NewsAgency

Anthropic Releases Claude Security Plugin for Claude Code in Beta

Properties1
tagsclaude-code, appsec, multi-agent, vulnerability-scanning, anthropic, sast, human-in-the-loop

6 dakika okuma süresi

Summary

Anthropic launched the Claude Security plugin for Claude Code in public beta (reported July 22–23, 2026). The multi-agent tool maps architecture, threat-models, hunts vulnerabilities, and independently verifies findings before suggesting patches that humans must review and apply—never auto-applied. Install via /plugin install claude-security@claude-plugins-official; requires Claude Code v2.1.154+, Python 3.9.6+, paid plan with dynamic workflows. Supports full-repo or change/PR/commit scans. Distinct from security-guidance, /security-review, PR Code Review, and managed Claude Security Enterprise. Targets context-heavy flaws (injection, auth bypass, logic errors) that rule-based SAST often misses.

Source Analysis

InfoSecBulletin trade press verified against official Anthropic docs (code.claude.com/docs/en/claude-security) and MarkTechPost technical summary. Prefer docs for install/requirements; MarkTechPost for adversarial panel (REACHABILITY/IMPACT/DEFENSES) detail.

Research Notes

Additional sources

Facts verified

  • Plugin beta; install path and version prerequisites — official docs
  • Three jobs: scan codebase, scan changes, suggest patches — docs
  • Patches never auto-applied; git apply from CLAUDE-SECURITY-* — docs
  • Distinct from hosted Claude Security Enterprise — docs explicitly
  • Adversarial 2-of-3 verification panel — MarkTechPost (secondary technical)

Unverified / caveats

Do not conflate plugin with Claude Security Enterprise.

Scans are nondeterministic; count against plan token limits.

Broader context

Fits ai-appsec-assistants alongside Cisco Antares, VulnHunter, Copilot security-review — AI as security researcher, not only code autocomplete.

claude-security-plugin, claude-security, claude-code, anthropic, application-security, vulnerability-detection, multi-agent-security-scanning, sast, ai-appsec-assistants, ai-security

Draft Article

Anthropic, Claude Code için Claude Security eklentisini beta’ya aldı

anthropic, claude-code için claude-security-plugin eklentisini public beta olarak yayınladı (raporlar 22–23 Temmuz 2026). Oturum içi çok ajanlı araç mimariyi haritalıyor, tehdit modeli çıkarıyor, zafiyet avlıyor ve bulguları bağımsız doğruladıktan sonra yama öneriyor — yamalar asla otomatik uygulanmıyor; insan incelemesi ve git apply zorunlu. Bu ürün, barındırılan claude-security Enterprise ile aynı şey değil.

Ana Gelişme

Resmi dokümantasyona (code.claude.com) göre kurulum:

/plugin install claude-security@claude-plugins-official

ardından /reload-plugins. Gereksinimler: Claude Code v2.1.154+, Python 3.9.6+, dynamic workflows açık ücretli plan. Üç iş: tüm codebase taraması, değişiklik/PR/commit taraması, patch önerisi. Sonuçlar zaman damgalı CLAUDE-SECURITY-* dizininde (RESULTS.md / jsonl); patch’ler patches/ altında, git apply ile.

Eklenti, security-guidance, /security-review ve PR Code Review yüzeylerinden ve managed Claude Security Enterprise’dan açıkça ayrılıyor. Hedef, kural tabanlı sast’ın sık kaçırdığı bağlam ağırlıklı hatalar: injection, auth bypass, logic error. InfoSecBulletin’in duyuru haberini resmi dokümanla çapraz okumak önemli; kurulum ve önkoşullarda docs öncelikli kaynak.

MarkTechPost’un teknik özetine göre adversarial doğrulama paneli (REACHABILITY / IMPACT / DEFENSES) bulguları 2-of-3 mantığıyla sıkılaştırıyor. Taramalar deterministik değil; plan token limitlerinden düşülüyor. Yani “her PR’da otomatik full-repo scan” hem maliyet hem gürültü üretebilir — değişiklik odaklı tarama daha mantıklı bir başlangıç.

Neden Önemli?

ai-appsec-assistants trendinde AI, yalnızca autocomplete değil güvenlik araştırmacısı rolüne kayıyor. Türk Claude Code kullanıcıları için kurulum yolu net ve hemen denenebilir; “insan onaylamadan yama yok” modeli, autonomous remediation korkusunu azaltıyor. Aynı zamanda yanlış güvenlik hissi riski var: plugin beta, bulgular yanlış pozitif/negatif üretebilir, token yakar ve SAST + code review disiplinini ortadan kaldırmaz.

Cisco Antares, VulnHunter veya Copilot security-review gibi komşularla aynı ailede: AI destekli vulnerability-detection, geleneksel sast’ı tamamlayabilir ama tek başına AppSec programı yerine geçmez.

Teknik Detaylar

multi-agent-security-scanning: mimari harita → threat model → hunt → bağımsız review → opsiyonel patch. Oturum-yerel (in-session) çalışır; Enterprise hosted tarama ürünüyle karıştırılmamalı. Nondeterministik sonuçlar aynı commit’te tekrar taramada farklı çıkabilir — CI gate olarak kör güvenmek riskli.

Tam repo taraması büyük monorepolarda token ve süre maliyeti üretir; branch/PR/commit odaklı “scan changes” işi günlük developer döngüsüne daha uygun. Patch önerileri CLAUDE-SECURITY-*/patches/ altında durur; git apply insan kontrolündedir. Bu, “AI kendi yamasını merge etti” senaryosunu bilinçli olarak engelliyor.

Kural tabanlı sast ile fark: pattern ve dataflow kuralları yerine bağlam ve logic error avı. Tersine, SAST’ın deterministik CI entegrasyonu ve bilinen CWE katalogları hâlâ güç alanı. İkisi tamamlayıcı; Claude Security plugin SAST yerine geçmiyor.

Bağlam

application-security ve ai-security kesişiminde frontier lab’lerin coding assistant’larına güvenlik eklentisi eklemesi, “yazan AI / denetleyen AI” ayrımını ürünleştirmeye başlıyor. ai-appsec-assistants ailesinde Cisco Antares, Capital One VulnHunter, GitHub Copilot security-review gibi komşular var; Claude Security’nin farkı Claude Code oturumu içinde multi-agent pipeline sunması. Plugin beta; production policy’ye nasıl bağlanacağı ekiplere kalıyor.

Sonraki Adımlar

Claude Code kullanan ekipler: sürüm/Python önkoşullarını kontrol edip önce diff/PR taramasıyla denemeli, false positive oranını kendi repo’larında ölçmeli, token bütçesini AppSec job’larına ayırmalı. Enterprise ihtiyaçları (merkezi raporlama, SSO, yönetilen tarama) için ayrı ürün hattını değerlendirmeli — plugin ≠ Enterprise. Güvenlik ekipleri RESULTS.md çıktısını ticket’a bağlayan hafif bir triage süreci tanımlamalı.

Kaynaklar

PreScreening Notes

  • Score 7 / priority high: Frontier-lab shipping a multi-agent security scanning plugin for Claude Code is a notable AI + AppSec development for our software audience.
  • News check: Yes — product beta launch with clear scope vs. existing Anthropic security features.
  • Recency: Reported July 22–23, 2026 (within ~48h of discovery).
  • Domain fit: AI + software security.
  • Source credibility: InfoSecBulletin (trade press); verify against Anthropic docs/changelog in analysis.
  • Duplicate check: No prior pipeline item for Claude Security plugin beta. Distinct from Anthropic Mythos / agentic misalignment coverage.

Evaluation Report

News Value

  • Timeliness: Beta reported July 22–23, 2026 — still timely.
  • Impact: Paid Claude Code users can run in-session multi-agent AppSec scans; shifts AI coding assistants toward security researcher workflows.
  • Prominence: Anthropic; official docs at code.claude.com + claude-plugins-official repo corroborate InfoSecBulletin.
  • Proximity: High for Turkish software engineers using Claude Code — install path and “human must apply patches” model are immediately actionable.
  • Novelty: Session-local multi-agent scanner with adversarial verification panel, distinct from rule-based SAST and from hosted Claude Security Enterprise.

Audience Fit

Excellent for software developers and AppSec-minded AI practitioners. Clear try-it path; useful comparison vs. traditional SAST and Anthropic’s other security surfaces.

Risk & Ethics

Cross-checked: official Anthropic Claude Security docs and GitHub plugin exist — source risk mitigated.

Do not conflate the Claude Code plugin (in-session) with hosted Claude Security Enterprise. Patches are never auto-applied — state clearly to avoid implying autonomous remediations. Prefer official docs over InfoSecBulletin for install/requirements.

Publication Strategy

Suggested Angle

“Anthropic, Claude Code için Claude Security eklentisini beta’ya aldı: çok ajanlı zafiyet taraması, bulgular insan onayı olmadan uygulanmıyor.” Geliştirici rehberi tonu — kurulum, repo vs. diff taraması, Enterprise ürünle fark. Resmi dokümantasyona dayandır.

Editorial Notes

  • Decision: Approved — high / standard
  • Approved angle: In-session multi-agent AppSec plugin for Claude Code; human-in-the-loop patches; distinct from Claude Security Enterprise
  • Format: standard (600–800 words) confirmed
  • Reporting instructions:
    • Prefer official docs (code.claude.com) over InfoSecBulletin for install/requirements
    • Install: /plugin install claude-security@claude-plugins-official; Claude Code v2.1.154+; Python 3.9+; paid + dynamic workflows
    • Three jobs: scan codebase, scan changes, suggest patches — never auto-applied
    • Do not conflate with hosted Enterprise product or /security-review / PR review surfaces
    • Note nondeterministic scans count against plan tokens
    • Brief SAST / AI-AppSec assistant comparison (ai-appsec-assistants)
  • Headline suggestions (TR):
    1. Anthropic, Claude Code için Claude Security eklentisini beta’ya aldı
    2. Çok ajanlı zafiyet taraması Claude Code içinde: yamalar insan onayı olmadan uygulanmıyor
    3. Claude Security plugin vs Enterprise: oturum içi AppSec asistanı ne yapıyor?
  • Must include:
    • Public beta; human must review/apply patches
    • Plugin ≠ Enterprise distinction
    • Requirements and scan scopes
    • Actionable install path for TR Claude Code users

Grafik Görünümü