ИИ от Anthropic теперь сам проверяет код на уязвимости
Вчера компания Anthropic объявила о запуске инструмента Claude Code Security Reviewer — открытого решения для автоматического анализа кода на наличие уязвимостей. Сервис интегрируется с GitHub Actions и использует возможности модели Claude, чтобы выявлять риски безопасности в коде прямо в pull-запросах.
Что делает этот инструмент
Claude Code Security Reviewer анализирует только те файлы, которые были изменены, и встраивается прямо в процесс pull request. В случае обнаружения проблем инструмент оставляет комментарии к конкретным строкам с пояснениями и рекомендациями, позволяя разработчикам оперативно реагировать. Он поддерживает работу с разными языками программирования и фокусируется на реальных угрозах, отсекая ложные срабатывания.
«Мы уверены, что ИИ в будущем будет способен покрывать весь цикл разработки — от написания кода до обеспечения его безопасности»,
- заявил Логан Грэм, руководитель команды безопасности Anthropic.
Какие уязвимости обнаруживает
Инструмент выявляет уязвимости по множеству категорий, включая:
- SQL-инъекции и другие виды внедрений,
- ошибки в аутентификации и разграничении прав,
- утечки персональных данных,
- слабую криптографию,
- отсутствие валидации входных данных,
- нарушения логики приложения,
- уязвимости в цепочке поставок и конфигурациях.
Важно, что инструмент понимает смысл кода, а не просто ищет шаблоны — это особенно ценно при анализе сложной бизнес-логики.
Как начать пользоваться
Для начала достаточно установить компонент через GitHub Actions. Настройка занимает считаные минуты. Поддерживаются такие параметры, как указание директорий для исключения, тайм-ауты анализа, включение или отключение автоматических комментариев и другие.
Инструмент распространяется по открытой лицензии MIT, что означает: можно использовать, дорабатывать и встраивать в любые проекты без ограничений.
Согласно отчёту Verizon, в 2025 году количество атак через уязвимости в коде выросло на 34%. На фоне активного использования ИИ для генерации программного кода подобные инструменты становятся жизненно необходимыми. Особенно — для команд с ограниченными ресурсами, где не всегда есть возможность проводить ручной аудит безопасности.
Для российской аудитории — будь то индивидуальные разработчики, стартапы или крупные команды — это простое и доступное решение, особенно если уже используется GitHub и ИИ в процессе разработки.
