Claude Security pone a trabajar a un equipo de agentes dentro de tu sesión de Claude Code: mapea la arquitectura, construye un modelo de amenazas, busca en todos los componentes y verifica de forma independiente cada hallazgo antes de que llegue al informe. Opcionalmente convierte los hallazgos confirmados en archivos de parche que tú revisas y aplicas. Es la versión dentro de la sesión del producto alojado Claude Security de Anthropic.
Qué hace
Dónde se ejecuta Claude Security y qué añade, según su documentación
Analizar código base: el repo completo o una parte acotada, con un nivel de esfuerzo a elegir
Analizar cambios: el diff de una rama, el diff de un PR o un solo commit
Sugerir parches: convierte los hallazgos de un informe en archivos F.patch, nunca aplicados automáticamente
Escribe CLAUDE-SECURITY-RESULTS.md, .jsonl y .sarif (SARIF 2.1.0) más un sello de revisión
Los verificadores intentan refutar cada hallazgo; los falsos positivos se descartan
Cuándo usarla
Buen encaje
Analizar tus propios repos en busca de vulnerabilidades antes de un release
Revisar una rama de funcionalidad o el diff de un PR en busca de fallos de seguridad
Producir SARIF para el escaneo de código de GitHub o visores de IDE
No apto para
Repos de terceros no confiables, salvo que toda la sesión se ejecute dentro de sandbox-runtime
Reemplazar SAST, el análisis de dependencias o la revisión de código (el README dice que los complementa)
Cómo instalar Claude Security
Necesitas: Claude Code; Python 3.9 o superior en el PATH; Un checkout de git para analizar cambios y sugerir parches (el análisis del repo completo funciona sin él); El README recomienda Claude Opus 5.5 o Fable 5.1
Si no se encuentra el marketplace: /plugin marketplace add anthropics/claude-plugins-official y reintenta
Ejecuta /claude-security para ver el menú, o por ejemplo /claude-security scan my branch at high
Permisos y seguridad
A qué puede acceder
Se ejecuta en tu sesión de Claude Code con tus permisos, lee el repo abierto y no añade aislamiento propio
Escribe en el repo un directorio CLAUDE-SECURITY-/ con un .gitignore
Los parches se desarrollan en una copia temporal; no se aplica, confirma ni sube nada por ti
Notas de seguridad de los responsables
El .git/config del repo, los ajustes y hooks de .claude/ y CLAUDE.md se aplican como en cualquier sesión; usa sandbox-runtime para código no confiable
Los valores de credenciales los censura un agente en la medida de lo posible; revisa los archivos antes de compartirlos
Telemetría de conteo de uso mediante Claude Code; desactívala con DISABLE_TELEMETRY=1, DO_NOT_TRACK=1 o CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1
El texto del repo se trata como datos, pero esto no es una defensa contra un repo hostil
Revisa el código fuente antes de dar a un agente acceso a credenciales o sistemas de producción. Documentamos lo que declaran los responsables; no auditamos el código.
Limitaciones
Los análisis no son deterministas; dos análisis del mismo código pueden mostrar hallazgos distintos
Solo se escribe un parche cuando la revisión lo avala; si no, recibes una nota
Los parches contra un informe desactualizado se rechazan
