Claude Security, l’outil d’Anthropic qui analyse des référentiels de code entiers pour y détecter des vulnérabilités, vient de passer en bêta publique. Avec une restriction majeure : seuls les clients Claude Enterprise y ont accès pour l’instant. Les développeurs indépendants, consultants et petites équipes sous Claude Max attendent leur tour, sans date annoncée.

L’ambition de l’outil est claire : analyser les flux de données entre fichiers, repérer les vulnérabilités logiques, détecter les injections SQL, SSRF, IDOR et autres failles, puis proposer des correctifs pour revue humaine. Ce n’est pas un scanner de patterns classique : Claude Security tente de raisonner sur le contexte d’exécution et les chemins d’attaque réels, là où les outils SAST traditionnels génèrent des dizaines de faux positifs.

Une bêta conçue avant tout pour les entreprises

Pour utiliser Claude Security aujourd’hui, il faut un compte Claude Enterprise, Claude Code en ligne activé, la facturation basée sur la consommation activée, l’application GitHub d’Anthropic installée et l’accès autorisé aux référentiels GitHub.com. Aucune autre plateforme de versioning n’est supportée pour l’instant.

Ce positionnement Enterprise a du sens opérationnel. Analyser du code sensible exige permissions, contrôle des dépenses, traçabilité, gestion des rôles et audits. Une organisation doit décider qui peut déclencher des scans, sur quels référentiels, à quel coût et comment gérer les résultats.

Chaque découverte inclut : titre, explication, localisation dans le code, impact potentiel, étapes de reproduction, correction recommandée, niveau de sévérité, statut, catégorie, branche et date. Les résultats sont exportables en CSV ou Markdown, et connectables à des systèmes internes via webhooks. Il est aussi possible d’ouvrir une session Claude Code directement pour travailler sur un correctif spécifique.

Claude Security cible un large spectre : injection SQL, exécution de commandes, XSS, XXE, ReDoS, SSRF, traversée de chemins, IDOR, BOLA, CSRF, conditions de concurrence, erreurs mémoire, désérialisation non sécurisée, vulnérabilités cryptographiques. La sévérité se calcule en tenant compte de l’exploitabilité réelle dans le code analysé, pas seulement de la catégorie abstraite. Anthropic précise toutefois que les scans sont stochastiques : deux exécutions identiques peuvent produire des résultats différents, contrairement à un outil SAST classique.

Pourquoi les utilisateurs Max attendent vraiment quelque chose

Le segment qui manque à l’appel n’est ni Enterprise ni grand public. C’est l’espace entre les deux : développeurs indépendants, consultants, petites startups SaaS, équipes open source, administrateurs système, responsables sécurité freelance. Ces profils ont souvent les référentiels les plus exposés, des librairies populaires, des plugins, des outils internes, sans disposer de la structure d’un plan Enterprise.

Claude Max a été conçu pour ces utilisateurs intensifs. Anthropic le positionne comme une formule supérieure à Pro, avec des limites d’usage 5 à 20 fois plus élevées selon le niveau, et un accès prioritaire aux nouvelles fonctionnalités. En pratique, c’est la formule la plus avancée pour les professionnels sans structure d’entreprise.

Une version Max de Claude Security n’aurait pas besoin de toutes les fonctions d’administration Enterprise. Un modèle réduit suffirait : scan des référentiels personnels, intégration GitHub, limites de dépenses claires, export des découvertes et sessions de correction via Claude Code. Pour beaucoup de professionnels, ce périmètre couvrirait l’essentiel.

L’enjeu d’accès se double d’un enjeu de coût. Claude Security est facturé à la consommation de tokens, sans surcoût de plateforme. Sur de grands référentiels, un scan complet peut consommer beaucoup. Anthropic devra définir des plafonds transparents pour éviter les mauvaises surprises sur les comptes Max.

La question de la sécurité d’usage se posera aussi. Anthropic limite les scans au code détenu par l’utilisateur ou son organisation. Cette règle sera plus délicate à appliquer sur des comptes individuels, où le contrôle administratif est moindre. Des garde-fous devront empêcher l’outil de servir à scanner des référentiels tiers sans autorisation. Dans un registre comparable, OpenAI vient d’imposer des passkeys sur ses comptes à haut risque : la sécurité des accès IA est devenue une priorité pour l’ensemble du secteur.

La sécurité logicielle par IA ne doit pas rester l’apanage des grandes structures

L’expérience de Mozilla illustre le potentiel. En un mois, Mozilla a corrigé des centaines de failles dans Firefox grâce à des modèles avancés, combinés avec du triage humain et une revue interne rigoureuse. L’IA a repéré des vulnérabilités passées entre les mailles des méthodes traditionnelles pendant des années.

Claude Security vise à rendre cette approche accessible aux entreprises, sans exiger la sophistication d’un programme d’audit interne sur mesure. D’autres acteurs comme HPE misent déjà sur l’IA agissante pour détecter et corriger automatiquement les anomalies réseau, signe que la tendance touche toute la pile technique.

L’enjeu de fond est clair : si la détection de vulnérabilités par IA reste concentrée dans les seules grandes organisations, cela creuse la fracture existante. Beaucoup de vulnérabilités critiques naissent dans des projets petits, des dépendances, des outils internes, des plugins populaires, pas dans les systèmes des grands acteurs. Étendre Claude Security aux plans Max serait un signal fort dans ce sens.

Pour l’instant, aucune date n’est annoncée. Aucun détail public sur les limites par référentiel, la taille maximale des scans, le prix par exécution ou les fonctions administratives prévues pour Max. La priorité officielle reste Enterprise. Les utilisateurs Max devront surveiller la documentation officielle d’Anthropic.

Questions fréquentes sur Claude Security

Claude Security sera-t-il disponible pour Claude Max ?

Pas encore. La bêta publique concerne uniquement les clients Claude Enterprise. Anthropic a indiqué que le support pour Team et Max arrivera ultérieurement, sans date précise communiquée.

Quelle différence entre Claude Max et Enterprise ?

Claude Max est une formule avancée pour les professionnels individuels, avec des limites d’usage 5 à 20 fois plus élevées qu’avec Pro. Enterprise s’adresse aux organisations, avec gestion centralisée, contrôle d’accès et fonctions d’administration étendues.

Quels prérequis pour utiliser Claude Security aujourd’hui ?

Il faut un compte Claude Enterprise, Claude Code en ligne activé, la facturation basée sur la consommation activée, l’application GitHub d’Anthropic installée et l’accès autorisé aux référentiels GitHub.com à analyser.

Claude Security remplace-t-il une équipe de sécurité ?

Non. Il aide à détecter les vulnérabilités et propose des correctifs, mais chaque découverte doit être vérifiée par des humains. C’est une couche supplémentaire dans le processus de sécurité, pas un substitut aux experts.

Quels types de vulnérabilités Claude Security peut-il détecter ?

Injection SQL, XSS, SSRF, IDOR, BOLA, CSRF, XXE, ReDoS, conditions de concurrence, erreurs mémoire, désérialisation non sécurisée et vulnérabilités cryptographiques, entre autres. La sévérité est évaluée selon le contexte réel du code, pas selon une classification générique.