Claude Security scansiona in continuo il codice e traccia le correzioni

Fino a ieri la sicurezza del codice con l’AI somigliava a una fotografia: lanciavi una scansione, ricevevi un elenco di problemi e poi il codice continuava a cambiare, rendendo quell’elenco sempre meno attendibile. Il 21 ottobre 2026 Anthropic ha annunciato un cambio di impostazione: Claude Security ora scansiona in modo continuo i repository e tiene traccia delle correzioni, diventando un controllo che accompagna lo sviluppo invece di intervenire una volta ogni tanto.

La novità è disponibile in beta pubblica per i clienti Claude Enterprise. In questo articolo ti spiego cosa è cambiato, come funziona, quali strumenti si aggiungono e perché la mossa conta per chi gestisce la sicurezza di un’azienda.

Cosa è successo: Claude Security passa dalla scansione singola al monitoraggio continuo

Secondo l’annuncio ufficiale di Anthropic, Claude Security era entrato in beta pubblica ad aprile e, a detta dell’azienda, migliaia di organizzazioni lo hanno già usato per individuare oltre un milione di vulnerabilità. Con l’aggiornamento di ottobre il prodotto smette di aspettare che qualcuno avvii una scansione manuale.

Il sistema segue i tuoi repository mentre il codice cambia. Parte da una scansione di base approfondita e poi riesamina le modifiche con una cadenza che dipende dal rischio e dalla complessità di ciascuna di esse. Anthropic non indica intervalli precisi, quindi non c’è un tempo fisso: una modifica delicata viene guardata con più attenzione di una banale.

Il punto è semplice ma pesante. Il codice di un’azienda moderna cambia ogni giorno, e una scansione eseguita a inizio mese racconta poco di ciò che è stato rilasciato la settimana dopo.

Fix tracking: il problema non resta aperto per sempre

La seconda funzione riguarda il ciclo di vita delle segnalazioni. Claude Security confronta i problemi ancora aperti con il codice modificato e segna una segnalazione come risolta quando la correzione arriva in produzione, sia che sia stata scritta con Claude Code sia che arrivi da altri strumenti.

Se la vulnerabilità ricompare, la segnalazione si riapre in automatico. Per chi lavora in un team di sicurezza è un dettaglio prezioso, perché elimina il lavoro noioso di verificare a mano se una patch ha davvero chiuso il buco.

Come funziona: progetti, base di conoscenza e modelli di minaccia

Per iniziare crei un progetto, colleghi i repository tramite l’app GitHub di Claude (anche GitHub Enterprise Server) oppure con un token di accesso per GitLab e altri provider Git, e scegli ramo e perimetro di ogni repository. Un singolo progetto può includere più repository, e questo aiuta a trovare problemi che nascono tra un servizio e l’altro, per esempio un backend che si fida di un controllo che avrebbe dovuto fare il client.

Ogni progetto ha una base di conoscenza in cui il team descrive come viene distribuito il software, quali policy di sicurezza si applicano e altro contesto utile. Claude Security genera inoltre un modello di minaccia a partire dal codice, che puoi rivedere e modificare. Le scansioni successive lo usano per decidere cosa segnalare e possono saltare i rischi che il tuo ambiente già gestisce.

Ogni segnalazione riceve una gravità valutata rispetto a quel modello di minaccia, insieme a una spiegazione di come un attaccante potrebbe raggiungere il codice vulnerabile. In alcuni casi sono presenti anche diagrammi dei percorsi d’attacco.

Perché il contesto cambia la qualità dei risultati

Uno dei limiti storici degli scanner automatici è il rumore: troppi avvisi, molti dei quali irrilevanti nel tuo contesto. Il modello di minaccia modificabile serve proprio a ridurre questo problema, perché trasforma le regole interne dell’azienda in un criterio di priorità.

Nell’articolo ufficiale, Nathan Hunstad, responsabile sicurezza di Vanta, racconta che dopo aver scritto la propria policy di rischio nel modello di minaccia i risultati rispecchiavano il modo in cui il suo team assegna le priorità.

API, webhook e connettore MCP: la sicurezza entra nei flussi di lavoro

L’altra metà dell’annuncio riguarda le integrazioni. Le API permettono di elencare e leggere progetti e segnalazioni, risolverle o riaprirle, e creare e gestire progetti e repository. I token di accesso personale si creano nelle impostazioni di Claude Security e possono vedere e modificare solo ciò che l’utente stesso può gestire.

Ci sono poi i webhook, che avvisano i tuoi sistemi quando compare una nuova segnalazione, e un connettore MCP disponibile in Claude.ai e in Claude Code. Con quest’ultimo un ingegnere può aprire una segnalazione, chiedere chiarimenti a Claude, avviare la correzione e contrassegnarla come risolta nella stessa sessione, senza saltare tra strumenti diversi.

Arrivano anche i controlli di accesso basati sui ruoli: gli amministratori decidono chi può vedere i progetti, gestire le segnalazioni e crearne di nuovi. Così puoi dare accesso ai team che possiedono il codice senza concedere a tutti il permesso di creare progetti.

Modelli, disponibilità e prezzi

Claude Security è alimentato dall’intera famiglia di modelli di Anthropic, compreso Claude Mythos, e per usarlo non serve l’accesso al Cyber Verification Program. Se vuoi capire quel programma, leggi il nostro approfondimento sui tre livelli di accesso del Cyber Verification Program.

La beta pubblica è riservata ai clienti Claude Enterprise a partire dal 21 ottobre 2026. Gli amministratori attivano la funzione dalla console e stabiliscono quali membri del team possono usarla.

Sul fronte economico Anthropic offre alle organizzazioni 25.000 dollari di crediti d’uso gratuiti al mese per due mesi, validi per l’utilizzo fino al 31 dicembre 2026. I dettagli completi sono nel Centro assistenza. L’articolo non indica altri prezzi e non specifica limiti su repository o progetti.

Perché questa mossa conta per la sicurezza del software

Il contesto è quello di una corsa in cui l’AI accelera sia chi attacca sia chi difende. Negli ultimi mesi abbiamo raccontato come questi modelli trovino falle reali: è il caso di Rejetto HFS e della falla trovata da Mythos e delle due vulnerabilità critiche in PHP scoperte con l’AI. Se le falle si trovano più in fretta, anche il ciclo di correzione deve accelerare.

Il valore di Claude Security sta nel colmare proprio il tratto che di solito rallenta tutto: dalla segnalazione alla chiusura verificata. Un rilevamento continuo, un modello di minaccia condiviso e un tracciamento automatico delle patch riducono il tempo in cui un problema resta noto ma non risolto.

Restano alcune cautele. La funzione è in beta, limitata ai clienti Enterprise, e le prestazioni reali dipenderanno dalla qualità del contesto che il tuo team fornisce. Un modello di minaccia scritto male produce priorità sbagliate, e nessuno strumento sostituisce la revisione umana sui rischi più gravi.

Cosa cambia per team piccoli e grandi

Per i team strutturati l’integrazione con API, webhook e MCP significa poter inserire la sicurezza nei processi già esistenti, dai ticket alle pipeline. Per le realtà più piccole, che oggi non possono accedere alla beta, il segnale è comunque chiaro: la direzione del mercato è un controllo continuo e non più un audit annuale.

Se vuoi un quadro più ampio sul modello alla base di questi strumenti, trovi altri approfondimenti nella nostra sezione dedicata a Claude AI.

Conclusioni: da dove cominciare

Con la scansione continua e il tracciamento delle correzioni, Claude Security prova a trasformare la sicurezza del codice da evento occasionale a processo permanente. È una mossa coerente con la direzione di Anthropic, che punta a portare i suoi modelli dentro i flussi di lavoro dei team tecnici.

Se la tua azienda usa Claude Enterprise, chiedi all’amministratore di valutare l’attivazione e inizia da un progetto pilota su un repository non critico, scrivendo con cura la base di conoscenza e il modello di minaccia. Se non sei ancora cliente, tieni d’occhio l’evoluzione e confronta le tue procedure attuali: quanto tempo passa oggi tra una segnalazione e la verifica che sia stata risolta davvero?