La sécurité logicielle connaît une accélération significative, perceptible au quotidien par les équipes de développement. Anthropic a annoncé Claude Code Security, une nouvelle fonctionnalité intégrée à Claude Code (sur le web), qui promet de scanner les bases de code, de détecter les vulnérabilités et de suggérer des correctifs précis pour que l’analyste puisse les examiner avant validation. Pour le moment, cette solution est proposée en version bêta limitée à la recherche pour les clients Enterprise et Team, avec un accès accéléré pour les mainteneurs de projets open source.

Ce mouvement n’étonne pas dans un secteur saturé d’alertes. La majorité des organisations accumule un retard de traitement des vulnérabilités, qui croît plus vite qu’elles ne peuvent gérer : dépendances mises à jour hebdomadairement, dépôts qui se multiplient, et un volume de modifications en production rendant impossible une revue détaillée pour toutes. Anthropic soutient que, même si les outils actuels apportent une aide, ils restent insuffisants lorsque le problème n’est pas un simple motif évident, mais une vulnérabilité subtile, dépendante du contexte et du comportement réel de l’application.

De la recherche de signatures à la compréhension du système

Depuis des années, la première ligne de défense en sécurité applicative repose sur l’analyse statique (SAST) traditionnelle : règles, heuristiques et détection par correspondance. Cela fonctionne bien pour des erreurs récurrentes — secrets exposés, bibliothèques non sécurisées, configurations faibles —, mais ne détecte pas toujours ce qui fait réellement mal : les erreurs de logique métier, des contrôles d’accès mal conçus ou des flux de données qui, combinés, ouvrent une porte inattendue.

Anthropic affirme que Claude Code Security cherche à se comporter « plus comme un enquêteur humain » que comme un simple scanner basé sur des règles : analyser le code, comprendre comment interagissent les composants, suivre les flux de données et repérer des vulnérabilités complexes souvent hors de portée des approches pattern-based.

Vérification à plusieurs étapes et une règle incontournable : rien ne doit être appliqué seul

Une autre difficulté en sécurité réside dans le bruit. Si un système génère trop de faux positifs, l’équipe finit par ignorer les alertes ou par transformer leur revue en procédure routinière. Anthropic insiste que chaque découverte est soumise à un processus de validation en plusieurs phases : le modèle réévalue ses résultats, tente de les confirmer ou de les infirmer, puis filtre avant de présenter à l’analyste.

Les vulnérabilités validées sont affichées sur un tableau de bord, avec un niveau de gravité pour prioriser et un niveau de confiance qui admet une réalité gênante : il n’est pas toujours possible de déterminer une vulnérabilité uniquement en regardant le code, sans contexte opérationnel ni connaissance du comportement en production. Surtout, Anthropic met en avant une approche « humain dans la boucle » : Claude propose, mais la décision finale reste humaine.

Une année de “red teaming” et un message inquiet : les 0-day sont désormais identifiables par machine

Claude Code Security ne sort pas de nulle part. La société la présente comme la « concrétisation » de plus d’un an de développement dans la cybersécurité, avec une équipe Frontier Red Team testant le modèle dans des scénarios exigeants, incluant des compétitions de type Capture-the-Flag et des collaborations avec le Pacific Northwest National Laboratory (PNNL) pour explorer la défense des infrastructures critiques.

Un des éléments les plus remarquables provient des recherches d’Anthropic sur les vulnérabilités 0-day : l’équipe indique que Claude Opus 4.6 a été capable de repérer des failles graves, même dans des projets « très testés », certains ayant subi des fuzzing pendant des années, et que ces modèles peuvent accélérer l’identification de failles novatrices.

Le principal annonce consolide cette perspective avec un chiffre qui a fait du bruit : utilisant Opus 4.6, Anthropic affirme avoir trouvé plus de 500 vulnérabilités dans des bases de code open source en production, des erreurs ayant échappé à des revues durant plusieurs décennies. L’entreprise indique travailler en triage et en divulgation responsable avec les mainteneurs.

Par ailleurs, le travail avec le PNNL montre le potentiel (et le risque) de l’automatisation : lors d’une expérimentation, les chercheurs ont estimé que la reconstruction d’attaques sur une simulation d’usine de traitement d’eau était achevée en trois heures au lieu de plusieurs semaines, illustrant la manière dont la cybersécurité se scale rapidement.

Le revers : si un défenseur peut tout scanner, un attaquant peut aussi le faire

Anthropic ne nie pas la problématique fondamentale : la même capacité qui permet d’apporter des correctifs peut aussi servir à exploiter des vulnérabilités. Dans sa vision, Claude Code Security vise à « mettre la puissance au service de la défense » pour répondre à une nouvelle classe d’attaques : celles où l’adversaire utilise l’IA pour découvrir des faiblesses de manière industrielle.

Ce débat est déjà présent dans le secteur : que se passe-t-il si une organisation s’appuie trop sur le même système pour auditer et corriger ? Certains experts avertissent du risque de créer un « point de confiance et de faille unique » : si la revue humaine se réduit à un simple sceau automatique, la correction elle-même pourrait devenir une nouvelle surface d’attaque.

Pour les équipes DevSecOps, la nuance est essentielle : ces outils peuvent pousser le niveau d’exigence, mais ils ne remplacent pas les bonnes pratiques telles que la revue indépendante, les tests, le contrôle des changements, des pipelines sécurisés et la validation des corrections avant déploiement. La vraie valeur ne réside pas seulement dans le « trouver plus », mais dans la capacité à réduire le temps d’analyse et à transformer rapidement des découvertes en actions concrètes, tout en maintenant la rigueur.

Un produit « limité » mais aspirant à devenir un standard

Le déroulement en version bêta limitée montre une volonté : affiner les capacités, minimiser les faux positifs et déployer de façon responsable. Le message final laisse entendre que, dans un avenir proche, une partie substantielle du code mondial sera scannée par intelligence artificielle. Celui qui intervient en premier — défenseur ou attaquant — déterminera le résultat.

Foire aux questions (FAQ)

Claude Code Security sert-il à détecter des erreurs de logique métier ou de contrôle d’accès dans des applications web ?
C’est l’un des objectifs principaux : aller au-delà des motifs connus pour identifier des vulnérabilités complexes liées aux flux de données, à l’interaction entre composants et à des contrôles d’accès défaillants.

Les correctifs proposés par Claude peuvent-ils être appliqués automatiquement dans un pipeline CI/CD ?
Selon Anthropic, non : la solution propose des corrections, mais leur application nécessite une validation humaine expresse.

Comment le système réduit-il les faux positifs lors du scan de dépôts de code ?
Anthropic explique que chaque détection passe par une vérification en plusieurs étapes : le système reanalyse, tente de confirmer ou d’infirmer chaque résultat, puis attribue une gravité et un niveau de confiance avant de l’afficher sur le tableau de bord.

Que signifie la détection de vulnérabilités « anciennes » à grande échelle pour la sécurité open source ?
Cela peut accélérer la découverte et la correction, mais aussi augmenter le risque d’exploitation si des attaquants disposent de capacités similaires. Anthropic travaille avec une divulgation responsable et met en garde contre le double usage potentiel.