Anthropic 发布 Claude Code 的 Claude Security 插件测试版——终端多智能体漏洞扫描器

Anthropic 为 Claude Code 发布了 Claude Security 插件的测试版。该插件新增了 /claude-security 命令，可打开一个包含三项任务的菜单：扫描代码库（全部或部分）、扫描变更（分支差异、PR 或单个提交）以及根据发现的漏洞生成补丁。安装通过两条命令完成：/plugin install claude-security@claude-plugins-official 和 /reload-plugins。扫描过程实现为一个由六个阶段组成的 JavaScript 动态工作流：资产盘点、威胁建模、调查（涵盖四类：注入与输入、身份验证与访问、内存与不安全、加密与密钥）、清理、专家小组审查以及对抗性审查（仅在最高级别）。发现的候选结果只有在经过三个独立验证者根据“可达性”、“影响”和“防护”标准进行小组审查后才会纳入报告，法定通过数为三分之二。结果的可信度级别有所限定：三分之二通过为高可信度，三分之二通过为中可信度。验证结果由程序计算，而非模型。每次扫描会创建一个 CLAUDE-SECURITY-<时间戳> 目录，包含三个产物：Markdown 格式报告、JSONL 格式报告以及一个修订文件。补丁在仓库的克隆中生成，并独立验证三个条件，应用补丁需手动通过 git apply 执行。该插件需要付费订阅，且要求 Claude Code 版本 v2.1.154 或更高、Python 3.9.6、Git，并启用动态工作流。扫描结果非确定性，不能替代传统的静态应用安全测试（SAST）、依赖项扫描或代码审查。