Claude Security passa a fazer scans contínuos e a acompanhar correções de vulnerabilidades

A atualização muda o modelo de uso do Claude Security: em vez de scans disparados manualmente, o projeto passa a acompanhar o repositório conforme o código muda. Depois de um scan de baseline profundo, as mudanças são reescaneadas com frequência definida pelo risco e pela complexidade de cada uma. Os repositórios entram pelo app do Claude no GitHub (incluindo GitHub Enterprise Server) ou por token de acesso no GitLab e em outros provedores Git. A Anthropic afirma que milhares de organizações usaram a ferramenta desde o beta público de abril e encontraram mais de um milhão de vulnerabilidades.

O ciclo de vida do achado ficou mais completo. O Claude Security confere os achados abertos contra o código alterado e marca como corrigidos quando a correção entra, tenha ela saído do Claude Code ou de outro processo. Se o problema reaparecer, o achado reabre sozinho. Cada projeto tem um threat model gerado a partir do código, que a equipe pode revisar e editar, e uma base de conhecimento onde se descreve deploy, políticas de segurança e controles que o scanner não enxerga. A severidade é avaliada contra esse modelo e vem com explicação do caminho de ataque, às vezes com diagrama. Projetos com vários repositórios permitem achar falhas entre serviços, como um back-end que confia em validação que deveria ter sido feita no cliente.

Para integração, há API (listar e ler projetos e achados, resolver ou reabrir, gerenciar projetos e repositórios), tokens pessoais que só enxergam o que o usuário enxerga, webhooks para novos achados e conector MCP no Claude.ai e no Claude Code. Controles por papel definem quem vê projetos, faz triagem e cria projetos. O beta público é para clientes Claude Enterprise, com US$ 25.000 em créditos por mês durante dois meses, válidos para uso até 31 de dezembro de 2026. A ferramenta usa a família completa de modelos, incluindo o Claude Mythos, sem exigir acesso ao Cyber Verification Program.

Em 23 de fevereiro de 2026, o CEVIU noticiou o lançamento do Claude Code Security em prévia de pesquisa limitada, com varredura de bases de código e patches propostos para revisão humana. Em 1 de maio de 2026, em "Claude Security entra em fase de beta público", a ferramenta chegou ao beta público para clientes Claude Enterprise, citando o Opus 4.7 como modelo. Agora, em 22 de outubro de 2026, o foco sai do scan pontual e vai para monitoramento contínuo, acompanhamento de correções, threat model editável, API, webhooks, MCP e controle por papéis. A fonte atual cita a família completa de modelos, incluindo o Claude Mythos.

Para quem opera gestão de vulnerabilidades, a mudança relevante é o fechamento do ciclo: achado, correção e reabertura em caso de regressão, sem depender de alguém agendar scan. A API e os webhooks sugerem que dá para plugar a ferramenta na fila de triagem que já existe. O threat model editável é o ponto a testar: ele pode reduzir ruído, mas a qualidade da severidade vai depender do contexto que a equipe mantém na base de conhecimento. Como é beta, vale um piloto antes de ampliar o acesso.