Claude Security öffentliche Beta: durchsucht Codebasis, validiert eigene Ergebnisse, schlägt Patches vor

Anthropic hat soeben Claude Security in der öffentlichen Beta für Enterprise-Kunden veröffentlicht. Statt auf regelbasiertem Pattern-Matching (schnell, günstig, viele Fehlalarme) zu setzen, analysiert es Code wie ein Sicherheitsforscher – liest die Git-Historie, verfolgt Datenflüsse über mehrere Dateien hinweg und versteht die Geschäftslogik. Das Ziel ist es, Schwachstellen zu finden, die nur im Kontext Sinn ergeben und die Pattern-Matcher strukturell nicht erkennen können.

Wichtige Funktionen

• Scannt nach schwerwiegenden Problemen: Speicherkorruption, Injection-Fehler, Authentifizierungsumgehungen, komplexe Logikfehler
• Validiert Ergebnisse intern durch adversarische Selbstverifikation, bevor sie angezeigt werden – Claude hinterfragt seine eigenen Ergebnisse
• Schlägt für jeden Fund einen konkreten Patch vor, der die Struktur und den Stil Ihres Codes beibehält
• Sendet Ergebnisse an Slack, Jira oder jedes andere System über Webhooks
• Ermöglicht es, Scans auf bestimmte Verzeichnisse zu beschränken oder sie nach einem Zeitplan auszuführen

Wichtige Designentscheidung

Die herausragende Architektur: Jeder Fund durchläuft vor der Anzeige einen Schritt der adversarischen Selbstverifikation. Es geht nicht nur um „KI findet Fehler“, sondern um „KI diskutiert mit sich selbst, bevor sie berichtet“. Dies verbessert das Signal-Rausch-Verhältnis im Vergleich zu herkömmlichen Scannern erheblich.

Der Mensch bleibt am Steuer

Jeder Patch muss überprüft und genehmigt werden, bevor er eingespielt wird. Claude Security basiert auf denselben Modellen, die Anthropic zur Sicherung seiner eigenen Codebasis verwendet – ein ehrliches Signal für das interne Vertrauen.

Verfügbarkeit

Derzeit nur für Enterprise-Kunden. Team- und Max-Tarife folgen später. Dies ist eine frühe Version – KI-generierte Patches für kritische Systeme erfordern eine sorgfältige Überprüfung –, aber die Richtung (KI, die ihre eigene Argumentation validiert, bevor sie Ergebnisse präsentiert) ist die richtige für Sicherheitstools.