不再"扫一次就完"：Anthropic 把 Claude Security 做成代码的常驻保镖

Claude Security 正在从"工具"变成"习惯"。Anthropic 宣布把旗下企业代码安全扫描服务从手动触发的单次扫描，升级为持续监控：它会一直跟在代码后面，代码变到哪儿，它就看到哪儿。官方的说法很直白：

"Instead of waiting for someone to start a scan, Claude Security now keeps up with your repositories as your code changes, keeps track of which findings get fixed, and uses what your team tells it about your environment to decide what matters."

翻译过来就是：不再等人按按钮，不再扫一次就完，修没修它自己记，你告诉它的环境信息决定什么算重要。对于一个人顶一个团队、代码写得飞快但没空做安全 review 的 vibe coder 来说，这个升级值得认真看一遍——哪怕你今天用不上 Enterprise 版，它也在回答一个对所有人都有用的问题：AI 时代的代码安全，到底该怎么"常驻"。

从单次扫描到持续监控：这次改的不是参数，是机制

之前的 Claude Security 用法很传统：你手动触发一次扫描，它出一份报告，完事。新的流程更像一个常驻的安全同事：新建项目并接入代码仓库之后，先做一次 deep baseline scan（深度基线扫描），把整个代码库的地形摸一遍；之后每一次代码变更，都会按风险与复杂度自动触发增量跟踪。仓库接入走两条路：GitHub（含 GitHub Enterprise Server）通过官方的 Claude GitHub app 接，GitLab 和其他 Git 提供商用 access token 接。

一个容易被忽略、但很能体现 agent 式扫描价值的细节：每个项目可以包含多个仓库。这些仓库在扫描时是"联动"的——能发现跨服务的逻辑问题，比如后端信任了一个"本该由客户端校验"的输入。如果是单次、单仓的静态扫描，这类问题恰恰是传统工具最容易漏掉的：它不是某行代码写错了，而是两个仓库之间的"约定"被破坏了。

仓库在项目里有两种身份："in scope"（正式纳入扫描范围）和"仅作上下文"。这个设计很诚实——它承认了一个现实：安全扫描要想报得准，扫描器得先理解你的代码在干什么；那些不扫描、但给扫描器"讲故事"的仓库，价值在于上下文，而不是警报数量。对小型团队来说，这是在降噪音和保覆盖之间给了一个手动旋钮。

值得单独说说那个 deep baseline scan。第一次全量扫描的意义不只是"建档"，更是给后续的增量跟踪定一个"正常"的参照系。之后每一次代码变更触发的扫描，本质上都是在回答一个问题：这次变更引入了什么新的风险面？按风险与复杂度自动决定跟多紧——高风险的支付模块改动和改一句文案的提交，理应得到不同量级的关注。这种"按变更定力度"的设计，比"每天定时全扫一遍"聪明得多，也更省 token：基线打一次，之后只盯着增量，扫描成本随代码变化走，而不是随代码总量走。

顺带一提，所有这些描述都来自 Anthropic 官方博客，是一家之言。后文凡涉及"发现了多少漏洞""服务了多少组织"这类口径，我都会明确标注厂商自报——因为下文要讲到的一个数字，恰恰最需要你带着批判性眼光去看。

Fix tracking 与 threat model：为什么这两个东西对小团队最实在

安全工具在小团队里最常见的死法不是"报不准"，而是"报了没人修"。Claude Security 这次加的自动 fix tracking 就是冲着这个来的：修复落地后，系统会自动把对应的 finding 标记为 fixed——不管修复是在 Claude Code 里做的，还是走外部流程修的；如果问题复现，它会自动 reopen。dismiss 也不再是一键忽略，而是支持 false positive（误报）、accepted risk（接受风险）、duplicate（重复）等带理由的归档。

把"修了没修"做成自动状态机，看似小事，实则是安全流程里最磨人的部分。很多团队的安全债不是死在"不知道"，而是死在"以为了了"。自动 reopen 尤其值得玩味：它默认假设"修了"可能是假的，回归才是真的。这种悲观假设，恰恰是成熟安全流程的样子。

再往深想一层，fix tracking 解决的其实是一个"责任归属"问题。在传统流程里，漏洞从发现到修复要经过扫描报告、工单分派、开发修复、回归验证四个环节，每个环节都可能丢球——报告躺在 PDF 里没人看，工单分给了已经离职的人，修复了但没人验证。自动跟踪把"发现—修复—验证"闭环了：修复无论在哪发生（Claude Code 里顺手修的，还是走 Jira 流程修的），系统自己去看代码确认；修没修好，不看工单状态，看代码本身。这种"以代码为唯一真相源"的思路，恰恰是 agent 时代工具该有的样子：不再信任流程里的标记，只信任仓库里的现实。

dismiss 的带理由归档（false positive / accepted risk / duplicate）同样不是摆设。它在积累团队的"安全决策账本"：哪些误报反复出现、哪些风险被 consciously 接受、哪些是重复项。时间一长，这本账就是团队安全水位的真实记录——比任何一次性的渗透测试报告都诚实，因为它记录的是日常。

另一个实用的升级是每个项目现在有了 knowledge base 和自动生成的 threat model。Knowledge base 让团队写下部署方式、安全策略、新人须知之类的环境信息；threat model 则由 Claude 根据这些信息自动生成，且可以人工编辑。之后的所有扫描都会按 threat model 排优先级——并且会自动跳过那些"环境已经覆盖"的风险。

这句话翻译成大白话就是：扫描从"无差别报警"变成了"按你的环境排优先级"。对小团队来说，安全工具最大的成本从来不是钱，而是警报疲劳。一份每天报 200 条、其中 190 条是"你的环境里根本不存在这类风险"的报告，等于没有报告。threat model 的本质是把"什么对我重要"的判断权交回给团队，同时让扫描器有章可循。这是整套升级里最被低估的一环。

每个 finding 还会带上 severity 评级（对标该项目的 threat model，而非通用 CVSS 式评分）以及"攻击者可达路径"的解释，部分 finding 甚至附带攻击路径图。评级标准本地化到项目，这个选择很聪明：同一个 SQL 注入，在内部工具和支付系统里的严重程度本就不该一样。

攻击路径图这个细节值得多停留几秒。传统扫描报告给你的是一行描述："第 42 行存在 SQL 注入风险"。开发者看完的反应往往是："然后呢？真有人能打进来吗？"攻击者可达路径回答的正是这个问题：从哪个入口进来、经过哪几层调用、最终能摸到什么数据。它把一个"可能的问题"翻译成了一个"可走通的故事"。对非安全背景的开发者（也就是绝大多数 vibe coder）来说，这种翻译的价值不亚于扫描本身——看不懂的报告等于没报告，能讲故事的报告才会被修。

而 knowledge base 里"新人须知"这类看似与安全无关的内容，实际上是在给扫描器补"组织记忆"。很多安全问题的根因不是代码，而是约定：比如"这个内部接口默认信任内网流量""那张表的数据半年后必须脱敏"。这些约定活在老员工的脑子里、新人的 onboarding 文档里，从不写进代码。让团队把这些写进 knowledge base，扫描器才能判断"这段代码到底违不违反你们自己的规矩"。安全扫描做到这个份上，已经不只是在读代码，而是在读组织。

非确定性扫描：给"把扫描结果当门禁"的 CI 流程出了道难题

这次升级里最值得玩味、也最有争议的一点，藏在 Anthropic Help Center 的口径里（经 unite.ai 转引）：Claude Security 的扫描是非确定性的。Agent 每次分析都是自适应的——它会根据这次看到的代码决定怎么查，所以两次扫描同一份代码，结果可能不同。这和传统静态分析的确定性模式匹配是两种物种：传统工具像尺子，同一段代码量两次得数一样；agent 扫描像医生，同一个人看两次，关注点可能不一样。

这对 CI 流程是一个真实的新挑战。如果你的流水线把"安全扫描全绿"当作合并门禁（merge gate），非确定性意味着：同一份 PR，这次过了，下次可能不过——不是代码变了，是扫描器"想法"变了。这对工程文化的冲击不小：门禁的前提是可重复，而 agent 扫描的强项恰恰是不可重复的自适应推理。

可能的出路有几条：一是把 agent 扫描从"硬门禁"降级为"软门禁"——报告必须看，但不直接拦合并；二是给扫描加"稳定性预算"，比如同一 finding 连续出现 N 次才拦；三是接受它的定位：agent 扫描负责"发现人想不到的问题"，确定性工具负责"守住已知的底线"，两者分工而非替代。Anthropic 自己其实也暗示了这种分工：baseline scan 打地形、持续跟踪看变化、threat model 定优先级——整套设计更像"持续的风险雷达"，而不是"CI 门口的检票员"。

对 vibe coder 来说，这个提醒更直接：如果你用 Claude 或其他 AI 工具生成了大量代码，千万别把某一次"扫描全绿"当成安全证明。非确定性扫描的正确用法是"经常扫、持续看趋势"，而不是"扫一次、拿一张合格证"。安全的置信度来自多次扫描的收敛，而不是单次扫描的结果。

MCP connector：把"看漏洞—修漏洞"搬进同一个会话

这次还发布了一套新的 API（项目与漏洞的 CRUD、webhooks、权限跟随用户的个人 access token）和 RBAC 权限控制。但对开发者日常体感影响最大的，可能是那个 MCP connector：它把 Claude Security 接进了 Claude.ai 和 Claude Code。在同一个会话里，你可以拉出漏洞列表、向 Claude 提问、动手修、标记解决，一气呵成。

工作流的变化值得展开讲讲。传统的安全修复流程是割裂的：在 A 工具看报告，在 B 工具（IDE）修代码，在 C 工具（工单系统）标记状态。每一次上下文切换都在消耗"修"的意愿——而安全的敌人从来都是拖延。MCP connector 把这个链条压进了一个对话：在你正在写代码的会话里，漏洞自己找上门，修完当场标记，状态自动同步。这种"在上下文里修"的体验，和 vibe coding 的"在对话里构建"的体验是同一种哲学：减少切换，让意图连贯。

API 和 webhooks 则面向另一种规模：把漏洞数据灌进你自己的 SIEM、工单系统或自研看板。RBAC 保证不同角色看到不同范围——安全团队看全量，业务开发只看自己项目的。企业级产品的标配，但配齐了才算真正能进大公司。

这里有个对比值得做：API + webhooks 是"把数据送出去"，MCP connector 是"把能力送进来"。前者服务于已有安全体系的企业——漏洞数据必须进他们自己的 SOAR、自己的合规审计流；后者服务于"Claude 就是工作台"的开发者——修漏洞不需要离开正在写代码的会话。两种集成方向，覆盖的是两种完全不同的组织形态。Anthropic 两边都做，说明它对 Claude Security 的定位很清楚：既要进大企业的采购清单，也要长在开发者的日常工作流里。

可用性、模型覆盖与限时优惠

几个关键的可用性信息：这次升级覆盖 Claude 全模型家族，包括最新的 Claude Mythos；不再需要此前的 Cyber Verification Program 资格；目前是 public beta，面向 Claude Enterprise 客户。发布优惠相当实在：每月最高 25,000 美元的 usage credits，连送两个月，有效期至 2026 年 12 月 31 日。

取消 Cyber Verification Program 资格门槛这个动作本身值得解读：它说明 Anthropic 对这套扫描能力的信心已经从"小范围验证"转到了"规模化铺开"。之前要资格才能用，意味着产品还在"证明自己"的阶段；现在直接向所有 Enterprise 客户开放 public beta，意味着它已经准备好接受真实世界的毒打了。对观望中的团队来说，这是一个可以开始认真评估的信号——而不是"等它成熟了再说"。

公司口径方面（以下为 Anthropic 官方自报，请自行判断）：自今年 4 月 public beta 以来，Claude Security 已被"thousands of organizations"（数千家组织）采用，累计发现"over a million vulnerabilities"（超过一百万个漏洞）。注意措辞：是"发现数"，不是"修复数"。发现一百万个漏洞和修掉一百万个漏洞，是两件完全不同的事——前者证明扫描器跑得勤，后者才证明安全变好了。厂商当然会选好看的数字讲，你听的时候记得把"发现"和"修复"分开算。

划界也值得说清楚，避免和 VibeFix 之前发过的内容混淆：10 月 8 日我们发过 Anthropic 的免费开源扫描工具（anthropic-oss-scanner-free-vulnerability-scans-october-2026），那是免费工具线；今天这篇是 Enterprise 产品线，是付费的企业服务。cycle87 那篇 OpenSSH 缩攻击面的文章则是安全研究帖，和产品更新不是一回事。三者各归各，别串了。

Vibe coder takeaway：代码有了常驻保镖，但方向盘还在你手里

回到 vibe coder 的视角。AI 写代码的速度已经超过了人 review 代码的速度，这个缺口只会越来越大。Claude Security 这次升级的本质，是给"写得快"配一个"看得住"：持续监控补上了"代码天天变、扫描跟不上"的缺，fix tracking 补上了"报了没人修"的缺，threat model 补上了"警报太多看不过来"的缺。三个缺口，恰好是小团队安全实践里最痛的三个。

但有两个提醒必须放在最后。第一，非确定性意味着你不能把扫描结果当"合格证"，它更像体检报告——要定期看、看趋势、看变化，而不是拿一次"全绿"当护身符。第二，MCP connector 让修漏洞变得顺滑，但"顺滑"不等于"正确"：在同一个会话里让 Claude 又找漏洞又修漏洞，效率很高，但修完之后的那次人工确认，依然省不得。Agent 可以当保镖，但开枪的决定——至少在关键系统上——还得是人。

第三个提醒是给独立开发者的现实考量：今天这套东西是 Enterprise 产品，public beta 的门在 Claude Enterprise 客户那边。个人开发者短期内大概率用不上全套持续监控，但它的思路完全可以"降级"借用：定期（比如每周）让 Claude Code 通读一次你本周的 diff、按你项目的威胁模型排个优先级、修完让它复查一遍——这就是手工版的"持续扫描 + fix tracking"。工具会不会卖给你不重要，重要的是这套工作流本身已经被验证值得做。等它哪天开放给更小的团队，你接上的只是一个 API，而不是一套陌生的习惯。

有意思的是，这和本轮 N1 那篇 OpenAI agent 监控事故形成了镜像对照：N1 讲的是"看住模型"——模型行为失控了怎么发现、怎么止损；这篇讲的是"看住代码"——代码天天在变，怎么让安全跟上变化。监控的两种形态，一种向内看模型，一种向外看产物。AI 时代的安全，大概就是这两只眼睛一起睁着。