Panoramica
Claude Security è una funzionalità integrata in Claude che monitora continuamente i tuoi repository di codice per individuare vulnerabilità di sicurezza, traccia ogni segnalazione fino alla risoluzione e suggerisce patch mirate per la revisione umana. Aiuta i team a trovare e correggere problemi che i metodi tradizionali spesso non rilevano.
Claude Security è ora disponibile in beta pubblica per gli utenti con piani Enterprise.
Scopri come iniziare e come le principali aziende utilizzano lo strumento qui: Guida introduttiva a Claude Security.
Claude Security ti consente di:
Scansiona il tuo codebase in modo olistico — Claude Security comprende come il tuo codice si integra, traccia i flussi di dati tra file e repository in un progetto, e identifica vulnerabilità e bug complessi multi-componente che gli scanner tradizionali basati su regole non riescono a rilevare.
Deep Scan — Crea un progetto e connetti fino a otto repository da GitHub o altri provider Git. Claude legge il codice, scrive un modello di minaccia ed esegue una scansione di base approfondita.
Scansione continua — Claude Security esegue una scansione efficiente quando arrivano nuovi commit e segnala eventuali nuovi risultati per una rapida correzione.
Aggiungi ciò che il codice non può mostrare — Comunica a Claude come il tuo codice viene distribuito, chi può raggiungerlo e quali rischi hai accettato. Ogni progetto mantiene questo in un modello di minaccia, e Claude lo utilizza per decidere cosa segnalare e come valutarlo.
Convalida i risultati — Ogni segnalazione passa attraverso una verifica multi-fase, con Claude che esamina criticamente i propri risultati prima che vengano segnalati. Il risultato: meno falsi positivi, meno rumore.
Rivedi e applica patch — Passa facilmente da una segnalazione a una sessione Claude Code per generare una correzione mirata. Risolvi le vulnerabilità rapidamente invece di accumulare un backlog.
Traccia le correzioni — Claude verifica le segnalazioni aperte rispetto al codice modificato e le contrassegna come risolte quando la correzione viene implementata.
Integra nel tuo flusso di lavoro — Leggi e risolvi le segnalazioni tramite l'API Claude Security o il connettore Claude Security (MCP) in Claude e Claude Code, e ricevi un webhook quando viene aggiunta una nuova segnalazione.
Controlla l'accesso — Condividi ogni progetto con un ruolo Full, Triage o View. Gli amministratori possono decidere chi può creare progetti e chi può visualizzare, esaminare o gestire tutti i progetti con RBAC.
Tipi di segnalazioni
Le segnalazioni rientrano in queste categorie di esempio di seguito.
Injection (SQL, Command, Code, XSS): L'input non attendibile modifica la struttura della query o viene eseguito. Ad es., ' OR 1=1--, ; rm -rf /, <script> in un commento.
Injection (XXE, ReDoS): Parser o regex abusati da input creato ad hoc. Ad es., XML <!ENTITY> che legge /etc/passwd.
Path & Network (Path traversal, SSRF, Open redirect): L'input controlla i percorsi dei file, le destinazioni delle richieste o i reindirizzamenti. Ad es., ../../etc/passwd, recupero di http://169.254.169.254/.
Auth & Access (AuthN bypass, PrivEsc, IDOR/BOLA, CSRF, Race): Controlli di accesso mancanti, saltabili o soggetti a race condition. Ad es., GET /orders/123 restituisce l'ordine di qualcun altro.
Memory Safety (Buffer/integer overflow, UAF, unsafe misuse): L'input scrive oltre i limiti, esegue il wrapping dell'aritmetica o accede a memoria liberata. Principalmente C/C++/Rust unsafe.
Cryptography (Timing leaks, algorithm confusion, weak primitives): Rami dipendenti da segreti, JWT alg=none, o MD5/SHA-1/DES/ECB in percorsi di sicurezza.
Deserialization (Arbitrary type instantiation): Byte non attendibili guidano la costruzione di oggetti — pickle, Java readObject, YAML load. Spesso equivale a RCE.
Protocol & Encoding (Cache safety, encoding confusion, length-prefix trust): I livelli non concordano o si fidano delle dimensioni dichiarate. Ad es., cache poisoning tramite header Host.
Severità
La severità viene assegnata per ogni segnalazione in base a quanto è sfruttabile nel tuo codebase, non alla categoria stessa — quindi la stessa categoria può avere severità diverse in repository diversi. Claude utilizza il modello di minaccia del progetto per valutare la severità.
Severità | Criteri | Esempio tipico |
Critica | Sfruttabile sulla rete da chiunque, senza login, senza azione da parte di una vittima e senza condizioni speciali. Consente all'attaccante di leggere e modificare i dati. | Esecuzione remota di codice non autenticata in un servizio esposto a Internet. |
Alta | Impatto serio, ma inferiore a Critica: l'attaccante ha bisogno di un login o dell'azione di una vittima, oppure il danno è parziale (ad esempio, i dati possono essere letti ma non modificati). | SQL injection dietro un login che consente a un attaccante di leggere e modificare i dati. |
Media | Impatto limitato (ad esempio, una piccola quantità di dati non sensibili), con una precondizione realistica come un login. | SQL injection dietro un login che espone solo pochi campi non sensibili. |
Bassa | Impatto limitato e richiede un login o prossimità di rete più condizioni speciali al di fuori del controllo dell'attaccante. | Side-channel temporale che richiede prossimità di rete e migliaia di richieste. |
Struttura della segnalazione
Ogni segnalazione contiene i seguenti campi:
Title — nome descrittivo breve della segnalazione
Severity — Critica / Alta / Media / Bassa
Category — tipo di segnalazione, con il suo ID CWE quando applicabile
Location — percorso del file e intervallo di righe, collegato alla fonte. Una segnalazione può citare più file e repository.
Status — Open o Resolved, con la data in cui è stata trovata.
Assignee — la persona a cui è assegnata la segnalazione, se presente
Cosa ha trovato Claude — descrizione del risultato e perché è importante. Può includere un diagramma del percorso di attacco.
Come risolvere — indicazioni su come risolverlo
Prove — i file e gli intervalli di righe citati da Claude, raggruppati per repository, con il ramo e il commit sottoposti a scansione
Come funziona l'attacco — come un attaccante raggiungerebbe e sfrutterebbe il problema
Perché Claude lo ritiene — valutazione di Claude, che copre lo scenario di exploit, i suoi prerequisiti e l'impatto
Cronologia — ogni modifica al risultato, dal più recente al meno recente
Mostrato solo se il risultato è stato risolto:
Risoluzione — Contrassegnato come risolto, Risolto da una pull request unita, o Scartato come falso positivo, rischio accettato, duplicato o per un altro motivo
Nota di triage — facoltativa
Risoluzione dei problemi
La pagina di sicurezza continua a reindirizzare a "Installa app GitHub"
La pagina claude.ai/security esegue un controllo per utente sul tuo account GitHub connesso, quindi può non funzionare per te anche se l'installazione a livello di organizzazione funziona per altri. Ci sono alcuni possibili motivi:
Nessun account GitHub connesso in Claude. Vai a Personalizza > Connettori per verificarlo.
L'account GitHub connesso non è un membro dell'organizzazione GitHub dove l'app è installata. Connetti l'account che appartiene a quell'organizzazione.
SSO non è autorizzato per quell'organizzazione. Se la tua organizzazione GitHub richiede SSO, devi autorizzare l'app Claude separatamente. Segui i passaggi in Usa l'integrazione GitHub.
L'elenco di indirizzi IP consentiti della tua organizzazione GitHub sta bloccando il controllo. L'impostazione GitHub "Abilita configurazione elenco indirizzi IP consentiti per app GitHub installate" copre il traffico dall'app stessa, come Code Review, ma non copre questo controllo per utente. Per consentirlo, aggiungi manualmente 160.79.104.0/21 come voce dell'elenco consentiti a livello di organizzazione. Per l'elenco completo degli intervalli, vedi Indirizzi IP.
Domande frequenti
Introduzione
Di cosa ho bisogno prima di poter usare Claude Security?
Un piano Claude Enterprise attivo, un posto premium per ogni utente e crediti di utilizzo abilitati per la fatturazione a consumo. Un proprietario abilita Claude Security in Impostazioni organizzazione > Claude Security. Vedi la guida introduttiva per i passaggi di configurazione.
Come do accesso a Claude Security ai miei repository?
Per GitHub.com e GitHub Enterprise Server, un proprietario installa l'app Claude GitHub e le concede l'accesso ai repository che desideri scansionare. Per altri provider Git, come GitLab e Bitbucket, hai bisogno dell'indirizzo del repository e di un token di autenticazione.
Posso scansionare repository che non sono su GitHub?
Sì. I progetti possono essere creati con repository ospitati su GitHub.com e GitHub Enterprise Server, o repository ospitati su altri server Git con un token di autenticazione (inclusi server Git self-hosted pubblicamente accessibili).
Quali indirizzi IP devo consentire?
Usa la guida Anthropic per l'allowlisting degli indirizzi IP. Se usi GitHub Enterprise Server o un altro provider Git, la tua istanza deve consentire il traffico in entrata da questi indirizzi IP in modo che Claude Security possa raggiungere i tuoi repository.
Claude Security supporta Zero Data Retention (ZDR)?
No. Anthropic può conservare i dati ove richiesto dalla legge o per affrontare violazioni della Politica di utilizzo.
Cosa succede ai miei progetti esistenti con l'ultimo aggiornamento?
I progetti esistenti continuano a funzionare come oggi e sono ancora disponibili dalla home page di Claude Security. I nuovi progetti utilizzano la nuova esperienza.
Posso migrare i miei progetti esistenti?
Sì, se sei il proprietario del progetto. Aprilo e fai clic su "Migra progetto", o fai clic su "Migra i tuoi progetti" sulla home page di Claude Security per migrare ogni progetto che possiedi. Claude Security crea un nuovo progetto, copia i risultati in esso e archivia l'originale. Membri, webhook, directory escluse, cronologia scansioni e scansioni pianificate non vengono copiate. I progetti GitHub Enterprise non possono essere migrati.
Monitoraggio continuo
Quanto tempo impiega la prima scansione?
A seconda delle dimensioni dei repository, la scansione di base può richiedere diversi minuti o ore. Puoi lasciare la pagina mentre è in esecuzione. Se hai abilitato le notifiche email per Claude Security, riceverai un'email quando la scansione del tuo progetto si completa e ha nuovi risultati.
Quanto tempo impiega una scansione di follow-up?
Il tempo di scansione varia in base al repository e alle azioni dell'agente.
Con quale frequenza Claude esegue la scansione dopo la scansione di base?
Claude verifica i nuovi commit e scansiona le modifiche regolarmente, in base al loro rischio e complessità. Non c'è una pianificazione fissa.
Perché due scansioni dello stesso codice possono restituire risultati diversi?
Le scansioni sono stocastiche per progettazione. A differenza degli analizzatori statici tradizionali, Claude Security utilizza un agente che adatta la sua analisi a ogni esecuzione, ragionando sul contesto del codice piuttosto che applicare corrispondenze di pattern fisse. Ciò consente la profondità di analisi necessaria per rilevare vulnerabilità a livello di logica.
Come devo configurare un repository di grandi dimensioni o un monorepo?
Imposta un ambito di cartella sul repository piuttosto che scansionare l'intero repository ed escludi le cartelle che non hai bisogno di coprire. Claude può comunque estrarre il contesto dal resto della base di codice secondo necessità.
Quanti repository può avere un progetto?
Fino a otto. Un repository può essere nell'ambito, quindi Claude lo scansiona e segnala i risultati, o utilizzato solo per il contesto, quindi Claude lo legge durante le scansioni ma non segnala risultati in esso. Entrambi contano verso il limite. Gestisci i repository di un progetto nella sua scheda Risorse.
Come informo Claude del mio ambiente?
Apri la scheda Conoscenza del progetto per modificare il modello di minaccia e aggiungere documenti come documenti di architettura. Claude li utilizza per decidere cosa segnalare e come valutarlo.
Quali modelli utilizza Claude Security?
Le scansioni di Claude Security sono alimentate dal modello Claude Mythos. Gli utenti ricevono i risultati senza accesso diretto al modello. La chat di ogni progetto con Claude utilizza un modello che il tuo team sceglie da quelli che la tua organizzazione consente. Alcuni sottocomponenti di Claude Security possono utilizzare altri modelli quando il ragionamento di classe Mythos non è richiesto, ad esempio per enumerare una directory di progetto.
Risultati e correzioni
Come viene assegnata la gravità e posso cambiarla?
Claude valuta ogni finding rispetto al modello di minaccia del progetto, che il tuo team può modificare e correggere.
Cosa succede se un finding descrive un attacco che non è possibile nel mio ambiente?
Claude scrive il modello di minaccia dal tuo codice, quindi potrebbe non considerare il contesto di distribuzione e i pattern che la tua azienda ha accettato. Nella chat del progetto, spiega a Claude perché il finding è errato e chiedigli di aggiornare il modello di minaccia. Claude utilizza il modello di minaccia per decidere cosa segnalare e come valutarlo.
Come risolvo un finding?
Fai clic su "Risolvi" su un finding per aprire Claude Code e correggere quella vulnerabilità specifica. Senza Claude Code nel cloud, copi un prompt nel tuo Claude Code.
Come funziona il tracciamento delle correzioni?
Claude verifica nuovamente i finding quando il codice cambia nel repository. Un finding contrassegnato come risolto si riapre automaticamente se Claude trova di nuovo il problema.
Cosa succede quando ignoro un finding?
I finding ignorati non riappariranno nelle scansioni future. Puoi ignorare un finding come falso positivo, rischio accettato, duplicato o per un altro motivo, e aggiungere una nota di triage.
Integrazioni e notifiche
Come esporto i finding nei miei strumenti?
Per esportare i finding nei tuoi sistemi di tracciamento e notifica, utilizza l'API Claude Security, il connettore Claude Security o i webhook.
Come utilizzo l'API Claude Security?
Crea un token di accesso personale nelle impostazioni di Claude Security. Un token agisce come te: può visualizzare e modificare solo ciò che puoi tu. Con l'API, puoi elencare e leggere progetti e finding, risolvere e riaprire finding, e creare e gestire progetti e i loro repository.
Cosa può fare il connettore Claude Security (MCP)?
Con il connettore Claude Security, Claude e Claude Code possono elencare e leggere i tuoi progetti e finding e risolvere o riaprire un finding quando lo richiedi.
Come ricevo una notifica quando c'è un nuovo finding?
Crea un webhook nelle impostazioni di Claude Security per inviare gli eventi di nuovo finding nei tuoi sistemi, come Slack o Jira.
Accesso e condivisione
Come controllano gli amministratori chi può utilizzare Claude Security?
Gli amministratori possono decidere quali ruoli RBAC possono creare progetti e quali possono visualizzare, eseguire il triage o gestire tutti i progetti configurando le funzionalità nei ruoli personalizzati.
Come condivido un progetto e cosa può fare ogni ruolo?
In un progetto, fai clic su "Condividi" per assegnare ai membri un ruolo: Completo (gestisci finding, impostazioni e accesso), Triage (visualizza finding, aggiorna il loro stato e avvia correzioni) o Visualizza. Puoi anche condividere un progetto con tutta la tua organizzazione.
Prezzi
Quanto costa Claude Security?
Claude Security viene addebitato solo al costo diretto dei token. Non c'è alcuna commissione di piattaforma aggiuntiva. L'utilizzo copre le scansioni e altri lavori che Claude Security esegue in un progetto: scrivere un modello di minaccia, la chat del progetto e verificare le correzioni.
Come controllo e traccia i costi di Claude Security?
Puoi impostare un limite di spesa separato per Claude Security. Apri Utilizzo nelle impostazioni di un progetto per vedere il suo costo da inizio mese e per giorno.
C'è un'offerta di lancio per Claude Security aggiornato?
Sì, le organizzazioni Claude Enterprise idonee ricevono crediti di utilizzo gratuiti fino a $25.000 al mese, per due mesi, fino al 31 dicembre 2026. Termini completi dell'offerta di lancio di seguito.
L'offerta di lancio si applica anche all'esperienza precedente?
No, l'offerta di lancio si applica solo ai progetti creati con la nuova esperienza.
Plugin Claude Security per Claude Code
Cos'è il plugin Claude Security per Claude Code?
Il plugin Claude Security per Claude Code è una funzionalità separata, basata sulla stessa tecnologia di Claude Security. È disponibile per gli utenti che desiderano integrare direttamente lo scanner nei loro flussi di lavoro senza fare affidamento sull'infrastruttura dell'agente ospitato di Anthropic, che hanno requisiti di Zero Data Retention (ZDR) o che hanno bisogno dell'accesso al modello tramite un provider di terze parti. Scopri di più qui: Scansiona la tua codebase per le vulnerabilità.
Il plugin Claude Security per Claude Code utilizza lo stesso modello?
Non necessariamente. Il plugin utilizza i modelli disponibili nel tuo account Claude Code.
Ambito di utilizzo: Utilizzerai Claude Security solo per scansionare il codice di tua proprietà o della tua azienda e per il quale tu o la tua azienda detieni tutti i diritti necessari per scansionarlo. Non utilizzerai Claude Security per scansionare il codice di proprietà di o concesso in licenza da terze parti, inclusi ma non limitati a progetti open source o repository diversi da quelli inclusi nella codebase della tua azienda.
Termini dell'offerta di lancio di Claude Security
Chi è idoneo: Organizzazioni Claude Enterprise, incluso Claude Enterprise acquistato tramite AWS Marketplace.
Cosa ottieni: Fino a $25.000 in crediti promozionali per l'utilizzo di Claude Security in ognuno di due mesi consecutivi. Ogni mese va dalla data di inizio della tua organizzazione alla stessa data il mese successivo. I crediti inutilizzati di un mese non si trasferiscono.
Come ottenerlo: Non è necessaria alcuna iscrizione. I crediti si applicano automaticamente all'utilizzo nel nuovo Claude Security. L'utilizzo nei progetti della versione precedente non è coperto fino a quando non vengono migrati.
Quando inizia: Le organizzazioni che hanno già Claude Enterprise iniziano il 21 ottobre 2026. Le organizzazioni che si iscrivono a Claude Enterprise dopo tale data iniziano il giorno in cui si iscrivono. I due mesi decorrono indipendentemente dal fatto che la tua organizzazione utilizzi o meno Claude Security.
Quando termina: L'offerta termina alla fine della giornata del 31 dicembre 2026 (UTC), anche se i tuoi due mesi non sono terminati. Le organizzazioni che si iscrivono dopo il 1° novembre 2026 non otterranno due mesi completi.
Come si applicano i crediti: I crediti vengono utilizzati prima della spesa impegnata della tua organizzazione o dei crediti di utilizzo, e sono separati da qualsiasi credito di utilizzo prepagato. Dopo che i crediti sono stati utilizzati o l'offerta termina, l'utilizzo di Claude Security viene addebitato al costo diretto dei token.
Dove vederlo: Gli amministratori dell'organizzazione possono vedere il saldo promozionale in Impostazioni organizzazione > Utilizzo, sotto Servizi, o in Impostazioni organizzazione > Claude Security, sotto Limite di spesa.
Si applicano anche i Termini dell'offerta di credito promozionale Claude, incluso quando i crediti possono essere persi e quando l'offerta può cambiare. Se differiscono da questo articolo su questa offerta, questo articolo prevale.