Claude Code научили автоматическим security‑review: терминал и GitHub Actions — VogueTech

Что нового

Anthropic добавила в Claude Code два инструмента для автоматизации проверки безопасности кода:

Команда /security-review в Claude Code
Работает из терминала по проектной директории. Что делает:
- сканирует код до коммита;
- ищет типовые уязвимости;
- выдаёт подробное описание найденных проблем;
- по запросу предлагает правки и патчи.
GitHub Action для security‑review pull‑request’ов
Новый Action подключается к репозиторию и:
- автоматически запускается при открытии PR;
- проверяет diff на уязвимости;
- применяет настраиваемые правила (например, игнор известных ложных срабатываний);
- пишет инлайн‑комментарии к коду с описанием проблемы и рекомендациями по исправлению.

Оба инструмента уже доступны всем пользователям Claude Code. Отдельных тарифов, лимитов или численных бенчмарков Anthropic не приводит.

Какие типы проблем Claude Code ищет из коробки:

SQL‑инъекции;
XSS (cross‑site scripting);
ошибки в аутентификации и авторизации;
небезопасная работа с данными;
уязвимости в зависимостях.

Anthropic сама использует эти механизмы для проверки собственного кода, включая Claude Code. Внутренние кейсы:

GitHub Action поймал потенциальный RCE через DNS rebinding в локальном HTTP‑сервере ещё до мержа PR;
тот же Action подсветил SSRF‑уязвимость в прокси‑системе для работы с внутренними учётными данными.

Как это работает

`/security-review` в терминале

Claude Code — это интерфейс к Claude, заточенный под работу с репозиториями и проектами. Новая команда /security-review запускает специализированный промпт, который просматривает файлы в директории проекта и анализирует их с точки зрения безопасности.

Высокоуровневый pipeline выглядит так:

Контекст проекта. Claude Code получает структуру репозитория и содержимое файлов (обычно в рамках заданной директории).
Специализированный промпт. Вместо обычного «помоги с кодом» используется промпт, сфокусированный на security‑паттернах. Он направляет Claude на поиск конкретных классов уязвимостей.
Поиск паттернов. Claude сопоставляет код с типичными шаблонами атак: SQL‑инъекции, XSS, SSRF, небезопасная десериализация, утечки токенов, неправильное использование библиотек и т.д.
Отчёт. В ответе вы получаете список проблем по файлам и строкам (насколько это возможно в рамках контекста), объяснение риска и предложения по исправлению.
Автопочинка. Можно сразу попросить Claude Code переписать фрагменты кода с учётом рекомендаций.

Важно: команда запускается до коммита, поэтому её удобно использовать как локальный pre‑review — особенно когда в команде нет выделенного security‑инженера.

GitHub Action для security‑review PR’ов

Второй слой автоматизации — GitHub Actions. Anthropic выпустила Action, который интегрируется в ваш CI/CD pipeline.

Он работает так:

Триггер: Action срабатывает при открытии нового pull‑request’а.
Сбор контекста: он получает diff (изменённые файлы и строки), а при необходимости — часть окружающего кода.
Вызов Claude Code: Action отправляет эти данные в Claude с security‑промптом, близким к тому, что использует /security-review.
Фильтрация по правилам: вы можете настроить правила, которые отсекают:
- известные ложные срабатывания;
- части кода, которые не нужно проверять (например, автогенерируемые файлы);
- уязвимости, которые уже зафиксированы в отдельном backlog’е.
Инлайн‑комментарии: результаты анализа прилетают обратно в GitHub как комментарии прямо к строкам в PR. В комментариях — описание риска и предложенный фикс.

Action не ломает существующий pipeline: его можно использовать как дополнительную проверку рядом с тестами, линтерами и SAST‑инструментами.

Под капотом — всё тот же Claude, который умеет работать с большим контекстом и понимать архитектуру проекта, а не только одну функцию. Но Anthropic не раскрывает конкретный размер контекста или версию модели, используемой именно в этом флоу.

Что это значит для вас

Когда это полезно

Команды без выделенного AppSec.
Если у вас нет отдельного security‑инженера, /security-review и GitHub Action могут стать базовой линией защиты. Они помогут ловить:
- очевидные SQL‑инъекции;
- небезопасное построение URL и запросов;
- XSS в шаблонах и фронтенде;
- ошибки в проверке прав доступа.
Быстрый self‑review для разработчика.
Перед тем как открыть PR, можно прогнать /security-review по ветке и поправить очевидные проблемы до кода‑ревью коллег.
Обязательный security‑чек в CI/CD.
GitHub Action делает security‑review обязательным этапом для каждого PR, что снижает шанс, что опасный код попадёт в прод без хотя бы минимальной проверки.
Внутренние инструменты и админки.
Истории Anthropic с DNS rebinding и SSRF показывают, что инструмент полезен не только для «боевых» пользовательских сервисов, но и для внутренних тулов — именно там часто появляются опасные обходные решения.

Где границы

Важно понимать, что Claude Code не заменяет:

ручной аудит безопасности;
специализированные SAST/DAST‑сканеры;
threat modeling и архитектурный review.

Это ещё один слой защиты, который:

ловит типовые и очевидные уязвимости;
помогает воспитать у команды привычку думать о безопасности на этапе разработки;
ускоряет обнаружение проблем, пока их ещё легко исправить.

Не стоит полагаться только на Claude Code, если вы:

работаете в строго регулируемых отраслях (финансы, медицина, госы);
строите критичную инфраструктуру, где требуется формальная сертификация средств защиты;
обязаны использовать только on‑prem решения.

Доступность и ограничения для России

Anthropic официально не таргетирует Россию как рынок, а доступ к Claude и Claude Code часто требует регистрации с поддерживаемых регионов. Для работы может понадобиться VPN и аккаунт, оформленный в стране, где Anthropic предоставляет сервисы.

Если у вашей команды уже есть доступ к Claude Code, новые security‑функции включены автоматически и не требуют отдельной оплаты.

Место на рынке

Anthropic в этом релизе не приводит никаких численных сравнений с конкурентами — ни по скорости, ни по точности, ни по стоимости security‑review. Поэтому корректно говорить только о функциональной нише.

По возможностям этот стек ближе всего к связке:

AI‑ассистент в IDE/терминале (по роли — как GitHub Copilot Chat, но с отдельной security‑командой);
интеграция с CI через GitHub Actions (по формату — как линтеры и SAST‑сканеры, но на базе Claude).

Классические SAST‑инструменты по‑прежнему сильнее в:

строгих правилах и соответствиях стандартам (OWASP, PCI DSS и т.д.);
интеграции с корпоративными системами отчётности и compliance;
работе в полностью изолированных контурах.

Claude Code выигрывает за счёт:

естественного языка в отчётах и объяснениях;
умения понимать контекст изменений, а не только одиночные строки;
быстрого старта без сложной настройки правил.

Точных цифр по стоимости запуска GitHub Action и команде /security-review Anthropic не раскрывает. Если вы уже платите за доступ к Claude Code, эти функции идут как часть продукта.

Установка

Anthropic в исходном анонсе не приводит полный конфиг GitHub Action или точный синтаксис запуска, но описывает общий порядок действий.

Как запустить `/security-review`

Обновите Claude Code до последней версии.
В терминале перейдите в директорию проекта.
Запустите:

/security-review

Дождитесь отчёта, изучите найденные уязвимости и при необходимости попросите Claude Code предложить исправления.

Настройка поведения команды (какие директории сканировать, какие типы проблем считать критичными) описана в документации Claude Code. Anthropic отсылает именно туда за детальными флагами и параметрами.

Как запустить GitHub Action

Зайдите в репозиторий на GitHub.
Добавьте workflow для Claude Code Security в .github/workflows/.
Настройте:
- когда запускать Action (обычно on: pull_request);
- какие директории и файлы анализировать;
- какие типы предупреждений игнорировать.
Сохраните файл, запушьте изменения — при следующем PR Action автоматически отработает и оставит комментарии.

Anthropic предлагает подробную пошаговую инструкцию в своей документации по GitHub Actions для Claude Code. Там же можно найти пример YAML‑конфига.

Как использовать эффективно

Включите /security-review в личный чек‑лист перед PR.
Прогоняйте команду локально, как линтер или форматер. Это разгрузит код‑ревью и уменьшит количество правок по безопасности.
Сделайте GitHub Action обязательным для всех веток, идущих в прод.
Например, разрешайте merge в main только если security‑workflow прошёл успешно.
Поддерживайте список известных ложных срабатываний.
Используйте настраиваемые правила, чтобы Action не шумел по тем местам, где риск уже осознан и задокументирован.
Комбинируйте Claude Code с классическими security‑инструментами.
Пусть SAST/DAST остаются основой, а Claude Code — слоем, который помогает разработчикам думать о безопасности каждый день.
Используйте кейсы Anthropic как чек‑лист.
Проверьте свои внутренние HTTP‑сервисы и прокси на:
- DNS rebinding и возможный RCE;
- SSRF при работе с внутренними ресурсами.

Если вашей команде уже комфортно жить с Claude Code как с помощником по разработке, новые security‑функции логично добавить в тот же рабочий поток — они почти не требуют обучения, но повышают базовый уровень безопасности проекта.