Visão geral
Claude Security é uma capacidade integrada ao Claude que monitora continuamente seus repositórios de código em busca de vulnerabilidades de segurança, rastreia cada descoberta até que seja corrigida e sugere patches direcionados para revisão humana. Ajuda equipes a encontrar e corrigir problemas que métodos tradicionais frequentemente perdem.
Claude Security agora está disponível em beta público para usuários em planos Enterprise.
Saiba como começar e como as principais empresas usam a ferramenta aqui: Primeiros passos com Claude Security.
Claude Security permite que você:
Digitalize sua base de código holisticamente — Claude Security entende como seu código se encaixa, rastreia fluxos de dados entre arquivos e repositórios em um projeto, e identifica vulnerabilidades e bugs complexos de múltiplos componentes que scanners tradicionais baseados em regras não conseguem detectar.
Deep Scan — Crie um projeto e conecte até oito repositórios do GitHub ou de outros provedores Git. Claude lê o código, escreve um modelo de ameaça e executa uma varredura de linha de base profunda.
Continuous Scanning — Claude Security executa uma varredura eficiente quando novos commits chegam e apresenta qualquer descoberta nova para remediação rápida.
Adicione o que o código não pode mostrar — Diga ao Claude como seu código é implantado, quem pode acessá-lo e quais riscos você aceitou. Cada projeto mantém isso em um modelo de ameaça, e Claude o usa para decidir o que sinalizar e como classificá-lo.
Valide descobertas — Cada descoberta passa por verificação em múltiplos estágios, com Claude revisando criticamente suas próprias descobertas antes de serem apresentadas. O resultado: menos falsos positivos, menos ruído.
Revise e corrija — Mude perfeitamente de uma descoberta para uma sessão Claude Code para gerar uma correção direcionada. Resolva vulnerabilidades rapidamente em vez de acumular um backlog.
Rastreie correções — Claude verifica descobertas abertas em relação ao código que foi alterado e as marca como corrigidas quando a correção é implementada.
Integre ao seu fluxo de trabalho — Leia e resolva descobertas através da API Claude Security ou do conector Claude Security (MCP) no Claude e Claude Code, e receba um webhook quando uma nova descoberta for adicionada.
Controle o acesso — Compartilhe cada projeto com uma função Full, Triage ou View. Administradores podem decidir quem pode criar projetos e quem pode visualizar, fazer triagem ou gerenciar todos os projetos com RBAC.
Tipos de descobertas
As descobertas se enquadram nessas categorias de exemplo abaixo.
Injection (SQL, Command, Code, XSS): Entrada não confiável altera a estrutura da consulta ou é executada. Ex.: ' OR 1=1--, ; rm -rf /, <script> em um comentário.
Injection (XXE, ReDoS): Parsers ou regex abusados por entrada elaborada. Ex.: XML <!ENTITY> lendo /etc/passwd.
Path & Network (Path traversal, SSRF, Open redirect): Entrada controla caminhos de arquivo, destinos de solicitação ou redirecionamentos. Ex.: ../../etc/passwd, buscando http://169.254.169.254/.
Auth & Access (AuthN bypass, PrivEsc, IDOR/BOLA, CSRF, Race): Verificações de acesso ausentes, contornáveis ou com condição de corrida. Ex.: GET /orders/123 retorna o pedido de outra pessoa.
Memory Safety (Buffer/integer overflow, UAF, unsafe misuse): Entrada escreve além dos limites, envolve aritmética ou atinge memória liberada. Principalmente C/C++/Rust unsafe.
Cryptography (Timing leaks, algorithm confusion, weak primitives): Ramificações dependentes de segredo, JWT alg=none, ou MD5/SHA-1/DES/ECB em caminhos de segurança.
Deserialization (Arbitrary type instantiation): Bytes não confiáveis orientam a construção de objetos — pickle, Java readObject, YAML load. Frequentemente equivale a RCE.
Protocol & Encoding (Cache safety, encoding confusion, length-prefix trust): Camadas discordam ou confiam em tamanhos declarados. Ex.: envenenamento de cache via cabeçalho Host.
Severidades
A severidade é atribuída por descoberta com base em como é explorável em sua base de código, não na categoria em si — portanto, a mesma categoria pode ter severidades diferentes em repositórios diferentes. Claude usa o modelo de ameaça do projeto para avaliar a severidade.
Severidade | Critérios | Exemplo típico |
Crítica | Explorável pela rede por qualquer pessoa, sem login, sem ação de uma vítima e sem condições especiais. Permite que o invasor leia e altere dados. | Execução remota de código não autenticada em um serviço voltado para a internet. |
Alta | Impacto sério, mas aquém de Crítica: o invasor precisa de um login ou ação de uma vítima, ou o dano é parcial (por exemplo, dados podem ser lidos mas não alterados). | Injeção SQL atrás de um login que permite a um invasor ler e alterar dados. |
Média | Impacto limitado (por exemplo, uma pequena quantidade de dados não sensíveis), com uma pré-condição realista, como um login. | Injeção SQL atrás de um login que expõe apenas alguns campos não sensíveis. |
Baixa | Impacto limitado e requer um login ou proximidade de rede mais condições especiais fora do controle do invasor. | Canal lateral de timing exigindo proximidade de rede e milhares de solicitações. |
Estrutura de descoberta
Cada descoberta contém os seguintes campos:
Título — nome descritivo curto da descoberta
Severidade — Crítica / Alta / Média / Baixa
Categoria — tipo de descoberta, com seu ID CWE quando aplicável
Localização — caminho do arquivo e intervalo de linhas, vinculado à fonte. Uma descoberta pode citar vários arquivos e repositórios.
Status — Aberta ou Resolvida, com a data em que foi encontrada.
Responsável — a pessoa a quem a descoberta é atribuída, se houver
O que Claude encontrou — descrição do que é a descoberta e por que é importante. Pode incluir um diagrama do caminho do ataque.
Como corrigir — orientação sobre como resolvê-lo
Evidência — os arquivos e intervalos de linhas que Claude cita, agrupados por repositório, com a ramificação e o commit que foram verificados
Como o ataque funciona — como um invasor chegaria e exploraria o problema
Por que Claude acredita — avaliação de Claude, cobrindo o cenário de exploração, suas pré-condições e o impacto
Histórico — todas as alterações na descoberta, as mais recentes primeiro
Mostrado apenas se a descoberta foi resolvida:
Resolução — Marcado como corrigido, Corrigido por uma solicitação de pull mesclada, ou Descartado como falso positivo, risco aceito, duplicado ou por outro motivo
Nota de triagem — opcional
Solução de problemas
A página de segurança continua redirecionando para "Instalar Aplicativo GitHub"
A página claude.ai/security executa uma verificação por usuário em sua própria conta GitHub conectada, portanto isso pode falhar para você mesmo que a instalação em toda a organização esteja funcionando para outros. Existem algumas causas potenciais:
Nenhuma conta GitHub conectada no Claude. Vá para Personalizar > Conectores para verificar isso.
A conta GitHub conectada não é membro da organização GitHub onde o aplicativo está instalado. Conecte a conta que pertence a essa organização.
O SSO não está autorizado para essa organização. Se sua organização GitHub exigir SSO, você deve autorizar o aplicativo Claude para ela separadamente. Siga as etapas em Usar a integração do GitHub.
A lista de permissões de IP da sua organização GitHub está bloqueando a verificação. A configuração "Ativar configuração de lista de permissões de IP para aplicativos GitHub instalados" do GitHub cobre o tráfego do próprio Aplicativo, como Revisão de Código, mas não cobre essa verificação por usuário. Para permitir, adicione manualmente 160.79.104.0/21 como uma entrada de lista de permissões no nível da organização. Para a lista completa de intervalos, consulte Endereços IP.
Perguntas frequentes
Primeiros passos
O que preciso antes de usar Claude Security?
Um plano Claude Enterprise ativo, uma licença premium para cada usuário e créditos de uso habilitados para faturamento de consumo. Um proprietário ativa Claude Security em Configurações da Organização > Claude Security. Consulte o guia de primeiros passos para as etapas de configuração.
Como dou acesso ao Claude Security aos meus repositórios?
Para GitHub.com e GitHub Enterprise Server, um proprietário instala o Aplicativo Claude GitHub e concede acesso aos repositórios que você deseja verificar. Para outros provedores Git, como GitLab e Bitbucket, você precisa do endereço do repositório e de um token de autenticação.
Posso verificar repositórios que não estão no GitHub?
Sim. Os projetos podem ser criados com repositórios hospedados em GitHub.com e GitHub Enterprise Server, ou repositórios hospedados em outros servidores Git com um token de autenticação (incluindo servidores Git auto-hospedados acessíveis publicamente).
Quais endereços IP preciso permitir?
Use o guia Anthropic para lista de permissões de endereço IP. Se você usar GitHub Enterprise Server ou outro provedor Git, sua instância deve permitir tráfego de entrada desses endereços IP para que Claude Security possa acessar seus repositórios.
Claude Security suporta Zero Data Retention (ZDR)?
Não. A Anthropic pode reter dados quando exigido por lei ou para resolver violações da Política de Uso.
O que acontece com meus projetos existentes com a atualização mais recente?
Os projetos existentes continuam funcionando como fazem hoje e ainda estão disponíveis na página inicial do Claude Security. Os novos projetos usam a nova experiência.
Posso migrar meus projetos existentes?
Sim, se você for o proprietário do projeto. Abra-o e clique em "Migrar projeto", ou clique em "Migrar seus projetos" na página inicial do Claude Security para migrar todos os projetos que você possui. Claude Security cria um novo projeto, copia as descobertas para ele e arquiva o original. Membros, webhooks, diretórios excluídos, histórico de verificação e verificações agendadas não são copiados. Os projetos do GitHub Enterprise não podem ser migrados.
Monitoramento contínuo
Quanto tempo leva a primeira verificação?
Dependendo do tamanho dos repositórios, a verificação de linha de base pode levar vários minutos ou horas. Você pode sair da página enquanto ela é executada. Se você ativou notificações por email para Claude Security, receberá um email quando a verificação do seu projeto for concluída e tiver novas descobertas.
Quanto tempo leva uma verificação de acompanhamento?
O tempo de verificação varia com base no repositório e nas ações do agente.
Com que frequência Claude verifica após a verificação de linha de base?
Claude verifica novos commits e verifica alterações regularmente, com base em seu risco e complexidade. Não há cronograma fixo.
Por que duas verificações do mesmo código podem retornar resultados diferentes?
As verificações são estocásticas por design. Ao contrário dos analisadores estáticos tradicionais, Claude Security usa um agente que adapta sua análise a cada execução, raciocinando sobre o contexto do código em vez de aplicar correspondências de padrão fixas. Isso permite a profundidade de análise necessária para detectar vulnerabilidades em nível de lógica.
Como devo configurar um repositório grande ou monorepo?
Defina um escopo de pasta no repositório em vez de verificar o repositório completo e exclua as pastas que você não precisa cobrir. Claude ainda pode extrair contexto do resto da base de código conforme necessário.
Quantos repositórios um projeto pode ter?
Até oito. Um repositório pode estar no escopo, para que Claude o verifique e relate descobertas, ou ser usado apenas para contexto, para que Claude o leia durante verificações, mas não relate descobertas nele. Ambos contam para o limite. Gerencie os repositórios de um projeto na guia Recursos.
Como informo Claude sobre meu ambiente?
Abra a guia Conhecimento do projeto para editar o modelo de ameaça e adicionar documentos como documentos de arquitetura. Claude os usa para decidir o que sinalizar e como classificá-lo.
Quais modelos Claude Security usa?
As verificações do Claude Security são alimentadas pelo modelo Claude Mythos. Os usuários recebem descobertas sem acesso direto ao modelo. O chat de cada projeto com Claude usa um modelo que sua equipe escolhe entre os que sua organização permite. Certos subcomponentes do Claude Security podem usar outros modelos quando o raciocínio de classe Mythos não é necessário, por exemplo, para enumerar um diretório de projeto.
Descobertas e correções
Como a severidade é atribuída e posso alterá-la?
Claude avalia cada descoberta em relação ao modelo de ameaça do projeto, que sua equipe pode editar e corrigir.
E se uma descoberta descrever um ataque que não é possível no meu ambiente?
Claude escreve o modelo de ameaça a partir do seu código, portanto pode perder o contexto de implantação e os padrões que sua empresa aceitou. No chat do projeto, diga a Claude por que a descoberta está errada e peça que atualize o modelo de ameaça. Claude usa o modelo de ameaça para decidir o que sinalizar e como classificá-lo.
Como corrijo uma descoberta?
Clique em "Corrigir" em uma descoberta para abrir Claude Code e corrigir essa vulnerabilidade específica. Sem Claude Code na nuvem, você copia um prompt para seu próprio Claude Code.
Como funciona o rastreamento de correções?
Claude verifica novamente as descobertas quando o código muda no repositório. Uma descoberta marcada como corrigida reabre automaticamente se Claude encontrar o problema novamente.
O que acontece quando descarto uma descoberta?
Descobertas descartadas não reaparecerão em futuras verificações. Você pode descartar uma descoberta como um falso positivo, um risco aceito, uma duplicata ou por outro motivo, e adicionar uma nota de triagem.
Integrações e notificações
Como exporto descobertas para minhas próprias ferramentas?
Para exportar descobertas para seus próprios sistemas de rastreamento e notificação, use a API Claude Security, o conector Claude Security ou webhooks.
Como uso a API Claude Security?
Crie um token de acesso pessoal nas configurações do Claude Security. Um token atua como você: pode ver e alterar apenas o que você pode. Com a API, você pode listar e ler projetos e descobertas, resolver e reabrir descobertas, e criar e gerenciar projetos e seus repositórios.
O que o conector Claude Security (MCP) pode fazer?
Com o conector Claude Security, Claude e Claude Code podem listar e ler seus projetos e descobertas e resolver ou reabrir uma descoberta quando você solicitar.
Como sou notificado quando há uma nova descoberta?
Crie um webhook nas configurações do Claude Security para enviar eventos de nova descoberta para seus próprios sistemas, como Slack ou Jira.
Acesso e compartilhamento
Como os administradores controlam quem pode usar Claude Security?
Os administradores podem decidir quais funções RBAC podem criar projetos e quais podem visualizar, fazer triagem ou gerenciar todos os projetos configurando os recursos em funções personalizadas.
Como compartilho um projeto e o que cada função pode fazer?
Em um projeto, clique em "Compartilhar" para dar aos membros uma função: Completa (gerenciar descobertas, configurações e quem tem acesso), Triagem (visualizar descobertas, atualizar seu status e iniciar correções) ou Visualizar. Você também pode compartilhar um projeto com toda a sua organização.
Preços
Quanto custa Claude Security?
Claude Security é cobrado apenas pelo custo direto de tokens. Não há taxa de plataforma adicional. O uso cobre verificações e outros trabalhos que Claude Security faz em um projeto: escrever um modelo de ameaça, o chat do projeto e verificar correções.
Como controlo e rastreio o custo do Claude Security?
Você pode definir um limite de gastos separado para Claude Security. Abra Uso nas configurações de um projeto para ver seu custo do mês até agora e por dia.
Há uma oferta de lançamento para o Claude Security atualizado?
Sim, as organizações Claude Enterprise elegíveis recebem créditos de uso gratuito até $25.000 por mês, por dois meses, até 31 de dezembro de 2026. Termos completos da oferta de lançamento abaixo.
A oferta de lançamento também se aplica à experiência anterior?
Não, a oferta de lançamento se aplica apenas aos projetos criados com a nova experiência.
Plugin Claude Security para Claude Code
O que é o plugin Claude Security para Claude Code?
O plugin Claude Security para Claude Code é um recurso separado, baseado na mesma tecnologia do Claude Security. Está disponível para usuários que desejam integrar diretamente o scanner em seus fluxos de trabalho sem depender da infraestrutura do agente hospedado da Anthropic, que têm requisitos de Retenção Zero de Dados (ZDR) ou que precisam de acesso ao modelo através de um provedor terceirizado. Saiba mais aqui: Verifique sua base de código quanto a vulnerabilidades.
O plugin Claude Security para Claude Code usa o mesmo modelo?
Não necessariamente. O plugin usa os modelos disponíveis em sua conta Claude Code.
Escopo de uso: Você usará Claude Security apenas para verificar código que você ou sua empresa possui e para o qual você ou sua empresa detém todos os direitos necessários para verificar. Você não usará Claude Security para verificar código de propriedade de terceiros ou licenciado por terceiros, incluindo, mas não limitado a projetos de código aberto ou repositórios que não estejam incluídos na(s) base(s) de código da sua empresa.
Termos da oferta de lançamento do Claude Security
Quem é elegível: Organizações Claude Enterprise, incluindo Claude Enterprise adquirido através do AWS Marketplace.
O que você recebe: Até $25.000 em créditos promocionais para uso do Claude Security em cada um de dois meses consecutivos. Cada mês vai da data de início da sua organização até a mesma data do mês seguinte. Créditos não utilizados de um mês não são transferidos.
Como obter: Nenhuma inscrição é necessária. Os créditos se aplicam automaticamente ao uso no novo Claude Security. O uso em projetos da versão anterior não é coberto até que sejam migrados.
Quando começa: Organizações que já têm Claude Enterprise começam em 21 de outubro de 2026. Organizações que se inscrevem para Claude Enterprise após essa data começam no dia em que se inscrevem. Os dois meses correm independentemente de sua organização usar ou não Claude Security.
Quando termina: A oferta termina no final do dia 31 de dezembro de 2026 (UTC), mesmo que seus dois meses não tenham terminado. Organizações que se inscrevem após 1º de novembro de 2026 não receberão dois meses completos.
Como os créditos se aplicam: Os créditos são usados antes do gasto comprometido da sua organização ou créditos de uso, e são separados de quaisquer créditos de uso pré-pagos. Após os créditos serem usados ou a oferta terminar, o uso do Claude Security é cobrado pelo custo direto de tokens.
Onde ver: Os administradores da organização podem ver o saldo promocional em Configurações da Organização > Uso, em Serviços, ou em Configurações da Organização > Claude Security, em Limite de gastos.
Os Termos da Oferta de Crédito Promocional Claude também se aplicam, incluindo quando os créditos podem ser perdidos e quando a oferta pode mudar. Se diferirem deste artigo sobre esta oferta, este artigo prevalece.