- február 20-án Anthropic elérhetővé tette a Claude Code Security nevű új képességet a Claude Code webes felületén korlátozott kutatási előzetes formájában. A szolgáltatás célja, hogy kódalapokat végignézve biztonsági sebezhetőségeket találjon és célzott javítási javaslatokat tegyen emberi felülvizsgálatra, így segítve a védelmi oldalt olyan hibák feltárásában, amelyeket a hagyományos eszközök gyakran kihagynak.
Miért van szükség erre?
A biztonsági csapatok általános problémája, hogy túl sok sebezhetőség halmozódik fel és kevés a rendelkezésre álló emberi erőforrás azok kezelésére. A hagyományos, statikus elemzést végző eszközök jellemzően szabályalapúak: ismert mintákra keresnek, és így például kitenyíló jelszavakat vagy elavult titkosítási megoldásokat találhatnak meg könnyen. Ugyanakkor a komplex, kontextusfüggő hibák — üzleti logikai hibák, törött hozzáférés-ellenőrzések — gyakran elkerülik ezeket az eszközöket és szakértői emberi vizsgálatot igényelnek.
Claude Code Security nem mintázatkereséssel dolgozik, hanem a kódot úgy olvassa és következteti belőle a rendszer működését, ahogyan egy emberi biztonsági kutató tenné: komponensek közötti interakciókat értelmez, végighalad az adatok útján az alkalmazáson belül, és ezáltal képes összetettebb sebezhetőségek feltárására.
Hogyan működik a találatok ellenőrzése?
Minden észrevétel több lépcsős ellenőrzési folyamaton megy át, mielőtt elemzőhöz jutna. Claude újraértékeli saját eredményeit: megpróbálja igazolni vagy megcáfolni a felvetett problémát, ezzel csökkentve a hamis pozitívokat. A találatokat súlyossági besorolással látják el, hogy a csapatok a legfontosabb javításokra összpontosíthassanak. Emellett minden eredményhez bizalmi értéket is mellékelnek, mert sok hiba megítélése a forráskód alapján nehéz és árnyalt lehet.
A validált találatok megjelennek a Claude Code Security irányítópultján: a csapatok ott megvizsgálhatják a javasolt javításokat és jóváhagyhatják azokat. Semmi sem kerül automatikusan alkalmazásra — a rendszert úgy tervezték, hogy problémákat azonosítson és megoldási javaslatokat kínáljon, de a fejlesztők mindig emberi döntést hoznak a javításról.
Claude korábbi kutatásai és eredményei
Claude Code Security az elmúlt több mint egy év Claude-csapatának kiberbiztonsági kutatásaira épít. Az Anthropic Frontier Red Team rendszeresen tesztelte a modell képességeit: versenyszerű Capture-the-Flag eseményeken indították el Claude-ot, együttműködtek a Pacific Northwest National Laboratory-val kritikus infrastruktúrák védelméhez kapcsolódó kísérletekben, és finomították Claude képességét valódi sebezhetőségek megtalálására és javítására.
A fejlesztések eredményeként a Claude Opus 4.6 modell (amelyet a hónap elején adtak ki) segítségével a csapat több mint 500 sebezhetőséget talált termelésben használt, nyílt forráskódú kódbázisokban — olyan hibákat, amelyek évtizedek óta észrevétlenek maradtak, jóllehet korábbi szakértői átvizsgálások történtek. Az Anthropic jelenleg a karantén és a felelős közzététel folyamatait végzi a fenntartókkal, és tervezi a további együttműködést az open-source közösséggel.
Az Anthropic saját rendszereinek védelmét is Claude-dal vizsgálja, és szerintük a modell rendkívül hatékony volt a cég belső kódjának biztonságossá tételében. A Claude Code Security célja, hogy ezeket a védelmi képességeket szélesebb körben elérhetővé tegye, ráadásul integrálva van a Claude Code-ba, így a csapatok a már használt eszközökön belül tudják megtekinteni a találatokat és kipróbálni a javításokat.
Mi várható a jövőben?
Az Anthropic szerint ez fordulópont lehet a kiberbiztonságban: várhatóan a közeljövőben a világ kódjának jelentős része AI által lesz átvizsgálva, mert a modellek hatékonysága nagyban megnőtt a hosszú ideje rejtve maradó hibák megtalálásában. Ugyanakkor azt is hangsúlyozzák, hogy az AI-képességek rossz kezekbe kerülve ugyanilyen hatékonysággal szolgálhatják a támadókat; ezért fontos, hogy a hasonló eszközök a védelem kezében legyenek és felelősségteljesen legyenek alkalmazva.
Hozzáférés és részvétel
A Claude Code Security korlátozott kutatási előzetesként ma elérhetővé vált az Enterprise és Team ügyfelek számára. A résztvevők korai hozzáférést kapnak és közvetlenül dolgozhatnak az Anthropic csapatával a funkciók csiszolásán. A nyílt forráskódú projektfenntartókat ingyenes, gyorsított hozzáférésre bátorítják, hogy közösen dolgozhassanak a további fejlesztéseken.
A részvételre és további információra az Anthropic a claude.com/solutions/claude-code-security oldalon hívja fel az érdeklődők figyelmét.
