概述
Claude Security 是內建於 Claude 的功能，可持續監控您的程式碼庫以發現安全漏洞、追蹤每項發現直到修復，並建議針對性的修補程式供人工審查。它幫助團隊發現並修復傳統方法經常遺漏的問題。
Claude Security 現已向企業計畫的使用者開放公開測試版。
了解如何開始使用以及領先企業如何使用此工具，請參閱此處：Claude Security 入門。
Claude Security 可讓您：
全面掃描您的程式碼庫 — Claude Security 了解您的程式碼如何組合在一起、追蹤跨檔案和跨專案儲存庫的資料流，並識別傳統規則型掃描器無法偵測的複雜多元件漏洞和錯誤。
深度掃描 — 建立專案並連接來自 GitHub 或其他 Git 提供者的最多八個儲存庫。Claude 讀取程式碼、撰寫威脅模型，並執行深度基準掃描。
持續掃描 — Claude Security 在新提交到達時執行高效掃描，並立即呈現任何新發現以供快速修復。
新增程式碼無法顯示的內容 — 告訴 Claude 您的程式碼如何部署、誰可以存取它，以及您已接受的風險。每個專案都在威脅模型中保留此資訊，Claude 使用它來決定要標記什麼以及如何評級。
驗證發現 — 每項發現都經過多階段驗證，Claude 在呈現前會嚴格審查自己的發現。結果：誤報更少，雜訊更少。
審查和修補 — 無縫地從發現進入 Claude Code 工作階段以產生針對性的修復。快速解決漏洞，而不是累積待辦事項。
追蹤修復 — Claude 檢查開放發現與已變更的程式碼，並在修復到達時將其標記為已修復。
整合到您的工作流程 — 透過 Claude Security API 或 Claude 和 Claude Code 中的 Claude Security 連接器 (MCP) 讀取和解決發現，並在新增發現時取得 Webhook。
控制存取 — 與完整、分類或檢視角色共享每個專案。管理員可以決定誰可以建立專案，以及誰可以透過 RBAC 檢視、分類或管理所有專案。
發現類型
發現分為以下示例類別。
注入 (SQL、命令、程式碼、XSS)： 不受信任的輸入改變查詢結構或被執行。例如，' OR 1=1--, ; rm -rf /、<script> 在註解中。
注入 (XXE、ReDoS)： 解析器或正規表達式被精心設計的輸入濫用。例如，XML <!ENTITY> 讀取 /etc/passwd。
路徑和網路 (路徑遍歷、SSRF、開放重新導向)： 輸入控制檔案路徑、請求目的地或重新導向。例如，../../etc/passwd、擷取 http://169.254.169.254/。
驗證和存取 (驗證繞過、權限提升、IDOR/BOLA、CSRF、競爭)： 存取檢查遺漏、可跳過或競爭。例如，GET /orders/123 傳回他人的訂單。
記憶體安全 (緩衝區/整數溢位、UAF、不安全誤用)： 輸入寫入超出邊界、環繞算術或命中已釋放的記憶體。主要是 C/C++/Rust unsafe。
密碼學 (時序洩漏、演算法混淆、弱基元)： 秘密相依分支、JWT alg=none 或安全路徑中的 MD5/SHA-1/DES/ECB。
反序列化 (任意類型實例化)： 不受信任的位元組驅動物件構造 — pickle、Java readObject、YAML load。通常等於 RCE。
協議和編碼 (快取安全、編碼混淆、長度前置詞信任)： 層級不一致或信任宣告的大小。例如，透過 Host 標頭進行快取中毒。
嚴重程度
嚴重程度根據發現在您的程式碼庫中的可利用程度進行指派，而不是類別本身 — 因此相同的類別在不同的儲存庫中可能會落在不同的嚴重程度。Claude 使用專案的威脅模型來評估嚴重程度。
嚴重程度 | 標準 | 典型示例 |
嚴重 | 任何人都可以透過網路利用，無需登入、無需受害者採取行動，也無需特殊條件。它讓攻擊者既可以讀取又可以變更資料。 | 網際網路面向服務中的未驗證遠端程式碼執行。 |
高 | 嚴重影響，但不及嚴重：攻擊者需要登入或受害者的行動，或損害是部分的 (例如，資料可以讀取但無法變更)。 | 登入後的 SQL 注入，允許攻擊者讀取和變更資料。 |
中等 | 影響有限 (例如，少量非敏感資料)，具有一個現實的前置條件，例如登入。 | 登入後的 SQL 注入，僅公開少數非敏感欄位。 |
低 | 影響有限，並且需要登入或網路鄰近性加上攻擊者控制之外的特殊條件。 | 需要網路鄰近性和數千個請求的時序側通道。 |
發現結構
每項發現包含以下欄位：
標題 — 發現的簡短描述性名稱
嚴重程度 — 嚴重/高/中等/低
類別 — 發現類型，適用時包含其 CWE ID
位置 — 檔案路徑和行範圍，連結到來源。發現可以引用多個檔案和儲存庫。
狀態 — 開放或已解決，附帶發現日期。
受指派人 — 發現被指派給的人員 (如有)
Claude 發現的內容 — 發現內容的說明及其重要性。可能包含攻擊路徑圖。
修復方式 — 解決問題的指導
證據 — Claude 引用的檔案和行號範圍，按儲存庫分組，包含掃描的分支和提交
攻擊原理 — 攻擊者如何到達並利用此問題
Claude 的評估依據 — Claude 的評估，涵蓋利用情景、其前置條件和影響
歷史 — 發現內容的每項變更，最新的優先
僅在發現內容已解決時顯示：
解決方案 — 標記為已修復、由已合併的提取請求修復，或作為誤判、可接受的風險、重複項或其他原因而駁回
分類備註 — 選填
疑難排解
安全頁面持續重新導向至「安裝 GitHub App」
claude.ai/security 頁面會針對您自己連接的 GitHub 帳戶執行每位使用者的檢查，因此即使組織範圍的安裝對其他人有效，也可能對您失敗。有幾個可能的原因：
Claude 中未連接 GitHub 帳戶。前往自訂 > 連接器檢查。
連接的 GitHub 帳戶不是安裝應用程式的 GitHub 組織的成員。連接屬於該組織的帳戶。
該組織未授權 SSO。如果您的 GitHub 組織需要 SSO，您必須為其單獨授權 Claude 應用程式。請按照使用 GitHub 整合中的步驟進行。
您的 GitHub 組織的 IP 允許清單正在阻止檢查。GitHub 的「為已安裝的 GitHub App 啟用 IP 允許清單設定」設定涵蓋來自應用程式本身的流量，例如程式碼審查，但不涵蓋此每位使用者的檢查。若要允許，請手動將 160.79.104.0/21 新增為組織層級允許清單項目。如需完整的範圍清單，請參閱IP 位址。
常見問題
開始使用
使用 Claude Security 前需要什麼？
需要有效的 Claude Enterprise 方案、每位使用者的進階座位，以及為消費計費啟用的使用額度。擁有者在組織設定 > Claude Security 中啟用 Claude Security。請參閱快速入門指南了解設定步驟。
如何授予 Claude Security 存取我的儲存庫的權限？
對於 GitHub.com 和 GitHub Enterprise Server，擁有者安裝Claude GitHub App 並授予其存取您想要掃描的儲存庫的權限。對於其他 Git 提供者（例如 GitLab 和 Bitbucket），您需要儲存庫的位址和驗證令牌。
我可以掃描不在 GitHub 上的儲存庫嗎？
可以。專案可以使用託管在 GitHub.com 和 GitHub Enterprise Server 上的儲存庫，或使用驗證令牌託管在其他 Git 伺服器上的儲存庫（包括可公開存取的自託管 Git 伺服器）建立。
需要允許哪些 IP 位址？
使用Anthropic IP 位址允許清單指南。如果您使用 GitHub Enterprise Server 或其他 Git 提供者，您的執行個體必須允許來自這些 IP 位址的入站流量，以便 Claude Security 可以到達您的儲存庫。
Claude Security 支援零資料保留 (ZDR) 嗎？
不支援。Anthropic 可能會在法律要求或解決使用政策違規時保留資料。
最新更新後，我現有的專案會發生什麼？
現有專案會繼續按照目前的方式執行，仍可從 Claude Security 首頁取得。新專案使用新體驗。
我可以遷移現有的專案嗎？
可以，如果您擁有該專案。開啟它並按一下「遷移專案」，或在 Claude Security 首頁上按一下「遷移您的專案」以遷移您擁有的每個專案。Claude Security 會建立新專案、將發現內容複製到其中，並封存原始專案。成員、Webhook、排除的目錄、掃描歷史記錄和排程掃描不會被複製。GitHub Enterprise 專案無法遷移。
持續監控
首次掃描需要多長時間？
根據儲存庫的大小，基準掃描可能需要幾分鐘或幾小時。您可以在掃描執行時離開頁面。如果您已為 Claude Security 啟用電子郵件通知，當您的專案掃描完成且有新發現時，您將收到電子郵件。
後續掃描需要多長時間？
掃描時間因儲存庫和代理程式的操作而異。
基準掃描後 Claude 多久掃描一次？
Claude 會根據新提交的風險和複雜性定期檢查並掃描變更。沒有固定的排程。
為什麼同一程式碼的兩次掃描會傳回不同的結果？
掃描在設計上是隨機的。與傳統靜態分析器不同，Claude Security 使用代理程式，該代理程式會根據每次執行調整其分析，對程式碼內容進行推理，而不是應用固定的模式比對。這使得能夠進行深度分析，以捕捉邏輯層級的漏洞。
應如何設定大型儲存庫或單一儲存庫？
在儲存庫上設定資料夾範圍，而不是掃描完整儲存庫，並排除您不需要涵蓋的資料夾。Claude 仍可根據需要從程式碼庫的其餘部分提取內容。
一個專案可以有多少個儲存庫？
最多八個。儲存庫可以在範圍內，因此 Claude 會掃描它並報告發現內容，或僅用於內容，因此 Claude 在掃描期間讀取它但不報告其中的發現內容。兩者都計入限制。在專案的「資源」標籤上管理專案的儲存庫。
如何告知 Claude 我的環境？
開啟專案的「知識」標籤以編輯威脅模型並新增文件，例如架構文件。Claude 使用它們來決定要標記什麼以及如何評級。
Claude Security 使用哪些模型？
Claude Security 掃描由 Claude Mythos 模型提供支援。使用者接收發現內容，無需直接存取模型。每個專案與 Claude 的聊天使用您的團隊從您的組織允許的模型中選擇的模型。Claude Security 的某些子元件在不需要 Mythos 級推理時可能使用其他模型，例如列舉專案目錄。
發現內容和修復
嚴重程度如何分配，我可以更改嗎？
Claude 根據專案的威脅模型評估每項發現，您的團隊可以編輯和更正。
如果發現描述的攻擊在我的環境中不可能發生怎麼辦？
Claude 根據您的程式碼編寫威脅模型，因此可能會遺漏部署環境和貴公司已接受的模式。在專案的聊天中，告訴 Claude 為什麼該發現是錯誤的，並要求它更新威脅模型。Claude 使用威脅模型來決定要標記什麼以及如何評估。
我如何修復發現？
點擊發現上的「修復」以開啟 Claude Code 並修復該特定漏洞。如果沒有雲端 Claude Code，您可以將提示複製到您自己的 Claude Code 中。
修復追蹤如何運作？
當程式碼在儲存庫中變更時，Claude 會重新檢查發現。標記為已修復的發現如果 Claude 稍後再次發現該問題，將自動重新開啟。
當我駁回發現時會發生什麼？
駁回的發現不會在未來的掃描中重新出現。您可以將發現駁回為誤報、已接受的風險、重複項或其他原因，並新增分類備註。
整合和通知
我如何將發現匯出到我自己的工具？
若要將發現匯出到您自己的追蹤和通知系統，請使用 Claude Security API、Claude Security 連接器或 Webhook。
我如何使用 Claude Security API？
在 Claude Security 設定下建立個人存取權杖。權杖代表您：它只能查看和變更您可以查看和變更的內容。使用 API，您可以列出和讀取專案和發現、解決和重新開啟發現，以及建立和管理專案及其儲存庫。
Claude Security 連接器 (MCP) 可以做什麼？
使用 Claude Security 連接器，Claude 和 Claude Code 可以列出和讀取您的專案和發現，並在您要求時解決或重新開啟發現。
當有新發現時，我如何收到通知？
在 Claude Security 設定下建立 Webhook，以將新發現事件推送到您自己的系統，例如 Slack 或 Jira。
存取和共享
管理員如何控制誰可以使用 Claude Security？
管理員可以透過在自訂角色中設定功能，決定哪些 RBAC 角色可以建立專案，以及哪些可以檢視、分類或管理所有專案。
我如何共享專案，每個角色可以做什麼？
在專案中，點擊「共享」以給予成員一個角色：完整（管理發現、設定和存取權限）、分類（檢視發現、更新其狀態和開始修復）或檢視。您也可以與整個組織共享專案。
定價
Claude Security 的成本是多少？
Claude Security 僅按直接權杖成本計費。沒有額外的平台費用。使用涵蓋 Claude Security 在專案中執行的掃描和其他工作：編寫威脅模型、專案聊天和檢查修復。
我如何控制和追蹤 Claude Security 的成本？
您可以為 Claude Security 設定單獨的支出限制。在專案設定中開啟「使用情況」以查看其本月至今和每日的成本。
更新的 Claude Security 是否有推出優惠？
是的，符合資格的 Claude Enterprise 組織每月可獲得高達 $25,000 的免費使用額度，為期兩個月，至 2026 年 12 月 31 日。完整推出優惠條款如下。
推出優惠也適用於舊版體驗嗎？
否，推出優惠僅適用於使用新體驗建立的專案。
Claude Code 的 Claude Security 外掛程式
Claude Code 的 Claude Security 外掛程式是什麼？
Claude Code 的 Claude Security 外掛程式是一項獨立功能，基於與 Claude Security 相同的技術。它適用於希望直接將掃描器整合到其工作流程中而不依賴 Anthropic 託管代理基礎設施的使用者、具有零資料保留 (ZDR) 要求的使用者，或需要透過第三方提供者存取模型的使用者。深入瞭解：掃描您的程式碼以查找漏洞。
Claude Code 的 Claude Security 外掛程式是否使用相同的模型？
不一定。外掛程式使用 Claude Code 帳戶中可用的任何模型。
使用範圍：您只能使用 Claude Security 掃描您或您的公司擁有的程式碼，以及您或您的公司擁有掃描所有必要權利的程式碼。您不得使用 Claude Security 掃描由第三方擁有或授權的程式碼，包括但不限於開源專案或您公司程式碼庫以外的儲存庫。
Claude Security 推出優惠條款
誰符合資格：Claude Enterprise 組織，包括透過 AWS Marketplace 購買的 Claude Enterprise。
您獲得的內容：在連續兩個月中，每個月最多 $25,000 的 Claude Security 使用促銷額度。每個月從您組織的開始日期到下個月的同一日期。一個月未使用的額度不會結轉。
如何獲得：無需註冊。額度會自動套用於新 Claude Security 中的使用。舊版本中的專案使用不包括在內，直到它們被遷移。
何時開始：已經擁有 Claude Enterprise 的組織從 2026 年 10 月 21 日開始。在該日期之後註冊 Claude Enterprise 的組織從註冊當天開始。無論您的組織是否使用 Claude Security，這兩個月都會進行。
何時結束：優惠在 2026 年 12 月 31 日 (UTC) 當天結束時結束，即使您的兩個月尚未完成。在 2026 年 11 月 1 日之後註冊的組織將無法獲得整整兩個月。
額度如何套用：額度在您組織的承諾支出或使用額度之前使用，並與任何預付使用額度分開。在額度用完或優惠結束後，Claude Security 使用按直接權杖成本計費。
在哪裡查看：組織管理員可以在組織設定 > 使用情況中的服務下或在組織設定 > Claude Security 中的支出限制下查看促銷餘額。
Claude 促銷額度優惠條款也適用，包括何時可能沒收額度以及何時可能變更優惠。如果它們與本文中的此優惠不同，本文優先。