- Claude Code Security est une fonctionnalité de sécurité basée sur l’IA qui détecte les vulnérabilités dans une base de code et propose des correctifs à examiner par un humain
- Elle détecte des vulnérabilités complexes que les outils d’analyse statique existants manquent, en suivant les interactions du code et les flux de données comme le ferait un chercheur humain
- Tous les résultats passent par une validation en plusieurs étapes et une évaluation de la gravité avant d’être affichés dans un tableau de bord, et aucune correction n’est appliquée automatiquement sans l’approbation d’un développeur
- Anthropic publie cette fonctionnalité sous la forme d’un aperçu de recherche limité pour les clients Enterprise et Team ainsi que pour les mainteneurs open source
- L’objectif est d’améliorer le niveau de sécurité de l’ensemble du secteur, à l’approche d’une époque où l’IA pourra trouver des vulnérabilités plus vite que les attaquants
Présentation de Claude Code Security
- Claude Code Security est une nouvelle fonctionnalité intégrée à la version web de Claude Code qui analyse une base de code pour détecter des vulnérabilités de sécurité et proposer des correctifs
- Elle est proposée sous forme d’aperçu de recherche et suppose une revue humaine
- Elle a été conçue comme un outil destiné à résoudre les problèmes de manque de personnel et de trop grand nombre de vulnérabilités auxquels font face les équipes de sécurité
- Alors que les outils d’analyse existants se concentrent sur des schémas connus, Claude peut aussi détecter des vulnérabilités nouvelles et dépendantes du contexte
Fonctionnement
- L’analyse statique traditionnelle détecte, sur la base de règles, des schémas de vulnérabilités connus, mais elle passe facilement à côté d’éléments comme les erreurs de logique métier ou les défauts de contrôle d’accès
- Claude Code Security comprend et raisonne sur le sens du code comme un chercheur humain, afin d’identifier des vulnérabilités complexes
- Il suit les interactions entre composants et les flux de données
- Les résultats de détection passent par une procédure de validation en plusieurs étapes afin de réduire au minimum les faux positifs
- Claude réexamine lui-même les résultats et leur attribue un niveau de gravité
- Les résultats validés sont affichés dans un tableau de bord, où l’équipe peut les examiner et les approuver
- Chaque élément inclut un score de confiance, et aucune modification n’est appliquée sans validation humaine
Les bases de recherche en cybersécurité de Claude
- Claude Code Security a été développé sur la base de plus d’un an de recherche en sécurité autour de Claude
- La Frontier Red Team d’Anthropic a fait participer Claude à des compétitions Capture-the-Flag et a mené, en collaboration avec le Pacific Northwest National Laboratory, des expériences de défense d’infrastructure basées sur l’IA
- En s’appuyant sur le modèle le plus récent, Claude Opus 4.6, l’équipe a découvert plus de 500 vulnérabilités dans du code open source
- Y compris des bugs restés en place malgré des décennies de revue par des experts
- Une procédure de divulgation responsable est actuellement en cours avec les mainteneurs
- Anthropic utilise déjà Claude pour la sécurité de son propre code interne, et a développé cette fonctionnalité afin de mettre les mêmes capacités défensives à disposition à l’extérieur
Perspectives
- Le moment où l’IA pourra analyser la majorité des bases de code dans le monde est proche
- Les modèles d’IA peuvent détecter efficacement des bugs restés cachés pendant longtemps
- Les attaquants peuvent eux aussi utiliser l’IA pour trouver rapidement des vulnérabilités, mais le risque peut être réduit si les défenseurs corrigent de manière proactive
- Claude Code Security est présenté comme une étape vers des bases de code plus sûres et une amélioration des standards de sécurité à l’échelle du secteur
Participation et accès
- Disponible sous forme d’aperçu de recherche pour les clients Enterprise et Team
- Les participants peuvent collaborer directement avec l’équipe Anthropic pour améliorer l’outil
- Les mainteneurs open source peuvent demander un accès gratuit et rapide
- Plus d’informations sur claude.com/solutions/claude-code-security
Aucun commentaire pour le moment.