Descripción general
Claude Security es una capacidad integrada en Claude que monitorea continuamente tus bases de código en busca de vulnerabilidades de seguridad, realiza un seguimiento de cada hallazgo hasta que se corrija y sugiere parches específicos para revisión humana. Ayuda a los equipos a encontrar y corregir problemas que los métodos tradicionales suelen pasar por alto.
Claude Security ahora está disponible en versión beta pública para usuarios con planes Enterprise.
Aprende cómo comenzar y cómo las principales empresas utilizan la herramienta aquí: Introducción a Claude Security.
Claude Security te permite:
Escanear tu base de código de forma integral — Claude Security entiende cómo se conecta tu código, rastrea flujos de datos entre archivos y repositorios en un proyecto, e identifica vulnerabilidades y errores complejos de múltiples componentes que los escáneres tradicionales basados en reglas no pueden detectar.
Escaneo profundo — Crea un proyecto y conecta hasta ocho repositorios de GitHub u otros proveedores de Git. Claude lee el código, escribe un modelo de amenaza y ejecuta un escaneo de línea base profundo.
Escaneo continuo — Claude Security ejecuta un escaneo eficiente cuando llegan nuevos commits y muestra cualquier hallazgo nuevo para una remediación rápida.
Añade lo que el código no puede mostrar — Cuéntale a Claude cómo se implementa tu código, quién puede acceder a él y qué riesgos has aceptado. Cada proyecto mantiene esto en un modelo de amenaza, y Claude lo utiliza para decidir qué marcar y cómo calificarlo.
Validar hallazgos — Cada hallazgo pasa por una verificación multietapa, con Claude revisando críticamente sus propios hallazgos antes de que se muestren. El resultado: menos falsos positivos, menos ruido.
Revisar y parchar — Pasa sin problemas de un hallazgo a una sesión de Claude Code para generar una corrección específica. Resuelve vulnerabilidades rápidamente en lugar de acumular un backlog.
Rastrear correcciones — Claude verifica los hallazgos abiertos contra el código que cambió y los marca como corregidos cuando la corrección se implementa.
Integrar en tu flujo de trabajo — Lee y resuelve hallazgos a través de la API de Claude Security o el conector de Claude Security (MCP) en Claude y Claude Code, y recibe un webhook cuando se añade un nuevo hallazgo.
Controlar acceso — Comparte cada proyecto con un rol Full, Triage o View. Los administradores pueden decidir quién puede crear proyectos y quién puede ver, clasificar o gestionar todos los proyectos con RBAC.
Tipos de hallazgos
Los hallazgos se dividen en estas categorías de ejemplo a continuación.
Inyección (SQL, Command, Code, XSS): La entrada no confiable cambia la estructura de la consulta o se ejecuta. Por ejemplo, ' OR 1=1--, ; rm -rf /, <script> en un comentario.
Inyección (XXE, ReDoS): Los analizadores o expresiones regulares se abusan mediante entrada elaborada. Por ejemplo, XML <!ENTITY> leyendo /etc/passwd.
Ruta y red (Traversal de ruta, SSRF, Redirección abierta): La entrada controla rutas de archivo, destinos de solicitud o redirecciones. Por ejemplo, ../../etc/passwd, obteniendo http://169.254.169.254/.
Autenticación y acceso (Bypass de AuthN, PrivEsc, IDOR/BOLA, CSRF, Race): Faltan verificaciones de acceso, son omitibles o tienen condiciones de carrera. Por ejemplo, GET /orders/123 devuelve el pedido de otra persona.
Seguridad de memoria (Desbordamiento de búfer/entero, UAF, mal uso de unsafe): La entrada escribe más allá de los límites, envuelve aritmética o accede a memoria liberada. Principalmente C/C++/Rust unsafe.
Criptografía (Fugas de tiempo, confusión de algoritmos, primitivas débiles): Ramas dependientes de secretos, JWT alg=none, o MD5/SHA-1/DES/ECB en rutas de seguridad.
Deserialización (Instanciación de tipo arbitrario): Bytes no confiables impulsan la construcción de objetos — pickle, Java readObject, YAML load. A menudo equivale a RCE.
Protocolo y codificación (Seguridad de caché, confusión de codificación, confianza en prefijo de longitud): Las capas no coinciden o confían en tamaños declarados. Por ejemplo, envenenamiento de caché a través del encabezado Host.
Severidades
La severidad se asigna por hallazgo según lo explotable que sea en tu base de código, no la categoría en sí — por lo que la misma categoría puede tener diferentes severidades en diferentes repositorios. Claude utiliza el modelo de amenaza del proyecto para evaluar la severidad.
Severidad | Criterios | Ejemplo típico |
Crítica | Explotable a través de la red por cualquiera, sin inicio de sesión, sin acción de una víctima y sin condiciones especiales. Permite al atacante leer y cambiar datos. | Ejecución remota de código no autenticada en un servicio accesible desde internet. |
Alta | Impacto grave, pero menos que Crítica: el atacante necesita un inicio de sesión o una acción de la víctima, o el daño es parcial (por ejemplo, los datos se pueden leer pero no cambiar). | Inyección SQL detrás de un inicio de sesión que permite a un atacante leer y cambiar datos. |
Media | Impacto limitado (por ejemplo, una pequeña cantidad de datos no sensibles), con una precondición realista como un inicio de sesión. | Inyección SQL detrás de un inicio de sesión que expone solo algunos campos no sensibles. |
Baja | Impacto limitado y requiere un inicio de sesión o proximidad de red más condiciones especiales fuera del control del atacante. | Canal lateral de tiempo que requiere proximidad de red y miles de solicitudes. |
Estructura de hallazgo
Cada hallazgo contiene los siguientes campos:
Título — nombre descriptivo corto del hallazgo
Severidad — Crítica / Alta / Media / Baja
Categoría — tipo de hallazgo, con su ID de CWE cuando corresponda
Ubicación — ruta de archivo y rango de líneas, vinculado a la fuente. Un hallazgo puede citar varios archivos y repositorios.
Estado — Abierto o Resuelto, con la fecha en que se encontró.
Asignado a — la persona a la que se asigna el hallazgo, si la hay
Lo que Claude encontró — descripción del hallazgo y por qué es importante. Puede incluir un diagrama de la ruta de ataque.
Cómo solucionarlo — orientación sobre cómo resolverlo
Evidencia — los archivos y rangos de líneas que Claude cita, agrupados por repositorio, con la rama y confirmación que se escanearon
Cómo funciona el ataque — cómo un atacante llegaría y explotaría el problema
Por qué Claude lo cree — evaluación de Claude, que cubre el escenario de explotación, sus precondiciones y el impacto
Historial — todos los cambios en el hallazgo, los más recientes primero
Se muestra solo si el hallazgo fue resuelto:
Resolución — Marcado como corregido, Corregido por una solicitud de extracción fusionada, o Descartado como falso positivo, riesgo aceptado, duplicado u otra razón
Nota de clasificación — opcional
Solución de problemas
La página de seguridad sigue redirigiendo a "Instalar aplicación de GitHub"
La página claude.ai/security ejecuta una verificación por usuario en tu cuenta de GitHub conectada, por lo que puede fallar para ti aunque la instalación en toda la organización funcione para otros. Hay algunas causas potenciales:
No hay cuenta de GitHub conectada en Claude. Ve a Personalizar > Conectores para verificar esto.
La cuenta de GitHub conectada no es miembro de la organización de GitHub donde está instalada la aplicación. Conecta la cuenta que pertenece a esa organización.
SSO no está autorizado para esa organización. Si tu organización de GitHub requiere SSO, debes autorizar la aplicación Claude para ella por separado. Sigue los pasos en Usar la integración de GitHub.
La lista de permitidos de IP de tu organización de GitHub está bloqueando la verificación. La configuración de GitHub "Habilitar configuración de lista de permitidos de IP para aplicaciones de GitHub instaladas" cubre el tráfico de la aplicación en sí, como Revisión de código, pero no cubre esta verificación por usuario. Para permitirlo, agrega manualmente 160.79.104.0/21 como entrada de lista de permitidos a nivel de organización. Para la lista completa de rangos, consulta Direcciones IP.
Preguntas frecuentes
Primeros pasos
¿Qué necesito antes de poder usar Claude Security?
Un plan Claude Enterprise activo, un asiento premium para cada usuario y créditos de uso habilitados para facturación de consumo. Un propietario habilita Claude Security en Configuración de la organización > Claude Security. Consulta la guía de primeros pasos para los pasos de configuración.
¿Cómo le doy a Claude Security acceso a mis repositorios?
Para GitHub.com y GitHub Enterprise Server, un propietario instala la aplicación Claude GitHub y le otorga acceso a los repositorios que deseas escanear. Para otros proveedores de Git, como GitLab y Bitbucket, necesitas la dirección del repositorio y un token de autenticación.
¿Puedo escanear repositorios que no estén en GitHub?
Sí. Los proyectos se pueden crear con repositorios alojados en GitHub.com y GitHub Enterprise Server, o repositorios alojados en otros servidores Git con un token de autenticación (incluidos servidores Git autohospedados accesibles públicamente).
¿Qué direcciones IP necesito permitir?
Usa la guía de Anthropic para la lista de permitidos de direcciones IP. Si usas GitHub Enterprise Server u otro proveedor de Git, tu instancia debe permitir tráfico entrante desde estas direcciones IP para que Claude Security pueda acceder a tus repositorios.
¿Claude Security admite Zero Data Retention (ZDR)?
No. Anthropic puede retener datos cuando sea requerido por ley o para abordar violaciones de la Política de uso.
¿Qué sucede con mis proyectos existentes con la última actualización?
Los proyectos existentes continúan funcionando como lo hacen hoy y siguen disponibles desde la página de inicio de Claude Security. Los nuevos proyectos utilizan la nueva experiencia.
¿Puedo migrar mis proyectos existentes?
Sí, si eres propietario del proyecto. Ábrelo y haz clic en "Migrar proyecto", o haz clic en "Migra tus proyectos" en la página de inicio de Claude Security para migrar todos los proyectos que posees. Claude Security crea un nuevo proyecto, copia los hallazgos a él y archiva el original. Los miembros, webhooks, directorios excluidos, historial de escaneo y escaneos programados no se copian. Los proyectos de GitHub Enterprise no se pueden migrar.
Monitoreo continuo
¿Cuánto tiempo tarda el primer escaneo?
Dependiendo del tamaño de los repositorios, el escaneo de línea base puede tomar varios minutos u horas. Puedes salir de la página mientras se ejecuta. Si has habilitado notificaciones por correo electrónico para Claude Security, recibirás un correo electrónico cuando se complete el escaneo de tu proyecto y tenga nuevos hallazgos.
¿Cuánto tiempo tarda un escaneo de seguimiento?
El tiempo de escaneo varía según el repositorio y las acciones del agente.
¿Con qué frecuencia escanea Claude después del escaneo de línea base?
Claude verifica nuevas confirmaciones y escanea cambios regularmente, según su riesgo y complejidad. No hay un horario fijo.
¿Por qué dos escaneos del mismo código pueden devolver resultados diferentes?
Los escaneos son estocásticos por diseño. A diferencia de los analizadores estáticos tradicionales, Claude Security utiliza un agente que adapta su análisis a cada ejecución, razonando sobre el contexto del código en lugar de aplicar coincidencias de patrones fijos. Esto permite la profundidad de análisis necesaria para detectar vulnerabilidades a nivel de lógica.
¿Cómo debo configurar un repositorio grande o monorepo?
Establece un alcance de carpeta en el repositorio en lugar de escanear el repositorio completo, y excluye las carpetas que no necesites cubrir. Claude aún puede extraer contexto del resto de la base de código según sea necesario.
¿Cuántos repositorios puede tener un proyecto?
Hasta ocho. Un repositorio puede estar en alcance, por lo que Claude lo escanea e informa hallazgos, o usarse solo para contexto, por lo que Claude lo lee durante escaneos pero no informa hallazgos en él. Ambos cuentan hacia el límite. Administra los repositorios de un proyecto en su pestaña Recursos.
¿Cómo le digo a Claude sobre mi entorno?
Abre la pestaña Conocimiento del proyecto para editar el modelo de amenaza y agregar documentos como documentos de arquitectura. Claude los utiliza para decidir qué marcar y cómo calificarlo.
¿Qué modelos utiliza Claude Security?
Los escaneos de Claude Security están impulsados por el modelo Claude Mythos. Los usuarios reciben hallazgos sin acceso directo al modelo. El chat de cada proyecto con Claude utiliza un modelo que tu equipo elige de los que tu organización permite. Ciertos subcomponentes de Claude Security pueden usar otros modelos cuando el razonamiento de clase Mythos no es necesario, por ejemplo para enumerar un directorio de proyecto.
Hallazgos y correcciones
¿Cómo se asigna la gravedad y puedo cambiarla?
Claude califica cada hallazgo contra el modelo de amenaza del proyecto, que tu equipo puede editar y corregir.
¿Qué pasa si un hallazgo describe un ataque que no es posible en mi entorno?
Claude escribe el modelo de amenaza a partir de tu código, por lo que puede perder el contexto de implementación y los patrones que tu empresa ha aceptado. En el chat del proyecto, dile a Claude por qué el hallazgo es incorrecto y pídele que actualice el modelo de amenaza. Claude utiliza el modelo de amenaza para decidir qué marcar y cómo calificarlo.
¿Cómo corrijo un hallazgo?
Haz clic en "Corregir" en un hallazgo para abrir Claude Code y corregir esa vulnerabilidad específica. Sin Claude Code en la nube, copias un prompt en tu propio Claude Code.
¿Cómo funciona el seguimiento de correcciones?
Claude vuelve a verificar los hallazgos cuando el código cambia en el repositorio. Un hallazgo marcado como corregido se reabre automáticamente si Claude encuentra el problema nuevamente.
¿Qué sucede cuando descarto un hallazgo?
Los hallazgos descartados no volverán a aparecer en futuras exploraciones. Puedes descartar un hallazgo como falso positivo, riesgo aceptado, duplicado u otra razón, y agregar una nota de clasificación.
Integraciones y notificaciones
¿Cómo exporto hallazgos a mis propias herramientas?
Para exportar hallazgos a tus propios sistemas de seguimiento y notificación, utiliza la API de Claude Security, el conector de Claude Security o webhooks.
¿Cómo utilizo la API de Claude Security?
Crea un token de acceso personal en la configuración de Claude Security. Un token actúa como tú: solo puede ver y cambiar lo que tú puedes. Con la API, puedes listar y leer proyectos y hallazgos, resolver y reabrir hallazgos, y crear y gestionar proyectos y sus repositorios.
¿Qué puede hacer el conector de Claude Security (MCP)?
Con el conector de Claude Security, Claude y Claude Code pueden listar y leer tus proyectos y hallazgos, y resolver o reabrir un hallazgo cuando lo solicites.
¿Cómo recibo notificaciones cuando hay un nuevo hallazgo?
Crea un webhook en la configuración de Claude Security para enviar eventos de nuevos hallazgos a tus propios sistemas, como Slack o Jira.
Acceso y uso compartido
¿Cómo controlan los administradores quién puede usar Claude Security?
Los administradores pueden decidir qué roles RBAC pueden crear proyectos y cuáles pueden ver, clasificar o gestionar todos los proyectos configurando las capacidades en roles personalizados.
¿Cómo comparto un proyecto y qué puede hacer cada rol?
En un proyecto, haz clic en "Compartir" para asignar a los miembros un rol: Completo (gestionar hallazgos, configuración y acceso), Clasificación (ver hallazgos, actualizar su estado e iniciar correcciones) o Ver. También puedes compartir un proyecto con toda tu organización.
Precios
¿Cuánto cuesta Claude Security?
Claude Security se cobra solo al costo directo de tokens. No hay tarifa de plataforma adicional. El uso cubre exploraciones y otro trabajo que Claude Security realiza en un proyecto: escribir un modelo de amenaza, el chat del proyecto y verificar correcciones.
¿Cómo controlo y rastreo el costo de Claude Security?
Puedes establecer un límite de gasto separado para Claude Security. Abre Uso en la configuración del proyecto para ver su costo del mes hasta la fecha y por día.
¿Hay una oferta de lanzamiento para Claude Security actualizado?
Sí, las organizaciones elegibles de Claude Enterprise reciben créditos de uso gratuito hasta $25,000 al mes, durante dos meses, hasta el 31 de diciembre de 2026. Términos completos de la oferta de lanzamiento a continuación.
¿La oferta de lanzamiento también se aplica a la experiencia anterior?
No, la oferta de lanzamiento solo se aplica a proyectos creados con la nueva experiencia.
Plugin de Claude Security para Claude Code
¿Qué es el plugin de Claude Security para Claude Code?
El plugin de Claude Security para Claude Code es una característica separada, basada en la misma tecnología que Claude Security. Está disponible para usuarios que deseen integrar directamente el escáner en sus flujos de trabajo sin depender de la infraestructura del agente alojado de Anthropic, que tienen requisitos de Retención Cero de Datos (ZDR) o que necesitan acceso a modelos a través de un proveedor externo. Obtén más información aquí: Escanea tu base de código en busca de vulnerabilidades.
¿El plugin de Claude Security para Claude Code utiliza el mismo modelo?
No necesariamente. El plugin utiliza los modelos que estén disponibles en tu cuenta de Claude Code.
Alcance de uso: Solo utilizarás Claude Security para escanear código que tú o tu empresa poseen y para el cual tú o tu empresa tienen todos los derechos necesarios para escanear. No utilizarás Claude Security para escanear código propiedad de terceros o licenciado por terceros, incluyendo pero no limitado a proyectos de código abierto u otros repositorios que no estén incluidos en la(s) base(s) de código de tu empresa.
Términos de la oferta de lanzamiento de Claude Security
Quién es elegible: Organizaciones de Claude Enterprise, incluidas las compradas a través de AWS Marketplace.
Lo que obtienes: Hasta $25,000 en créditos promocionales para el uso de Claude Security en cada uno de dos meses consecutivos. Cada mes se ejecuta desde la fecha de inicio de tu organización hasta la misma fecha del mes siguiente. Los créditos no utilizados de un mes no se transfieren.
Cómo obtenerlo: No se requiere registro. Los créditos se aplican automáticamente al uso en el nuevo Claude Security. El uso en proyectos de la versión anterior no está cubierto hasta que se migren.
Cuándo comienza: Las organizaciones que ya tienen Claude Enterprise comienzan el 21 de octubre de 2026. Las organizaciones que se registren para Claude Enterprise después de esa fecha comienzan el día que se registren. Los dos meses se ejecutan independientemente de si tu organización utiliza Claude Security.
Cuándo termina: La oferta termina al final del día 31 de diciembre de 2026 (UTC), incluso si tus dos meses no han terminado. Las organizaciones que se registren después del 1 de noviembre de 2026 no obtendrán dos meses completos.
Cómo se aplican los créditos: Los créditos se utilizan antes del gasto comprometido de tu organización o créditos de uso, y son independientes de cualquier crédito de uso prepagado. Después de que se utilicen los créditos o termine la oferta, el uso de Claude Security se cobra al costo directo de tokens.
Dónde verlo: Los administradores de la organización pueden ver el saldo promocional en Configuración de la organización > Uso, bajo Servicios, o en Configuración de la organización > Claude Security, bajo Límite de gasto.
Los Términos de la Oferta de Crédito Promocional de Claude también se aplican, incluyendo cuándo se pueden perder los créditos y cuándo se puede cambiar la oferta. Si difieren de este artículo sobre esta oferta, este artículo prevalece.