개요
Claude Security는 Claude에 내장된 기능으로, 코드베이스에서 보안 취약점을 스캔하고 인간 검토를 위한 대상 패치를 제안합니다. 기존 방법이 놓치기 쉬운 문제를 찾고 해결하는 데 도움이 됩니다. Claude Security에 대해 자세히 알아보기.
Claude Security는 이제 Enterprise 플랜 사용자를 위해 공개 베타로 제공됩니다.
Claude Security를 사용하면 다음을 수행할 수 있습니다:
코드를 병렬로 스캔 — Claude Security는 컨텍스트를 이해하고, 파일 전체에서 데이터 흐름을 추적하며, 기존 스캐너가 감지하지 못할 수 있는 복잡한 다중 구성 요소 취약점 패턴을 식별합니다.
결과 검증 — 모든 결과는 다단계 검증을 거치며, Claude가 결과를 표시하기 전에 자신의 결과에 이의를 제기합니다. 결과: 더 많은 실제 문제가 보고되고 거짓 양성이 줄어듭니다.
검토 및 패치 — 결과에서 Claude Code 세션으로 이동하여 제안된 수정 사항을 검토합니다. 백로그를 늘리는 대신 취약점을 빠르게 해결합니다.
시작하는 방법과 주요 기업이 이 도구를 어떻게 사용하는지 알아보기: Claude Security 시작하기.
Claude Security 활성화
조직 소유자는 조직 설정 > Claude Security로 이동하여 조직에 대해 켜기 토글을 켜서 Claude Security를 활성화할 수 있습니다.
결과 유형
결과는 아래의 이러한 예시 범주에 해당합니다.
주입 (SQL, 명령, 코드, XSS): 신뢰할 수 없는 입력이 쿼리 구조를 변경하거나 실행됩니다. 예: ' OR 1=1--, ; rm -rf /, <script> 주석에서.
주입 (XXE, ReDoS): 파서 또는 정규식이 조작된 입력으로 악용됩니다. 예: /etc/passwd를 읽는 XML <!ENTITY>.
경로 & 네트워크 (경로 순회, SSRF, 오픈 리다이렉트): 입력이 파일 경로, 요청 대상 또는 리다이렉트를 제어합니다. 예: ../../etc/passwd, http://169.254.169.254/ 가져오기.
인증 & 접근 (AuthN 우회, PrivEsc, IDOR/BOLA, CSRF, Race): 접근 확인이 누락되거나 건너뛸 수 있거나 경합니다. 예: GET /orders/123이 다른 사람의 주문을 반환합니다.
메모리 안전 (버퍼/정수 오버플로우, UAF, 안전하지 않은 오용): 입력이 경계를 넘어 쓰거나, 산술을 래핑하거나, 해제된 메모리에 도달합니다. 주로 C/C++/Rust 안전하지 않음.
암호화 (타이밍 누수, 알고리즘 혼동, 약한 기본 요소): 비밀 종속 분기, JWT alg=none 또는 보안 경로의 MD5/SHA-1/DES/ECB.
역직렬화 (임의 유형 인스턴스화): 신뢰할 수 없는 바이트가 객체 구성을 구동합니다 — pickle, Java readObject, YAML load. 종종 RCE와 같습니다.
프로토콜 & 인코딩 (캐시 안전, 인코딩 혼동, 길이 접두사 신뢰): 계층이 불일치하거나 선언된 크기를 신뢰합니다. 예: Host 헤더를 통한 캐시 중독.
심각도
심각도는 범주 자체가 아니라 코드베이스의 악용 가능성에 따라 결과별로 할당되므로, 동일한 범주가 다른 리포지토리에서 다른 심각도로 나타날 수 있습니다.
심각도 | 기준 | 일반적인 예 |
높음 | 기본 배포에 대해 인증되지 않은 원격 공격자가 의미 있는 전제 조건 없이 악용할 수 있음 | 공개 API 엔드포인트의 인증되지 않은 명령 주입 |
중간 | 인증 뒤에서 악용 가능하거나 1-2개의 현실적인 전제 조건 필요 (특정 역할, 알려진 식별자, 사용자 상호 작용) | 테이블 스키마 지식이 필요한 인증 뒤의 SQL 주입 |
낮음 | 3개 이상의 전제 조건, 로컬 전용 접근 또는 구체적인 입증된 공격 경로 부족 | 네트워크 근접성과 수천 개의 요청이 필요한 타이밍 사이드 채널 |
결과 구조
각 결과에는 다음 필드가 포함됩니다:
제목 — 결과의 짧은 설명 이름
세부 정보 — 결과가 무엇이고 왜 중요한지에 대한 설명
위치 — 파일 경로 및 줄 번호, 소스에 연결됨
영향 — 이를 해결하지 않으면 어떤 일이 발생할 수 있는지
재현 단계 — 문제를 재현하거나 관찰하기 위한 순서 있는 단계 목록
권장 수정 — 해결 방법에 대한 지침
심각도 — 높음 / 중간 / 낮음
상태 — 열림 / 해제됨 / 해결됨
범주 — 결과 유형
리포지토리 — 리포지토리 식별자
분기 — 결과가 생성된 분기 이름
생성 날짜 — 결과가 생성된 날짜
결과가 해제된 경우에만 표시됨:
해제 이유
해제 참고 — 선택 사항
문제 해결
보안 페이지가 계속 "GitHub 앱 설치"로 리다이렉트됨
claude.ai/security 페이지는 연결된 GitHub 계정에 대해 사용자별 확인을 실행하므로, 조직 전체 설치가 다른 사용자에게 작동하더라도 사용자에게 실패할 수 있습니다. 몇 가지 잠재적 원인이 있습니다:
Claude에 연결된 GitHub 계정이 없습니다. 사용자 정의 > 커넥터로 이동하여 확인하세요.
연결된 GitHub 계정이 앱이 설치된 GitHub 조직의 구성원이 아닙니다. 해당 조직에 속한 계정을 연결하세요.
SSO가 해당 조직에 대해 승인되지 않았습니다. GitHub 조직에 SSO가 필요한 경우, Claude 앱에 대해 별도로 승인해야 합니다. GitHub 통합 사용의 단계를 따르세요.
GitHub 조직의 IP 허용 목록이 확인을 차단하고 있습니다. GitHub의 "설치된 GitHub 앱에 대한 IP 허용 목록 구성 활성화" 설정은 Code Review와 같은 앱 자체의 트래픽을 포함하지만, 이 사용자별 확인은 포함하지 않습니다. 이를 허용하려면 조직 수준 허용 목록 항목으로 160.79.104.0/21을 수동으로 추가하세요. 전체 범위 목록은 IP 주소를 참조하세요.
자주 묻는 질문
제품 가격 및 비용 — 스캔은 직접 토큰 비용으로만 청구됩니다. Claude Security에 대한 추가 플랫폼 수수료는 없습니다.
모델 — Claude Security는 Claude Mythos 5에서 스캔을 실행합니다. 사용자는 직접 모델 접근 없이 결과를 받습니다. 제안된 패치는 웹의 Claude Code에서 열리며 계정에서 사용 가능한 모든 모델로 구현할 수 있습니다.
Claude Code용 Claude Security 플러그인 — 플러그인은 Claude Code에서 접근할 수 있는 모든 모델을 사용합니다. claude.ai/security의 Claude Security 제품만 Claude Mythos 5에서 스캔을 실행합니다.
스캔 길이 — 스캔 시간은 리포지토리와 에이전트의 작업에 따라 다릅니다.
심각도 구성 — 현재로서는 심각도를 구성할 수 없습니다.
비 GitHub 리포지토리 — GitHub.com과 GitHub Enterprise Server에서 호스팅되는 리포지토리를 스캔할 수 있습니다. 다른 호스팅 제공자는 현재 지원되지 않습니다.
Zero Data Retention 없음 (ZDR 없음) — Anthropic은 법률에 따라 필요하거나 사용 정책 위반을 해결하기 위해 데이터를 보유할 수 있습니다.
스캔 일관성 — 스캔은 설계상 확률적입니다. 기존 정적 분석기와 달리 Claude Security는 각 실행에 분석을 조정하고 고정 패턴 일치를 적용하는 대신 코드 컨텍스트에 대해 추론하는 에이전트를 사용합니다. 이를 통해 논리 수준 취약점을 포착하는 데 필요한 분석 깊이를 활성화합니다.
결과 내보내기 — 결과를 복사하고, CSV 또는 Markdown으로 다운로드하거나, 프로젝트별 웹훅을 통해 자신의 추적 및 알림 시스템으로 푸시할 수 있습니다. "시작하기" 가이드를 참조하세요.
피드백 — 오른쪽의 제품 내 피드백 아이콘을 사용하여 피드백을 공유하세요.
Github용 IP 주소 — IP 주소 허용 목록에 대해 다음 Anthropic 가이드를 사용하세요: IP 주소. GitHub Enterprise Server를 사용하는 경우, 인스턴스는 Claude Security가 리포지토리에 도달할 수 있도록 이러한 IP 주소에서 인바운드 트래픽을 허용해야 합니다.
사용 범위: Claude Security는 사용자 또는 회사가 소유하고 스캔할 모든 필요한 권리를 보유한 코드만 스캔하는 데 사용합니다. Claude Security를 제3자가 소유하거나 라이선스한 코드(오픈 소스 프로젝트 또는 회사의 코드베이스에 포함되지 않은 리포지토리 포함)를 스캔하는 데 사용하지 않습니다.