Claude 安全性是內建於 Claude 的功能，可掃描程式碼庫中的安全漏洞，並建議針對性的修補程式供人工審查。它幫助團隊找到並修復傳統方法經常遺漏的問題。
Claude 安全性現已進入研究預覽階段。
Claude 安全性讓您能夠：
並行掃描您的程式碼 — Claude 安全性理解上下文、追蹤檔案間的資料流，並識別傳統掃描器可能無法偵測的複雜多元件漏洞模式。
驗證發現 — 每項發現都經過多階段驗證，Claude 在呈現結果前會質疑自己的結果。結果是：回報更多真實問題，誤報更少。
審查和修補 — 直接從發現轉向 Claude Code 工作階段以審查建議的修復。快速解決漏洞，而不是累積待辦事項。
若要開始使用，請參閱快速入門指南。
發現類型
每項發現都屬於下列類別之一。
類別
領域 | 類別 | 說明 |
注入 | SQL 注入 | 不受信任的輸入改變查詢結構，而不僅是繫結值 |
注入 | 命令注入 | 不受信任的輸入到達 shell 或 exec 呼叫 |
注入 | 程式碼注入 | 攻擊者輸入被解析或執行為程式碼 |
注入 | 跨網站指令碼 (XSS) | 輸入在沒有適當上下文轉義的情況下呈現為 HTML/JS |
注入 | XXE | XML 解析器從不受信任的輸入解析外部實體 |
注入 | ReDoS / 演算法複雜性 | 攻擊者控制的輸入上的超線性正規表達式或演算法 |
路徑與網路 | 路徑遍歷 | 使用者輸入逃脫預期的檔案系統邊界 |
路徑與網路 | SSRF | 使用者輸入控制請求主機或通訊協定 |
路徑與網路 | 開放重新導向 | 使用者控制的 URL 到達重新導向而沒有允許清單 |
驗證與存取 | 驗證繞過 | 可到達的程式碼路徑跳過驗證檢查 |
驗證與存取 | 權限提升 | 普通使用者獲得僅限管理員的功能 |
驗證與存取 | IDOR / BOLA | 未經所有權檢查而信任來自客戶端的物件參考 |
驗證與存取 | CSRF | 狀態變更請求接受跨來源觸發而無保護 |
驗證與存取 | 競態條件 | TOCTOU 或並行存取破壞安全不變量 |
記憶體安全 | 緩衝區溢位 | 輸入大小的資料寫入獨立大小的容器 |
記憶體安全 | 釋放後使用 | 已釋放的記憶體可透過活躍指標存取 |
記憶體安全 | 整數溢位 | 對不受信任的輸入進行算術運算，超過安全檢查 |
記憶體安全 | 不安全的健全性 |
|
密碼學 | 時序側通道 | 秘密相依的比較或分支可被攻擊者觀察 |
密碼學 | 演算法混淆 | 跨基元的誤用（例如 JWT |
密碼學 | 弱基元 | MD5、SHA-1、DES、ECB 等用於安全環境 |
反序列化 | 任意型別實例化 | 攻擊者控制的資料驅動物件構造 |
協議與編碼 | 快取安全 | 快取鍵未包含所有權限決定輸入 |
協議與編碼 | 編碼混淆 | 解析器在各層間不一致（Unicode、URL、HTML） |
協議與編碼 | 長度前綴信任 | 宣告的長度未經邊界檢查而被信任 |
嚴重程度
嚴重程度根據在您的程式碼庫中的可利用性按發現項目分配，而非類別本身，因此相同類別在不同儲存庫中可能處於不同嚴重程度。
嚴重程度 | 標準 | 典型範例 |
高 | 未經驗證的遠端攻擊者可在預設部署中利用，無有意義的前置條件 | 公開 API 端點中未經驗證的命令注入 |
中 | 可在驗證後利用，或需要 1-2 個現實前置條件（特定角色、已知識別碼、使用者互動） | 需要了解表結構的身份驗證後 SQL 注入 |
低 | 需要 3 個以上的前置條件、僅限本地存取，或缺乏具體的已驗證攻擊路徑 | 需要網路鄰近性和數千個請求的時序側通道 |
尋找結構
每個掃描發現都包含以下欄位：
欄位 | 類型 | 描述 |
| 字串 | 描述問題 |
| 字串 | 攻擊者能力 |
| 字串 | 主要易受攻擊原始檔案的相對路徑 |
| 整數 | 問題發生的主要行號 |
| 字串 | 漏洞的完整技術描述、資料流，以及為什麼它可被利用 |
| 字串 | 將特定輸入對應到特定影響的具體端到端利用 |
| 字串[] | 利用成功必須滿足的每個條件。空列表表示該問題可針對任何預設部署進行利用。 |
| 字串 | 攻擊類別，例如 |
| 列舉 |
|
| 浮點數 | 0.0-1.0，反映發現的信心度 |
| 字串 | 基於結果的修復 |
常見問題
模型選擇 — 對 Mythos 的存取僅限於一小部分已批准的客戶。
掃描時間 — 掃描時間根據儲存庫和代理程式的操作而異。
嚴重性配置 — 目前嚴重性不可配置。
非 GitHub 儲存庫 — 目前只能掃描託管在 GitHub 上的儲存庫。
掃描確定性 — 掃描是非確定性的，因此真實問題可能不會在每次掃描中出現。新發現在主控台中標記為「新」。
使用範圍
您只能使用 Claude Security 掃描您的公司擁有且您的公司持有所有必要掃描權利的程式碼。您不得使用 Claude Security 掃描由第三方擁有或授權的程式碼，包括但不限於開源專案或您公司程式碼庫以外的儲存庫。