Claude Security、変更を追って点検し、直った指摘は自動で閉じる形に

Anthropicは米国時間10月21日、コードの脆弱性を探すClaude Securityの新しい版を発表した。これまでは誰かが点検を始めて、その時点のコードを調べる道具だった。新しい版は、リポジトリの変更に合わせて点検を続け、見つけた穴が直ったかどうかまで追いかける。使えるのはClaude Enterpriseの客で、公開ベータの扱いだ。管理者が管理画面で有効にし、チームの誰が使えるかを決める。

変更に合わせて点検し続ける

使い方は、まずプロジェクトを作り、リポジトリをつなぐところから始まる。GitHubはClaudeのGitHubアプリで、GitHub Enterprise Serverにも対応する。GitLabなどほかのGitの置き場は、アクセス用の鍵でつなぐ。ブランチと範囲を選ぶと、Claudeは最初に深い点検をひととおり行い、その後は変更の危うさや複雑さに応じて、変わった部分を定期的に点検する。

1つのプロジェクトに最大8つのリポジトリを入れられるのも新しい。Anthropicは、サーバー側が、本来はクライアント側で確かめるはずだった入力を信じてしまうような、サービスのあいだにある穴も見つけられると説明する（会社の申告）。

指摘の扱いも変わった。直す作業は、穴を見つけた道具の外で行われることが多い。Claude Securityは、開いている指摘を変わったコードと照らし合わせ、直しが入ったら「直った」にする。Claude Codeで直しても、別の手順で直しても同じだ。あとで同じ穴がまた見つかれば、指摘は自動で開き直る。

チームの知識で優先を決める

コードだけを見ても、どこに守りがあるかは分からない。そこで、プロジェクトごとに知識の置き場ができた。どう配備しているか、どの決まりが当てはまるか、新しく入ったセキュリティの担当者が知っておくべきことを書いておける。

Claude Securityは、コードから脅威モデルも作る。チームはそれを読んで直せ、次からの点検はこの脅威モデルを基に、知らせるべき穴を選ぶ。環境の側ですでに防いでいる危険は、飛ばせるという。指摘には、脅威モデルに照らした深刻さと、攻撃者がその穴にどうたどり着くかの説明が付き、道筋の図が付くこともある（会社の申告）。

Anthropicは、4月に公開ベータを始めてから、数千の組織が使い、100万件を超える脆弱性を見つけたとしている（会社の申告）。点検にはClaude Mythosを含むClaudeのモデル群を使い、サイバー向けの確認の制度（Cyber Verification Program）への登録は要らないという。発表には、Gustoのセキュリティ担当者の「最初に1度点検して基準を作り、今はコードの変更に合わせて追いかけてくれる。別の道具に移らず、Claudeの中で直せる」という声も載っている（会社の申告）。

APIとMCPで外の道具につなぐ

新しいAPIでは、プロジェクトと指摘の一覧や中身を読み、指摘を解決にしたり開き直したり、プロジェクトとリポジトリを作って管理したりできる。鍵は各自が設定画面で作る個人用のもので、その人が見て変えられる範囲しか触れない。新しい指摘が出た時に、Webhookで自分たちの仕組みへ知らせることもできる。

Claude SecurityはClaude.aiとClaude CodeのMCPの接続先としても使える。エンジニアは同じセッションの中で、指摘を呼び出し、Claudeに尋ね、直し始め、解決にするところまで進められるという。管理者向けには、誰がプロジェクトを見られるか、指摘を仕分けられるか、プロジェクトを作れるかを分ける権限の設定が入った。

料金の面では、料金は使ったトークンの分だけを払い、別の基本料金は無い。対象となるEnterpriseの組織には、毎月最大2万5000ドル分の無料の利用枠が2か月分付く。対象は2026年12月31日までの利用で、細かい条件はヘルプセンターにある。始め方は入門の手引きにまとまっている。別の機能として、Claude Code向けのプラグイン版もあるとヘルプセンターは説明している。

編集部の見方

Claude CodeやCodexで作る小さなチームにとって、点検を「たまにやるもの」から「変更を追って走り続けるもの」に変える流れは大きい。エージェントがコードを書く速さが上がるほど、人が週に1度点検を回すやり方では追いつかないからだ（編集部の読み）。

ただし、今回の版はEnterpriseの契約とプレミアム席が前提だ。それでも、直ったら閉じ、また出たら開き直すという指摘の扱い方は、自分たちの点検の流れを組む時の手本になる（編集部の読み）。