概述
Claude Security 是内置于 Claude.ai 的功能，可扫描代码库中的安全漏洞，并建议针对性的补丁供人工审查。它帮助团队发现并修复传统方法经常遗漏的问题。
Claude Security 现已向 Max、Team 和 Enterprise 计划的用户开放公开测试版。
Claude Security 允许您：
并行扫描代码 — Claude Security 理解上下文，跟踪跨文件的数据流，并识别传统扫描器可能无法检测到的复杂多组件漏洞模式。
验证发现 — 每项发现都经过多阶段验证，Claude 在呈现结果前会质疑自己的结果。结果是：报告更多真实问题，误报更少。
审查和修补 — 无缝地从发现转移到 Claude Code 会话以审查建议的修复。快速解决漏洞，而不是积累待办事项。
了解如何开始使用以及领先企业如何使用该工具，请访问此处：Claude Security 入门。
发现类型
发现分为以下示例类别。
注入（SQL、命令、代码、XSS）：不受信任的输入改变查询结构或被执行。例如，' OR 1=1--、; rm -rf /、<script> 在注释中。
注入（XXE、ReDoS）：解析器或正则表达式被精心构造的输入滥用。例如，XML <!ENTITY> 读取 /etc/passwd。
路径和网络（路径遍历、SSRF、开放重定向）：输入控制文件路径、请求目标或重定向。例如，../../etc/passwd、获取 http://169.254.169.254/。
身份验证和访问（身份验证绕过、权限提升、IDOR/BOLA、CSRF、竞态）：访问检查缺失、可跳过或存在竞态。例如，GET /orders/123 返回他人的订单。
内存安全（缓冲区/整数溢出、释放后使用、不安全误用）：输入写入超出边界、环绕算术或命中已释放的内存。主要是 C/C++/Rust 不安全代码。
密码学（时序泄漏、算法混淆、弱原语）：依赖于密钥的分支、JWT alg=none 或安全路径中的 MD5/SHA-1/DES/ECB。
反序列化（任意类型实例化）：不受信任的字节驱动对象构造 — pickle、Java readObject、YAML load。通常等同于 RCE。
协议和编码（缓存安全、编码混淆、长度前缀信任）：层之间不一致或信任声明的大小。例如，通过 Host 标头进行缓存中毒。
严重程度
严重程度根据发现在您的代码库中的可利用性分配，而不是类别本身 — 因此相同的类别在不同的存储库中可能处于不同的严重程度。
严重程度 | 标准 | 典型示例 |
高 | 未经身份验证的远程攻击者可以针对默认部署进行利用，无需有意义的前置条件 | 公开 API 端点中未经身份验证的命令注入 |
中 | 可在身份验证后利用，或需要 1-2 个现实的前置条件（特定角色、已知标识符、用户交互） | 需要了解表架构的身份验证后的 SQL 注入 |
低 | 需要 3 个或更多前置条件、仅本地访问或缺乏具体的演示攻击路径 | 需要网络邻近性和数千个请求的时序侧信道 |
发现结构
每项发现包含以下字段：
标题 — 发现的简短描述性名称
详情 — 发现是什么以及为什么重要的描述
位置 — 文件路径和行号，链接到源代码
影响 — 如果不解决会发生什么
重现步骤 — 重现或观察问题的有序步骤列表
建议修复 — 如何解决它的指导
严重程度 — 高/中/低
状态 — 打开/已驳回/已解决
类别 — 发现类型
存储库 — 存储库标识符
分支 — 生成发现的分支名称
创建日期 — 创建发现的日期
仅在驳回发现时显示：
驳回原因
驳回备注 — 可选
常见问题
扫描时长 — 扫描时间因存储库和代理的操作而异。
严重程度配置 — 截至今日，严重程度不可配置。
非 GitHub 存储库 — 目前只能扫描托管在 GitHub 上的存储库。
无零数据保留（无 ZDR） — Anthropic 可能会在法律要求或解决使用政策违规时保留数据。
扫描一致性 — 扫描在设计上是随机的。与传统静态分析器不同，Claude Security 使用代理来调整每次运行的分析，对代码上下文进行推理，而不是应用固定的模式匹配。这使得能够进行捕获逻辑级漏洞所需的深度分析。
导出发现 — 您可以复制发现、将其下载为 CSV 或 Markdown，或通过每个项目的 webhook 将其推送到您自己的跟踪和通知系统。请参阅"入门"指南。
反馈 — 请使用右侧的产品内反馈图标分享您的反馈。
GitHub 的 IP 地址 — 使用以下 Anthropic 指南获取 IP 地址白名单：IP 地址。
使用范围：您只能使用 Claude Security 扫描您或您的公司拥有的代码，以及您或您的公司拥有扫描所有必要权利的代码。您不能使用 Claude Security 扫描由第三方拥有或许可的代码，包括但不限于开源项目或您公司代码库之外的存储库。