Anthropic 发布 Claude Security 插件：终端内多智能体漏洞扫描，自动生成补丁

一句话看懂

Anthropic 发布 Claude Security 插件，在终端内对代码仓库进行多智能体漏洞扫描，并生成可审查的补丁文件，目前处于 Beta 阶段。

详细发生了什么

Anthropic 为 Claude Code 推出了 Claude Security 插件的 Beta 版本。该插件在 Claude Code 会话内运行多智能体漏洞扫描，并将选中的发现转化为 .patch 补丁文件，供开发者审查后自行应用。

插件通过 /claude-security 命令提供三种任务：扫描整个代码库或子集、扫描分支/PR/单次提交的变更、以及将报告中的发现生成补丁。安装只需两条命令：/plugin install claude-security@claude-plugins-official 和 /reload-plugins。

扫描流程分为六个阶段：清单（Inventory）、威胁建模（Threat model）、研究（Research）、扫尾（Sweep）、评审小组（Panel）和对抗验证（Adversarial）。研究阶段覆盖四个固定类别：注入与输入、认证与访问、内存与不安全、加密与密钥。对于纯内存安全语言（如 Python、TypeScript）编写的组件，会省略内存与不安全类别。

扫描支持四种努力级别（low/medium/high/max），控制组件数量上限、研究人员数量等。最终报告包含每个发现的 ID、严重程度、置信度、CWE ID、影响、利用场景、前提条件和建议。补丁生成在仓库的克隆中完成，不修改工作区，并由独立智能体验证补丁是否修复了问题、未引入新漏洞且未改变行为。

中文圈视角

对中文开发者来说，这个插件直接可用，但前提是拥有 Claude Code 付费计划（v2.1.154+）。国内用户需要稳定的网络连接来访问 Anthropic 服务，且扫描消耗 token，成本需自行评估。

目前国内没有完全对标的终端内多智能体安全扫描工具。类似功能可借助开源方案组合实现：例如使用 Semgrep 进行静态分析，结合 CodeQL 进行深度查询，再配合自定义脚本生成补丁。但 Claude Security 的端到端自动化（扫描→验证→补丁）和内置的多智能体协作机制是独特优势。

对于使用国产模型（如 DeepSeek、Kimi）的开发者，可考虑将 Claude Security 作为安全审查的补充工具，或等待国产模型推出类似插件。需要注意的是，扫描会向 Anthropic 发送代码片段，涉及数据出境的合规问题，企业用户需提前评估。

几条值得记住的细节

• 插件通过 /claude-security 命令提供扫描代码库、扫描变更、生成补丁三种功能。
• 扫描结果需经过三个独立验证者（可达性、影响、防御）的 2/3 多数同意才能进入报告。
• 补丁生成在仓库的克隆中，不修改工作区，且由独立智能体验证补丁的正确性。
• 扫描支持四种努力级别（low/medium/high/max），控制组件数量上限和研究人员数量。
• 插件需要 Claude Code v2.1.154 或更高版本，以及 Python 3.9.6+ 和 Git。

一句话总结

如果你的团队使用 Claude Code，这个插件能显著提升代码安全审查效率，但需注意 token 成本和数据出境合规。