觉： 虽然 Claude 能力强大，但 LLM 偶尔会建议看起来正确但会引入细微新漏洞的代码。务必针对 AI 建议的补丁运行单元测试。