Hacker News
Anthropic has launched Claude Code Security in a limited research preview, an AI-powered tool designed to help security teams identify and patch complex software vulnerabilities that traditional static analysis tools often miss.
AI 生成摘要
我們推出了 Claude Code Security 的限量研究預覽版，這是一項內建於網頁版 Claude Code 的新功能，能掃描程式碼庫中的安全漏洞並建議修補程式，協助團隊發現並修復傳統方法經常遺漏的安全問題。
Anthropic 近期發表了內建於 Claude Code 的新功能「Claude Code Security」，這是一項專為防禦者設計的前沿網路安全工具。該工具利用 Claude Opus 4.6 模型，能像人類安全研究員一樣理解程式碼邏輯與數據流，主動偵測複雜的漏洞並提供修復建議。目前此功能已進入研究預覽階段，優先開放給企業客戶與開源專案維護者使用，旨在應對 AI 時代下日益嚴峻的自動化攻擊威脅。
Hacker News 社群對此項技術的發布展現出高度關注，但也伴隨著對「雙重用途」特性的深刻疑慮。許多討論聚焦於這類工具的兩面性：雖然 Anthropic 強調這是為防禦者打造的利器，但技術本質上也能被攻擊者用來大規模掃描開源專案，尋找尚未公開的零日漏洞。部分網友戲稱這就像《星際大戰》中的安納金，初衷是為了拯救世界，但最終可能演變成製造問題的根源。針對這點，社群成員建議 Anthropic 應主動監控異常的使用行為，例如針對大量不同程式碼庫進行深度掃描的帳號，以防止技術被惡意濫用。
在技術實效性方面，專業人士的看法呈現分歧。部分使用者對現有的 AI 安全掃描工具感到失望，認為其表現往往不如傳統的靜態分析工具，且容易產生大量誤報。然而，也有資深安全研究員指出，業界頂尖專家私下對 AI 展現出的漏洞挖掘能力感到震驚，甚至有開發者分享其使用經驗，表示 Claude 在識別漏洞方面的誤報率已降至五成以下，且能發現人類容易忽略的偏僻邏輯錯誤。這種「跳脫框架」的思考能力，被認為是 AI 區別於傳統規則型掃描器的核心優勢。
此外，關於 AI 是否能取代資深安全工程師的爭論也十分熱烈。一種共識是 AI 目前最顯著的價值在於自動化處理「瑣碎工作」，例如檢查輸入驗證或已知的脆弱組件，讓高薪的安全專家能專注於更高層次的架構設計與創意評估。更有創業家分享，將 LLM 與傳統工具（如 Semgrep 或 CodeQL）結合使用，能大幅降低誤報並提升效率。這種「虛擬安全工程師」的協作模式，被視為未來應用安全管理的主流方向。儘管 Anthropic 聲稱已在開源程式碼中發現超過五百個高風險漏洞，社群仍對這些漏洞的真實嚴重程度保持觀望，並期待看到更多關於成本與準確率的透明數據。
在討論中，社群成員提到了幾項與 AI 安全掃描相關的競爭產品與技術資源，包括 OpenAI 推出的 Aardvark 專案、Google 的 BigSleep 漏洞偵測研究，以及由 DARPA 主辦的 AIxCC 網路安全挑戰賽。此外，留言中也提及了 Semgrep 與 CodeQL 等傳統靜態分析工具，以及新興的自動化審計工具如 SquirrelScan 和 Tirreno，這些資源展現了當前 AI 與安全自動化領域的多元發展路徑。