Anthropic bringt Claude-Sicherheitsplugin für lokale Schwachstellen-Scans in Claude Code

Anthropic erweitert Claude Code um ein Sicherheitsplugin für Schwachstellen-Scans im lokalen Entwicklungskontext. Das Werkzeug durchsucht ganze Repositories oder einzelne Änderungen und erzeugt Patches, die Anwender selbst prüfen und anwenden müssen.

In der Dokumentation zu Claude Security beschreibt Anthropic ein Plugin, das „a multi-agent vulnerability scan“ in einer Claude-Code-Sitzung ausführt. Dafür werde ein Team von Claude-Agenten eingesetzt, das die Architektur abbildet, ein Threat Model erstellt, Schwachstellen sucht und jeden Fund vor dem Bericht unabhängig prüft. Scans lassen sich laut Anbieter für ein komplettes Repository, einen Branch-Diff, einen Pull-Request-Diff oder einen einzelnen Commit starten.

Lokaler Scan statt Managed Service

Das Plugin läuft laut Anthropic lokal in der jeweiligen Sitzung, und jeder Scan zählt gegen die Nutzungsgrenzen des gebuchten Plans. Für den Betrieb nennt der Anbieter Claude Code ab Version 2.1.154, einen bezahlten Tarif sowie Python 3.9.6 oder neuer als Voraussetzung. Unterstützt werden Linux, macOS und Windows. Für Change-Scans und das Erzeugen von Patches wird zudem Git benötigt.

Anthropic grenzt das neue Werkzeug von anderen Funktionen in Claude Code ab. Das „security guidance plugin“ prüft Code während Claude ihn schreibt, „/security-review“ führt einen einzelnen Durchlauf über einen Branch aus, und „Code Review“ prüft Pull Requests. Das neue Plugin soll außerdem Code erreichen, den das verwaltete Claude-Security-Produkt nicht abdeckt, etwa Repositories auf GitLab oder Bitbucket sowie Umgebungen ohne eingehende Verbindungen.

Patches bleiben manuell

Installiert wird das Werkzeug laut Anthropic-Dokumentation in einer Claude-Code-Sitzung mit „/plugin install claude-security@claude-plugins-official“. Falls der Marketplace nicht gefunden wird, nennt der Anbieter den Befehl „/plugin marketplace add anthropics/claude-plugins-official“. Aktiviert wird das Plugin anschließend mit „/reload-plugins“ ohne Neustart der Sitzung.

Automatisch eingespielt werden Korrekturen nicht. In der Dokumentation heißt es ausdrücklich: „Patches are never applied automatically.“