Anthropic представила Claude Code Security — инструмент для поиска уязвимостей в программном коде, которые не фиксируют традиционные сканеры. После анонса акции кибербезопасностных компаний заметно упали.
Claude Code Security встроен в веб-интерфейс Claude Code и анализирует кодовые базы на наличие уязвимостей, предлагая точечные исправления. При этом Anthropic подчёркивает, что каждое изменение должен просматривать и утверждать человек. Функция доступна в формате ограниченного исследовательского предварительного доступа для клиентов Enterprise и Team, а сопровождающие открытые проекты могут подать заявку на бесплатный и ускоренный доступ.
Существующие инструменты анализа опираются на правила и сопоставляют код с известными шаблонами уязвимостей. Это помогает находить распространённые проблемы вроде открытых паролей или устаревшего шифрования. Однако, по данным Anthropic, такие средства часто пропускают более сложные ошибки, связанные с бизнес-логикой или контролем доступа.
По заявлению компании, Claude Code Security анализирует код так же, как это сделал бы эксперт по безопасности: понимает взаимодействие компонентов, отслеживает потоки данных в приложении и выявляет сложные уязвимости, которые не фиксируют инструменты на основе правил.
Каждый результат проходит многоэтапную проверку, прежде чем попасть к аналитику. Claude повторно просматривает собственные выводы и пытается подтвердить или опровергнуть их, чтобы отфильтровать ложные срабатывания. Для каждой найденной проблемы указываются оценка критичности и уровень уверенности, что помогает командам расставлять приоритеты.
Подтверждённые уязвимости отображаются в панели, где команды могут изучить их, посмотреть предлагаемые исправления и одобрить внедрение. Anthropic подчёркивает, что никакие патчи не применяются автоматически: Claude Code Security выявляет проблемы и предлагает решения, но окончательное решение остаётся за разработчиком.
По словам компании, новая функция опирается на более чем год исследований возможностей Claude в сфере кибербезопасности. Внутренняя команда Frontier Red проверяла эти возможности через соревнования в формате capture the flag, сотрудничество с Тихоокеанской северо-западной национальной лабораторией по защите критически важной инфраструктуры, а также постоянную работу по улучшению поиска и исправления уязвимостей в реальных системах.
С выпуском Claude Opus 4.6 в этом месяце команда заявила, что нашла более 500 уязвимостей в продуктивных открытых проектах, причём часть ошибок оставалась незамеченной десятилетиями, несмотря на проверки со стороны экспертов. Сейчас Anthropic занимается приоритизацией находок и ответственным раскрытием информации сопровождающим.
Компания ожидает, что в ближайшие годы значительная часть кода в мире будет проходить проверку с помощью ИИ, по мере того как модели станут лучше находить старые баги и уязвимости. Anthropic также предупреждает, что ИИ ускорит работу и для атакующих, которые смогут искать эксплойты значительно быстрее.
Анонс Anthropic сразу отразился на фондовом рынке. По данным Bloomberg, в день объявления акции кибербезопасностных компаний резко просели: бумаги CrowdStrike упали на 8 %, Cloudflare — на 8,1 %, Okta — на 9,2 %, SailPoint — на 9,4 %. Индексный фонд Global X Cybersecurity ETF снизился на 4,9 %, достигнув минимума с ноября 2023 года.
Распродажа вписывается в более широкий тренд. Ранее сообщения Anthropic о специализированных плагинах для Cowork, включая модуль для юридических исследований, тоже давили на котировки софтверных компаний. Инвесторы опасаются, что новые инструменты ИИ позволят пользователям создавать собственные приложения и снизят спрос на готовое программное обеспечение, что ударит по росту, марже и ценовой силе поставщиков.
В то же время маловероятно, что компании массово перейдут на полностью самописные решения для безопасности или других сложных задач. Разделение труда даёт экономию за счёт масштаба: если каждое предприятие будет поддерживать множество внутренних инструментов, это приведёт к фрагментации, росту затрат на сопровождение и потере преимуществ крупных поставщиков.
Более реалистичный сценарий — ИИ снизит затраты на разработку и даст шанс нишевым приложениям, создание которых раньше было экономически невыгодно. Бизнес сможет быстрее закрывать узкие задачи с помощью собственных инструментов, но при этом продолжит использовать отработанные продукты с ИИ-функциями для остального.
Однако удешевление разработки не означает удешевление эксплуатации. Для многих компаний основная часть ИТ-бюджета приходится на поддержку, обновления, соответствие требованиям, помощь пользователям и интеграции с существующими системами. Приложение, созданное с помощью ИИ за несколько часов, всё равно нужно эксплуатировать и поддерживать долгие годы. Рыночная реакция сейчас закладывает в цены снижение стоимости создания ПО, но во многом игнорирует долгосрочные операционные расходы.
Источник: Bloomberg, заявление Anthropic.
