Anthropic запускает Claude Code Security, встряхивая рынок акций в сфере кибербезопасности

Может ли Claude Code Security заменить сканеры, управляемые людьми?

Последнее дополнение Anthropic к платформе Claude Code имеет простой лозунг: позвольте ИИ прочитать всю вашу кодовую базу, как опытный исследователь в области безопасности, а затем отметить то, что другие упустили. Согласно пресс-релизу компании, Claude Code Security сканирует уязвимости, предлагает исправления и представляет результаты с оценкой серьезности и достоверности, при этом оставляя за людьми право окончательного утверждения.

В отличие от традиционных инструментов статического тестирования безопасности приложений, которые полагаются на заранее определенные шаблоны, Claude Code Security опирается на передовые большие языковые модели (LLM), включая Claude Opus 4.6, для анализа потоков данных и взаимодействия компонентов. Это означает, что он нацелен на обнаружение недостатков бизнес-логики и нарушений контроля доступа, которые ускользают от сканеров, основанных на правилах.

Во время внутреннего тестирования Anthropic сообщила, что Opus 4.6 выявил более 500 уязвимостей высокой степени серьезности в производственных кодовых базах с открытым исходным кодом, некоторые из которых оставались незамеченными в течение многих лет. Эти результаты проходят сортировку и ответственное раскрытие, что свидетельствует о том, что амбиции инструмента выходят за рамки косметических исправлений.

Рабочий процесс структурирован с учетом мер безопасности. После комплексного сканирования система выполняет самопроверку, пытаясь подтвердить или опровергнуть свои собственные выводы, прежде чем представить их в панели управления с предложенными исправлениями. Здесь нет автоматического «push to prod» — каждое исправление требует одобрения человека, по крайней мере, на данный момент.

Anthropic разрабатывала эту функцию более года в рамках своей Frontier Red Team и тестировала ее в соревнованиях по кибербезопасности, таких как Capture the Flag, а также в сотрудничестве с такими учреждениями, как Pacific Northwest National Laboratory. В настоящее время инструмент находится в ограниченном исследовательском превью для корпоративных и командных клиентов, с ускоренным доступом для разработчиков открытого исходного кода.

Однако Уолл-стрит не стала ждать подробностей. Акции крупных компаний, занимающихся кибербезопасностью, резко упали после объявления: акции Crowdstrike и Cloudflare упали примерно на 8%, а акции других компаний, таких как Zscaler, Okta и Gitlab, также пострадали. Индекс Global X Cybersecurity ETF упал примерно на 5%, что отражает беспокойство во всем секторе.

Некоторые аналитики охарактеризовали эту реакцию как обусловленную заголовками, а не структурными факторами, назвав ее «мини-флэш-крахом», вызванным опасениями, что ИИ может сделать обнаружение уязвимостей массовым явлением. Другие утверждают, что распродажа сигнализирует о более глубоких опасениях по поводу того, как ИИ может изменить экономику безопасности программного обеспечения.

Обсуждения в Интернете, особенно на X, усилили опасения по поводу рабочих мест. В постах предупреждают, что сканеры на базе ИИ могут «уничтожить» роли в оценке и устранении уязвимостей, особенно в сортировке ошибок начального уровня. В отрасли, которая уже борется с автоматизацией, момент кажется подходящим.

Однако многие эксперты предлагают более спокойный взгляд на ситуацию. Логан Грэм из Anthropic сказал: «Я думаю, что если вы увлечены AGI, вам следует уделять большое внимание кибербезопасности. Киберфизическая инфраструктура — это то, как AGI «выходит в мир». Вот почему мы хотим, чтобы Claude ее защищал». Грэм добавил, что Anthropic «нанимает сотрудников для обеспечения кибербезопасности». Многие другие считают, что новая способность Claude была разработана, чтобы помочь перегруженным командам управлять накопившимися задачами, а не заменить их.

Важно отметить, что Claude Code Security не может выполнять тестирование во время выполнения, отправлять API-запросы или проверять уязвимость в реальных средах, а это означает, что динамическое тестирование и контроль со стороны человека по-прежнему остаются необходимыми. Трудно игнорировать более широкий контекст. Поскольку ИИ ускоряет как генерацию кода, так и кибератаки, защитники сталкиваются с противниками, которые могут прощупывать системы со скоростью машины.

Anthropic позиционирует свой инструмент как защитный уравнитель, повышающий базовый уровень безопасной разработки и признающий двойное назначение ИИ. В этом смысле Claude Code Security может представлять собой не столько генератор увольнений, сколько переписчик ролей. Специалисты по безопасности могут обнаружить, что тратят меньше времени на просмотр повторяющихся предупреждений и больше времени на проектирование архитектур, проверку уязвимостей и управление рабочими процессами с помощью ИИ.

Будет ли рыночное потрясение временным или ознаменует структурные изменения, будет зависеть от внедрения, интеграции с существующими стеками и всех типов подходов к ИИ в критически важной инфраструктуре. На данный момент Claude Code Security сделал нечто редкое в сфере кибербезопасности: он сделал проверку кода центром финансовой и трудовой дискуссии.

Часто задаваемые вопросы ❓

• Что такое Claude Code Security?
  Это инструмент на базе искусственного интеллекта от Anthropic, который сканирует весь код на наличие уязвимостей и предлагает исправления, проверенные людьми.
• Заменяет ли Claude Code Security команды специалистов по безопасности?
  Нет, он требует одобрения исправлений человеком и не может выполнять тестирование во время выполнения, что делает его скорее вспомогательным инструментом, чем заменой.
• Почему после запуска акции компаний, занимающихся кибербезопасностью, упали?
  Инвесторы отреагировали на опасения, что сканирование уязвимостей с помощью искусственного интеллекта может нарушить традиционные бизнес-модели компаний, занимающихся разработкой программного обеспечения для обеспечения безопасности.
• Кто может получить доступ к Claude Code Security прямо сейчас?
  Он находится в ограниченном исследовательском превью для корпоративных и командных клиентов, с ускоренным доступом для разработчиков открытого исходного кода.