Claude Security: escaneo de vulnerabilidades con IA en Claude Code
Anthropic ha lanzado Claude Security, un plugin en beta pública para Claude Code que escanea tus cambios recientes (o un código base completo) en busca de vulnerabilidades de alta gravedad directamente en el terminal. Apunta de lleno al hueco entre «la revisión de código lo detectó» y «la revisión de código no lo detectó», y ya está disponible para todos los usuarios de Claude Code.
Qué hace realmente
En lugar de la búsqueda de patrones en la que se apoyan las herramientas tradicionales de análisis estático, Claude Security razona sobre el código como lo haría un investigador de seguridad: sigue los flujos de datos, entiende el contexto a lo largo de varios archivos y sigue cómo se mueve un valor desde una entrada no fiable hasta un punto peligroso. Ese razonamiento entre archivos es la función estrella: la clase de fallo que más a menudo se les escapa a las herramientas SAST tradicionales es justo la que solo tiene sentido después de haber leído tres archivos, no uno.
El pipeline funciona en tres fases:
- Escaneo: un conjunto coordinado de agentes cartografía el código base y lo analiza en paralelo, buscando específicamente fallos de inyección, omisiones de autenticación, corrupción de memoria y errores lógicos complejos que abarcan varios archivos.
- Validación: antes de que te llegue nada, Claude ejecuta una «verificación adversaria», una segunda pasada que intenta expresamente refutar sus propios hallazgos. Es el paso dirigido directamente contra la fatiga por falsos positivos, el mayor motivo por el que los equipos de ingeniería ignoran las herramientas de seguridad.
- Parche: para los hallazgos confirmados, Claude propone una corrección acotada que conserva la estructura y el estilo del código que la rodea, para que una persona la revise y la aplique.
Cómo lo activan los equipos
Es una función en beta para usuarios de Claude Enterprise y Claude Code, que activa un administrador de la organización desde la consola de administración. Los paquetes de skills de terceros son el caso opuesto: un desarrollador puede cargar en local Claude Red, 78 skills de seguridad ofensiva de GitHub, sin pasar por ninguna consola de administración, y por eso necesitan un inventario. Una vez activado, puede ejecutarse sobre un diff antes de un commit o como un barrido programado más profundo de todo un repositorio, y los hallazgos pueden enviarse por webhook a Slack o Jira, o exportarse en CSV o Markdown para el gestor de incidencias que ya uses.
Por qué importa, y qué no cambia
La promesa es real: un revisor de IA que entiende la intención y el flujo de datos detecta una clase de fallo distinta, y a menudo más peligrosa, que un escáner basado en expresiones regulares: la omisión de autenticación escondida tres funciones más abajo, no el «has usado eval()». Y ponerlo directamente en el terminal, en la misma herramienta que los desarrolladores ya usan para escribir el código, elimina la fricción que mata la adopción de la mayoría de las herramientas de AppSec: nadie tiene que abrir un segundo panel.
Lo que no cambia: Anthropic deja claro que cada parche sugerido necesita una revisión humana antes de publicarse, sobre todo cerca de sistemas críticos, y que la eficacia sigue variando según el tipo y la complejidad del código. Es un segundo par de ojos muy bueno, que razona a un nivel que las herramientas de análisis estático no alcanzan, no un sustituto de un proceso de revisión de seguridad ni de entender por qué existe una clase de vulnerabilidad.
Esa última parte es la que no se automatiza: saber por qué un patrón de omisión de autenticación es peligroso, cómo lo encadenaría de verdad un atacante y cómo es el incidente cuando alguien lo encuentra antes que tus herramientas. Ese es el músculo que entrenan los escenarios del SOC y de la Cyber War Room de PlayCISO: la capa de criterio que está por encima de cualquier escáner que ejecutes.
Noticia completa: cybersecuritynews.com — Anthropic Launches Claude Security Plugin
¿Quieres comprobar lo bien que razona tu equipo sobre una vulnerabilidad una vez que un escáner la encuentra? Trabaja un caso de SOC en directo →