Claude Securityが継続監視に対応、修正追跡とMCP連携

Anthropicは2026年10月21日、コードの脆弱性を調べる「Claude Security」の機能拡充を発表した。新たにリポジトリの継続監視、修正状況の追跡、チーム固有の知識を踏まえた検出結果の評価、API・MCP連携を追加する。最新版はClaude Enterpriseの顧客向けにパブリックベータとして提供される。コードを一度だけ点検するのではなく、開発が続く間も問題の状態を把握することを目指した更新だ。

コード変更に合わせて継続スキャン

利用者はプロジェクトを作成し、GitHubアプリやGitLabなどのアクセストークンを使ってリポジトリを接続する。対象ブランチと調査範囲を指定すると、最初に基準となる詳細スキャンを実施。その後は変更内容のリスクや複雑さに応じて定期的に確認する仕組みだ。複数のリポジトリを同じプロジェクトで扱えるため、フロントエンドとバックエンドの信頼関係など、サービスをまたぐ問題も調査対象にできるという。

修正済み判定と再検出を自動化

検出した問題は、修正コードが反映されたかどうかをClaude Securityが追跡する。修正がClaude Code以外の手段で行われた場合も、コード変更を確認して解消済みとして扱う。後のスキャンで同じ問題が再び見つかれば、検出結果を自動的に再オープンする。指摘を一覧に残すだけでなく、修正後の状態まで追える点が特徴だ。ただし、実際の安全性を保証する機能ではなく、最終的な確認は開発側に求められる。

脅威モデルと現場の知識を反映

各プロジェクトには、運用環境やセキュリティ方針を記録するナレッジベースが用意される。さらに、コードから脅威モデルを生成し、担当者が内容を確認・編集できる。以後のスキャンでは、外部から到達可能な経路や既存の防御策などの情報を踏まえ、問題の優先度を判断する。指摘ごとに重大度と攻撃経路の説明を示し、場合によっては経路図も表示する。単純な件数より、実際に悪用され得る問題を見極める設計となっている。

APIとMCPで既存業務につなぐ

新しいAPIでは、プロジェクトや検出結果の参照、検出結果の解決・再オープン、リポジトリ管理などに対応する。Webhookで新たな検出を外部システムに通知することも可能だ。Claude.aiとClaude Code向けにはMCPコネクターを提供し、エンジニアが問題を調べて修正に着手し、状態を更新する流れを同じ作業環境で進められる。権限管理も追加され、閲覧やトリアージ、プロジェクト作成を役割別に制御できる。

Enterprise向けベータと利用条件

発表時点の提供対象はClaude Enterpriseの顧客で、管理者が管理画面から有効化する方式だ。Anthropicは対象組織に対し、月額2万5000ドル相当の利用クレジットを2か月分付与すると案内している。適用対象の利用は2026年12月31日までとされ、詳細条件は公式ヘルプセンターで確認する必要がある。すべてのClaude利用者に開放された機能ではない点に注意したい。

今回の更新で、脆弱性の発見から修正確認までを継続的に扱う運用が打ち出された。一方、AIの検出結果には誤検知や見落としが起こり得るため、導入後も人による検証や既存のセキュリティ対策を置き換えられるとは限らない。公式発表に記載された利用実績はAnthropic側の説明であり、個々の組織での検出精度や費用対効果を保証するものではない。実際の評価には、各開発環境での検証が必要になる。