返回博客
anthropic安全开源漏洞检测开发者工具

Anthropic 开源 AI 漏洞检测框架：开发者实操指南

4 min read

Anthropic 开源 AI 漏洞检测框架

2026年6月4日，Anthropic 发布了一个开源的自动化漏洞发现与修复参考实现——Defending Code Reference Harness。这不只是一个安全扫描器。它是一个让 Claude 自主完成漏洞发现、验证和修复的完整框架。

和传统工具的区别在哪？

传统安全工具依赖静态分析规则或已知漏洞特征库。这个框架走了一条完全不同的路：

  1. 先做威胁建模——在扫描之前就理解代码库的整体架构
  2. 多阶段验证——发现的漏洞经过验证管道，大幅降低误报率
  3. 端到端自主——从侦查到打补丁，Claude 完成全流程

框架内置了五个 Claude Code 技能：

技能用途
/quickstart快速上手
/threat-model绘制代码攻击面
/vuln-scan扫描漏洞
/triage排序和验证发现
/patch自动生成修复
/customize移植到其他语言或漏洞类型

工作流程

自动化管道按 侦查 → 发现 → 验证 → 报告 → 修复 循环执行：

  1. 侦查：分析代码库结构、构建系统和依赖关系
  2. 发现：Claude 识别潜在漏洞
  3. 验证：多阶段验证管道确认是否误报
  4. 报告：生成结构化漏洞报告（TRIAGE.json、VULN-FINDINGS.json）
  5. 修复：自动生成并验证修复方案

初始版本支持 C/C++ 内存漏洞检测（基于 Docker + AddressSanitizer）。通过 /customize 技能可以移植到任何语言或漏洞类型。

不想自己搭？有托管版

Anthropic 还推出了 Claude Security——一个托管产品，自动扫描仓库、验证发现、管理修复流程。适合不想折腾部署的团队。

为什么这很重要

这个发布恰逢 Anthropic 发布 When AI Builds Itself 研究——Anthropic 工程师现在每个季度交付的代码量是 2021-2025 年间的 8 倍。安全工具是 Anthropic 内部最早看到 AI 自治体实际效果的领域之一。

对于开发者生态来说，这意味着：

  • 小团队也能做复杂的安全分析，不需要企业级预算
  • 开源项目可以在 CI/CD 中集成 AI 驱动的漏洞扫描
  • 安全研究员有了一个可定制的平台

快速上手

git clone https://github.com/anthropics/defending-code-reference-harness
cd defending-code-reference-harness
# 设置沙箱环境
bash scripts/setup_sandbox.sh
# 运行管道
./bin/vp-sandboxed

或者在 Claude Code 中打开仓库，运行 /quickstart 开始。

⚠️ 安全提示：自动化管道会在 Docker 中执行代码，默认拒绝在 gVisor 沙箱外运行。单个 Claude Code 技能（/quickstart、/vuln-scan 等）只读/写文件，无需沙箱即可安全使用。

本文工具已收录到我们的编程开发分类。更多 Anthropic 相关工具请查看 Claude 和 Anthropic Console。

← 更多文章
Share: