Claude Securityが常時スキャンに 社内のコードをつなぐ前に管理者が決めること

Anthropicは2026年10月21日(米国時間)、コードの脆弱性を探して直し方を示すサービス「Claude Security」を更新しました。リポジトリの変更を追って調べ続け、直ったかどうかを追い、同じ問題が再び現れたら指摘を自動で開き直します。Claude Enterpriseの顧客向けの公開ベータで、管理者が管理コンソールで有効にし、使える人を決めます。

社内のソースコードを外のサービスにつなぎ、脆弱性の情報をそこで扱うことになります。ヘルプセンターによると、Claude Securityはゼロデータ保持(ZDR)に対応していません。開発の部門から「使いたい」と言われる前に、情シスとセキュリティの担当が決めておくことがあります。

今回の更新で加わったこと

1つのプロジェクトには、リポジトリを8つまでつなげます。指摘を出す対象にするか、文脈として読ませるだけにするかを選べ、どちらも8つに数えます。ヘルプセンターは、スキャンは確率的で、実行ごとに分析が変わると説明しています。

使う前の条件と、データの扱い

ヘルプセンターに書かれた条件と注意は次のとおりです。

• 契約と席: 有効なClaude Enterpriseの契約、利用者ごとのプレミアムの席、従量課金のための利用クレジットが要る。オーナーが「組織の設定 > Claude Security」で有効にする
• GitHub: GitHub.comとGitHub Enterprise Serverは、オーナーがClaudeのGitHubアプリを入れ、調べるリポジトリへの権限を与える
• ほかのGit: GitLabやBitbucketなどは、リポジトリのアドレスと認証のトークンを渡す。公開されている自社のGitのサーバーも使える
• 通信の許可: GitHub Enterprise Serverやほかの自社のGitのサーバーは、Anthropicの通信元のIPアドレスからの接続を許す必要がある。GitHubの組織でIPアドレスの許可の一覧を使っている場合、利用者ごとの確認の通信のために、160.79.104.0/21を組織の一覧に手で足す必要がある
• データの保持: ゼロデータ保持(ZDR)には対応していない。法令で求められる場合や、利用規約の違反に対応する場合に、Anthropicがデータを保持することがある
• 費用: 2か月間、毎月2万5000ドル分の無料の利用クレジットがつく。対象は2026年12月31日までの利用

同じ10月に、Anthropicは設定の組み合わせで安全の仕組みが黙って外れる研究も出しています(設定の組み合わせで安全の仕組みが黙って外れる94件 OpenSSHも10.6で対策)。

影響する会社・しない会社

• 影響する: Claude Enterpriseを契約している会社。開発やセキュリティの部門から使いたいという声が出る前に、有効にするか、誰に使わせるかを決めておく必要があります
• 確かめる: ZDRの取り決めを前提にClaude Enterpriseを使っている会社。Claude Securityは対象外です
• 確かめる: 顧客から預かったソースコードを扱う会社。契約で、外のサービスにコードを渡してよいかを確かめます
• 今回は対象外: Enterprise以外のプランの会社。今回の公開ベータはEnterpriseの顧客向けです

情シスが今日やること

1. 有効にするかを決める人と手順を決めます。 有効にするのはオーナーです。誰の判断で有効にし、どの部門から使わせるかを決め、役割ごとの権限で、プロジェクトを作れる人を絞ります。
2. つなぐリポジトリの範囲を決めます。 GitHubアプリに与える権限は、調べるリポジトリだけにします。GitLabなどに渡すトークンは、Claude Security専用にし、権限と期限を絞ります(当社の見立て)。
3. データの扱いを規程と照らします。 ソースコードと脆弱性の情報が外のサービスに渡り、ZDRの対象にならないことを、社内の規程や顧客との契約と照らします。
4. 指摘の送り先を決めます。 Webhookで新しい指摘をSlackやJiraに送ると、脆弱性の中身がそこに流れます。見られる人を絞った場所にします。個人のアクセストークンは本人と同じ権限で動くので、異動や退職のときに消す手順に入れます。
5. 費用の上限を確かめます。 無料のクレジットは2か月で、12月31日までの利用が対象です。そのあとは従量課金になるため、組織の使用額の上限と、請求の確かめ方を決めておきます。
6. ほかの道具と並べて使います。 スキャンは実行ごとに結果が変わりうるため、いまの静的な解析や診断を置き換えるのではなく、足すものとして扱います。