Claude Security franchit une étape majeure en déployant la surveillance continue des dépôts de code et le suivi automatisé des correctifs. Disponible en bêta publique pour les entreprises abonnées à l’offre Claude Enterprise, cette mise à jour supprime le besoin de lancer manuellement chaque audit et intègre la traçabilité complète des vulnérabilités.
Dans un écosystème où le développement s’accélère avec des assistants comme Claude Code, la détection ponctuelle des failles montre vite ses limites. Anthropic repense ainsi son outil pour accompagner les équipes d’ingénierie au fil de leurs livraisons quotidiennes.
Points clés de la mise à jour :
- Surveillance continue : analyse automatique à chaque modification de code sur les branches ciblées.
- Suivi automatique des correctifs : les alertes sont clôturées quand le commit correcteur arrive, puis réouvertes si le problème réapparaît.
- Détection transversale : analyse multi-dépôts capable d’identifier les failles entre microservices distincts.
- Intégration MCP : pilotage complet depuis Claude et Claude Code via le Model Context Protocol.
- Crédits offerts : 25 000 dollars de crédits mensuels gratuits pendant deux mois pour les clients éligibles.
Au sommaire :
Comment fonctionne la surveillance continue de Claude Security
Jusqu’à présent, les audits de sécurité automatisés nécessitaient un déclenchement explicite ou s’exécutaient de manière isolée lors des revues de code. Avec cette nouvelle version, Claude Security surveille l’intégralité du cycle de développement logiciel en arrière-plan. Dès qu’un projet est configuré via l’application GitHub officielle d’Anthropic ou via des jetons d’accès pour GitLab, le service réalise un premier scan d’ensemble approfondi de la base de code.
Ensuite, le système analyse chaque nouvelle modification selon son niveau de risque et sa complexité architecturale. Cette approche continue offre un avantage décisif : les alertes restent synchronisées avec l’état exact du dépôt. Lorsqu’un développeur pousse une correction, Claude Security vérifie la disparition de la vulnérabilité et marque automatiquement le problème comme résolu, que la modification ait été rédigée manuellement ou par un agent IA.
Si une régression survient ultérieurement, la faille est automatiquement réouverte avec l’historique complet des changements associés. De plus, la prise en charge de plusieurs dépôts au sein d’un même projet permet de repérer les failles frontières, par exemple lorsqu’un serveur backend accorde une confiance aveugle à une entrée non validée par un client web.
Modélisation des menaces et intégration MCP
Une des limites historiques des scanners statiques réside dans le volume élevé de faux positifs. Pour répondre à ce défi, chaque projet intègre une base de connaissances personnalisée. Les équipes de sécurité peuvent y décrire leurs pratiques de déploiement, leurs politiques d’authentification et les contrôles réseau que le code source seul ne permet pas de déduire.
À partir de ces éléments et du code analysé, le système génère un modèle de menace éditable. Chaque anomalie détectée s’accompagne d’une note de sévérité, d’un chemin d’attaque détaillé et, dans plusieurs cas, d’un schéma illustrant le scénario d’exploitation potentiel par un attaquant.
Sur le plan des flux de travail, Anthropic déploie un connecteur Model Context Protocol (MCP). Grâce à ce connecteur, les ingénieurs peuvent interroger les failles directement dans leur terminal avec Claude Code, en discuter avec l’assistant, appliquer un correctif immédiat et clôturer le ticket sans changer de fenêtre. Cette intégration s’inscrit dans la stratégie globale d’outils autonomes détaillée dans notre comparatif des agents IA.
| Fonctionnalité | Ancienne version | Nouvelle version continue |
|---|---|---|
| Déclenchement des scans | Manuel ou planifié ponctuellement | Surveillance continue à chaque commit |
| Suivi des correctifs | Vérification manuelle requise | Résolution et réouverture automatiques |
| Périmètre des projets | Dépôt unique isolé | Multi-dépôts avec détection inter-services |
| Intégration développeur | Console web séparée | API REST, webhooks et connecteur MCP |
Disponibilité, tarifs et crédits offerts
Depuis son entrée en phase de test au printemps, le moteur de sécurité a déjà permis d’identifier plus d’un million de failles au sein de milliers d’entreprises. Cette infrastructure repose sur la gamme complète des modèles d’Anthropic, sans imposer aux organisations de passer par les contraintes du programme Cyber Verification.
Pour accélérer l’adoption, Anthropic offre 25 000 dollars de crédits mensuels d’utilisation pendant deux mois à chaque organisation cliente de Claude Enterprise, une offre valable jusqu’au 31 décembre 2026. L’activation s’effectue directement depuis la console d’administration par les responsables techniques.
Cette annonce confirme l’accélération d’Anthropic sur l’outillage pour développeurs, quelques heures après les premières démonstrations de son assistant proactif Claude Duet. Vous pouvez retrouver toutes les nouveautés de l’éditeur dans notre dossier dédié à l’actualité Anthropic.
Foire aux questions sur Claude Security
Quels services d’hébergement de code sont compatibles avec Claude Security ?
Le service se connecte aux dépôts GitHub via l’application officielle Claude GitHub, supporte GitHub Enterprise Server et gère les instances GitLab ainsi que d’autres forges Git grâce à des jetons d’accès personnels.
Comment Claude Security gère-t-il les correctifs de vulnérabilités ?
Le système compare les alertes ouvertes avec les nouvelles modifications de code. Lorsqu’un correctif validé est fusionné, l’alerte est marquée comme résolue. Si le code vulnérable réapparaît, l’alerte se réouvre automatiquement.
Faut-il payer un abonnement spécifique pour tester ces nouveautés ?
La fonctionnalité est accessible en bêta publique pour les clients Claude Enterprise. Anthropic accorde 25 000 dollars de crédits mensuels offerts pendant deux mois pour couvrir les coûts d’exécution jusqu’à la fin de l’année 2026.
Peut-on utiliser Claude Security avec des agents de développement local ?
Oui, un connecteur MCP officiel permet d’importer les alertes directement dans Claude Code pour analyser les vulnérabilités et corriger les failles en temps réel sans quitter son environnement de développement local.
Pour en savoir plus sur l’évolution des modèles de l’éditeur, consultez également notre analyse sur Claude Sonnet 5.5.
Sources :