Claude Security è ora in beta: il plugin di Anthropic cerca bug prima del commit

Anthropic ha presentato oggi Claude Security, un plugin in beta per Claude Code pensato per stanare vulnerabilità direttamente dal terminale dello sviluppatore e proporre patch già verificate, senza obbligare i team ad aspettare i controlli che arrivano solo a valle dello sviluppo.

Il debutto arriva mentre il lavoro arretrato sulla sicurezza continua ad accumularsi. Nei dati condivisi da Anthropic durante la presentazione del plugin, nel 2025 sono state pubblicate 48.185 nuove CVE, circa 131 al giorno. Intanto il tempo medio necessario per correggere una falla è salito a 252 giorni. Basta questo per capire perché gli strumenti di revisione automatizzata stiano pesando sempre di più nei flussi di sviluppo.

Per ora Claude Security si può usare solo in beta dentro Claude Code, e l’idea è chiara: spostare i controlli molto prima del rilascio, prima di quando di solito entrano davvero in gioco. Il plugin gira su un flusso multi-agente. Prima ricostruisce l’architettura della codebase, poi mette insieme un modello delle minacce, passa alla ricerca delle vulnerabilità potenziali, fa verificare i risultati da una revisione indipendente e alla fine produce un report con le correzioni suggerite.

Secondo Anthropic, è qui che il plugin dovrebbe dare il meglio, soprattutto nei casi più ostici: dipendenze sparse tra file diversi, logiche distribuite, falle che non saltano fuori con un controllo sintattico o con una semplice batteria di regole statiche. Insomma, Claude Security non si ferma alla caccia dei pattern già noti nel codice.

Vale la pena guardare anche alla revisione su tre livelli, pensata per distribuire i controlli lungo tutto il ciclo di sviluppo. Il primo livello è leggero, rapido e senza costi mentre si modificano i file, e si basa sul pattern matching. Il secondo parte dopo ogni interazione con Claude Code e rivede in modo più approfondito quello che è appena stato fatto. Il terzo è il passaggio più pesante e più completo: scatta al commit e avvia una scansione multi-agente molto più ampia.

Per uno sviluppatore vuol dire avere meno brutte sorprese all’ultimo minuto e patch più facili da applicare, quando si ha ancora in testa il contesto del pezzo di codice appena toccato. È questa la scommessa di Anthropic: non lasciare tutta l’analisi di sicurezza in fondo alla catena, ma distribuirla lungo l’intero flusso di sviluppo.

Le somiglianze con Snyk Code e con le funzioni di sicurezza di GitHub Copilot ci sono, però Claude Security sembra voler andare più a fondo quando deve collegare file e componenti diversi. Ed è proprio lì che molti strumenti tradizionali, se si basano solo sui pattern, iniziano a mostrare i loro limiti.

C’è anche un aspetto commerciale tutt’altro che secondario. Secondo le stime di mercato citate nel settore, il mercato della scansione automatizzata delle vulnerabilità dovrebbe passare da circa 2,41 miliardi nel 2024 a 9,09 miliardi entro il 2034.

Le prime reazioni, intanto, sembrano positive. Alcuni tester raccontano che il plugin ha trovato problemi che i flussi esistenti non avevano intercettato. Però manca ancora una validazione indipendente su larga scala da parte di ricercatori di sicurezza e maintainer open source, e per ora i confronti dettagliati con gli altri strumenti nativi di nuova generazione restano pochi.

Poi c’è il tema della fiducia.

Negli ultimi mesi alcuni ricercatori hanno segnalato vulnerabilità in altri prodotti Anthropic, compresa l’estensione Claude per Chrome e lo stesso Claude Code. L’azienda ha risposto dicendo che almeno un problema critico in Claude Code era già stato individuato e corretto prima che venisse reso pubblico.

Claude Security arriva quindi con una promessa pesante, e nel momento in cui un prodotto del genere può trovare più facilmente spazio. La prova vera, però, sarà un’altra: vedere come si comporta sul campo, progetto dopo progetto.

Segui su Twitter @LauraCeridono.