Использование Claude Security

Claude Security — это встроенная в Claude функция, которая постоянно отслеживает уязвимости безопасности в ваших кодовых базах, отслеживает каждую находку до её исправления и предлагает целевые патчи для проверки человеком. Она помогает командам находить и исправлять проблемы, которые традиционные методы часто пропускают.

Узнайте, как начать работу и как ведущие предприятия используют этот инструмент здесь: Начало работы с Claude Security.

Claude Security позволяет вам:

Находки подпадают под следующие примеры категорий ниже.

Инъекция (SQL, Command, Code, XSS): ненадёжный ввод изменяет структуру запроса или выполняется. Например, ' OR 1=1--, ; rm -rf /, <script> в комментарии.

Инъекция (XXE, ReDoS): парсеры или регулярные выражения, используемые вредоносным вводом. Например, XML <!ENTITY> читает /etc/passwd.

Путь и сеть (обход пути, SSRF, открытое перенаправление): ввод управляет путями файлов, пунктами назначения запросов или перенаправлениями. Например, ../../etc/passwd, получение http://169.254.169.254/.

Аутентификация и доступ (обход AuthN, PrivEsc, IDOR/BOLA, CSRF, Race): проверки доступа отсутствуют, могут быть пропущены или подвержены состояниям гонки. Например, GET /orders/123 возвращает заказ кого-то другого.

Безопасность памяти (переполнение буфера/целого числа, UAF, небезопасное неправильное использование): ввод записывает за границы, переносит арифметику или попадает в освобождённую память. В основном C/C++/Rust unsafe.

Криптография (утечки синхронизации, путаница алгоритмов, слабые примитивы): ветви, зависящие от секрета, JWT alg=none или MD5/SHA-1/DES/ECB в путях безопасности.

Десериализация (произвольное создание экземпляра типа): ненадёжные байты управляют конструкцией объекта — pickle, Java readObject, YAML load. Часто равно RCE.

Протокол и кодирование (безопасность кэша, путаница кодирования, доверие к префиксу длины): слои не согласны или доверяют объявленным размерам. Например, отравление кэша через заголовок Host.

Серьёзность назначается для каждой находки на основе того, насколько она эксплуатируема в вашей кодовой базе, а не самой категории — поэтому одна и та же категория может иметь разные уровни серьёзности в разных репозиториях. Claude использует модель угроз проекта для оценки серьёзности.

Каждая находка содержит следующие поля:

Страница claude.ai/security выполняет проверку для каждого пользователя с использованием вашего подключённого аккаунта GitHub, поэтому она может не работать для вас, даже если установка на уровне организации работает для других. Есть несколько возможных причин:

Что мне нужно, чтобы использовать Claude Security?

Активный план Claude Enterprise, премиум-место для каждого пользователя и включённые кредиты использования для выставления счётов по потреблению. Владелец включает Claude Security в Organization settings > Claude Security. См. getting started guide для этапов настройки.

Как предоставить Claude Security доступ к моим репозиториям?

Для GitHub.com и GitHub Enterprise Server владелец устанавливает Claude GitHub App и предоставляет ей доступ к репозиториям, которые вы хотите отсканировать. Для других поставщиков Git, таких как GitLab и Bitbucket, вам нужен адрес репозитория и токен аутентификации.

Могу ли я сканировать репозитории, которые не находятся на GitHub?

Да. Проекты можно создавать с репозиториями, размещёнными на GitHub.com и GitHub Enterprise Server, или репозиториями, размещёнными на других серверах Git с токеном аутентификации (включая общедоступные самостоятельно размещённые серверы Git).

Какие IP-адреса мне нужно разрешить?

Используйте Anthropic guide for IP address allowlisting. Если вы используете GitHub Enterprise Server или другого поставщика Git, ваш экземпляр должен разрешить входящий трафик с этих IP-адресов, чтобы Claude Security мог получить доступ к вашим репозиториям.

Поддерживает ли Claude Security Zero Data Retention (ZDR)?

Нет. Anthropic может сохранять данные, если это требуется законом или для решения нарушений политики использования.

Что происходит с моими существующими проектами при последнем обновлении?

Существующие проекты продолжают работать как обычно и по-прежнему доступны на главной странице Claude Security. Новые проекты используют новый интерфейс.

Могу ли я перенести свои существующие проекты?

Да, если вы владеете проектом. Откройте его и нажмите "Migrate project", или нажмите "Migrate your projects" на главной странице Claude Security, чтобы перенести все принадлежащие вам проекты. Claude Security создаёт новый проект, копирует в него находки и архивирует оригинал. Члены, вебхуки, исключённые каталоги, история сканирования и запланированные сканирования не копируются. Проекты GitHub Enterprise не могут быть перенесены.

Сколько времени занимает первое сканирование?

В зависимости от размера репозиториев базовое сканирование может занять несколько минут или часов. Вы можете покинуть страницу во время его выполнения. Если вы включили уведомления по электронной почте для Claude Security, вы получите письмо по завершении сканирования вашего проекта и при наличии новых находок.

Сколько времени занимает последующее сканирование?

Время сканирования варьируется в зависимости от репозитория и действий агента.

Как часто Claude сканирует после базового сканирования?

Claude регулярно проверяет новые коммиты и сканирует изменения на основе их риска и сложности. Фиксированного расписания нет.

Почему два сканирования одного и того же кода могут дать разные результаты?

Сканирования являются стохастическими по замыслу. В отличие от традиционных статических анализаторов, Claude Security использует агента, который адаптирует свой анализ к каждому запуску, рассуждая о контексте кода, а не применяя фиксированные совпадения шаблонов. Это позволяет проводить глубокий анализ, необходимый для выявления уязвимостей на уровне логики.

Как мне настроить большой репозиторий или монорепозиторий?

Установите область папки в репозитории вместо сканирования полного репозитория и исключите папки, которые вам не нужны. Claude всё ещё может извлекать контекст из остальной части кодовой базы по мере необходимости.

Сколько репозиториев может иметь проект?

До восьми. Репозиторий может быть в области, поэтому Claude сканирует его и сообщает находки, или использоваться только для контекста, поэтому Claude читает его во время сканирования, но не сообщает находки в нём. Оба варианта учитываются в лимите. Управляйте репозиториями проекта на его вкладке Resources.

Как мне рассказать Claude о моей среде?

Откройте вкладку Knowledge проекта, чтобы отредактировать модель угроз и добавить документы, такие как документы архитектуры. Claude использует их, чтобы решить, что отметить и как это оценить.

Какие модели использует Claude Security?

Сканирование Claude Security работает на модели Claude Mythos. Пользователи получают находки без прямого доступа к модели. Каждый чат проекта с Claude использует модель, которую выбирает ваша команда из разрешённых вашей организацией. Некоторые подкомпоненты Claude Security могут использовать другие модели, когда рассуждение уровня Mythos не требуется, например для перечисления каталога проекта.

Как назначается уровень серьезности и могу ли я его изменить?

Claude оценивает каждую находку в соответствии с моделью угроз вашего проекта, которую ваша команда может редактировать и исправлять.

Что если находка описывает атаку, которая невозможна в моей среде?

Claude создает модель угроз на основе вашего кода, поэтому она может упустить контекст развертывания и паттерны, которые ваша компания приняла. В чате проекта объясните Claude, почему находка неправильна, и попросите его обновить модель угроз. Claude использует модель угроз для определения того, что отмечать и как это оценивать.

Как исправить находку?

Нажмите «Исправить» на находке, чтобы открыть Claude Code и исправить эту конкретную уязвимость. Без Claude Code в облаке вы копируете подсказку в свой собственный Claude Code.

Как работает отслеживание исправлений?

Claude повторно проверяет находки при изменении кода в репозитории. Находка, отмеченная как исправленная, автоматически открывается заново, если Claude позже обнаружит проблему снова.

Что происходит, когда я отклоняю находку?

Отклоненные находки не будут появляться в будущих сканированиях. Вы можете отклонить находку как ложное срабатывание, принятый риск, дубликат или по другой причине и добавить примечание сортировки.

Как экспортировать находки в мои собственные инструменты?

Для экспорта находок в ваши собственные системы отслеживания и уведомлений используйте Claude Security API, соединитель Claude Security или вебхуки.

Как использовать Claude Security API?

Создайте личный токен доступа в параметрах Claude Security. Токен действует от вашего имени: он может видеть и изменять только то, что можете вы. С помощью API вы можете перечислять и читать проекты и находки, разрешать и переоткрывать находки, а также создавать и управлять проектами и их репозиториями.

Что может делать соединитель Claude Security (MCP)?

С помощью соединителя Claude Security, Claude и Claude Code могут перечислять и читать ваши проекты и находки, а также разрешать или переоткрывать находку по вашей просьбе.

Как получить уведомление о новой находке?

Создайте вебхук в параметрах Claude Security для отправки событий новых находок в ваши собственные системы, такие как Slack или Jira.

Как администраторы контролируют, кто может использовать Claude Security?

Администраторы могут решить, какие роли RBAC могут создавать проекты и какие могут просматривать, сортировать или управлять всеми проектами, настроив возможности в пользовательских ролях.

Как поделиться проектом и что может делать каждая роль?

В проекте нажмите «Поделиться», чтобы дать членам роль: Полный доступ (управление находками, параметрами и доступом), Сортировка (просмотр находок, обновление их статуса и запуск исправлений) или Просмотр. Вы также можете поделиться проектом со всей организацией.

Сколько стоит Claude Security?

Claude Security взимается только по прямой стоимости токенов. Дополнительной платы за платформу нет. Использование охватывает сканирование и другую работу, которую Claude Security выполняет в проекте: написание модели угроз, чат проекта и проверку исправлений.

Как контролировать и отслеживать стоимость Claude Security?

Вы можете установить отдельный лимит расходов для Claude Security. Откройте «Использование» в параметрах проекта, чтобы увидеть его стоимость за текущий месяц и в день.

Есть ли специальное предложение для обновленного Claude Security?

Да, подходящие организации Claude Enterprise получают бесплатные кредиты на использование до $25 000 в месяц в течение двух месяцев до 31 декабря 2026 г. Полные условия специального предложения ниже.

Распространяется ли специальное предложение также на старый интерфейс?

Нет, специальное предложение применяется только к проектам, созданным с новым интерфейсом.

Что такое плагин Claude Security для Claude Code?

Плагин Claude Security для Claude Code — это отдельная функция, основанная на той же технологии, что и Claude Security. Он доступен для пользователей, которые хотят напрямую интегрировать сканер в свои рабочие процессы без использования инфраструктуры размещенного агента Anthropic, у которых есть требования Zero Data Retention (ZDR) или которым нужен доступ к модели через стороннего поставщика. Узнайте больше здесь: Сканируйте кодовую базу на предмет уязвимостей.

Использует ли плагин Claude Security для Claude Code ту же модель?

Не обязательно. Плагин использует любые модели, доступные в вашей учетной записи Claude Code.

Область использования: Вы будете использовать Claude Security только для сканирования кода, которым вы или ваша компания владеете и на который у вас или вашей компании есть все необходимые права на сканирование. Вы не будете использовать Claude Security для сканирования кода, принадлежащего третьим сторонам или лицензированного от них, включая, но не ограничиваясь проектами с открытым исходным кодом или репозиториями, отличными от включенных в кодовую базу вашей компании.

Кто имеет право: Организации Claude Enterprise, включая Claude Enterprise, приобретенные через AWS Marketplace.

Что вы получаете: До $25 000 в рекламных кредитах на использование Claude Security в каждом из двух последовательных месяцев. Каждый месяц начинается с даты начала вашей организации и заканчивается в тот же день следующего месяца. Неиспользованные кредиты из одного месяца не переносятся на следующий.

Как это получить: Регистрация не требуется. Кредиты автоматически применяются к использованию в новом Claude Security. Использование в проектах из более ранней версии не охватывается до их миграции.

Когда это начинается: Организации, которые уже имеют Claude Enterprise, начинают с 21 октября 2026 г. Организации, которые подписываются на Claude Enterprise после этой даты, начинают в день подписания. Два месяца идут независимо от того, использует ваша организация Claude Security или нет.

Когда это заканчивается: Предложение заканчивается в конце дня 31 декабря 2026 г. (UTC), даже если ваши два месяца еще не закончились. Организации, которые подписываются после 1 ноября 2026 г., не получат два полных месяца.

Как применяются кредиты: Кредиты используются перед обязательными расходами вашей организации или кредитами на использование и отделены от любых предоплаченных кредитов на использование. После использования кредитов или окончания предложения использование Claude Security взимается по прямой стоимости токенов.

Где это увидеть: Администраторы организации могут увидеть рекламный баланс в Параметры организации > Использование, в разделе Услуги, или в Параметры организации > Claude Security, в разделе Лимит расходов.

Также применяются Условия предложения рекламных кредитов Claude, включая случаи, когда кредиты могут быть аннулированы и когда предложение может измениться. Если они отличаются от этой статьи по этому предложению, эта статья имеет приоритет.