Anthropic发布Claude安全插件Beta版：终端内多智能体漏洞扫描工具

多智能体漏洞扫描插件正式开放Beta测试

Anthropic已面向公众发布Claude Security插件（Beta版），该插件深度集成于Claude Code开发环境，可在现有会话中直接启动——无需切换工具或离开终端。插件核心能力是运行一个由多个AI智能体协同完成的自动化漏洞扫描流程，覆盖整个代码库或仅限变更差异（如分支diff、PR diff或单次commit），并将用户选定的问题转化为标准`.patch`格式补丁文件，供开发者人工审阅后应用。

三类扫描任务与极简安装方式

插件仅引入一条新命令：`/claude-security`，调用后弹出菜单，提供三项可选任务：

• Scan codebase：全量扫描仓库，或按路径范围限定子集；
• Scan changes：扫描指定分支差异、Pull Request差异或单次提交变更；
• Suggest patches：将已确认漏洞转化为补丁文件。

安装仅需两条命令：首先执行`/plugin install claude-security@claude-plugins-official`，若插件市场未启用，则前置运行`/plugin marketplace add anthropics/claude-plugins-official`；随后执行`/reload-plugins`刷新。插件源码开源，托管于`claude-plugins-official`仓库，当前版本为0.10.0。

六阶段动态扫描流水线

扫描流程由JavaScript编排脚本驱动，采用“扇出式”多智能体协作架构，共划分六个逻辑阶段： 1. Inventory（资产盘点）：将仓库按顶层目录切分为组件，每个目录必须明确标记为“扫描”或“跳过”，并注明理由； 2. Threat model（威胁建模）：每组件分配一名模型构建者，输出入口点、数据汇点、信任边界及需完整阅读的关键文件列表； 3. Research（研究分析）：按组件×四类安全范畴（注入与输入、认证与访问、内存与不安全、密码与密钥）矩阵展开，每单元由一名研究员执行； 4. Sweep（查漏补缺）：针对矩阵未覆盖的盲区进行补充扫描； 5. Panel（三方验证）：由三名独立验证员分别从REACHABILITY（可达性）、IMPACT（影响）、DEFENSES（防御措施）三个维度进行对抗性评审； 6. Adversarial（深度对抗）：仅在最高努力等级启用，对“边缘保留项”重新组队评审，并对所有留存项开展红队式攻击模拟。

内存不安全类别自动排除纯内存安全语言（如Python、TypeScript）组件，相应减少验证维度。

四级努力等级与弹性资源调度

扫描强度分为low/medium/high/max四级。不同等级触发差异化资源配置：

• 组件上限：low/medium为12个，high/max升至24个；
• 研究员配置：low/medium为每矩阵单元1人，high/max增至2人；
• Sweep次数：low为0次，medium为1次，high/max为2次。

对于小范围变更或微小diff，系统自动降维为单研究员模式，而非强行展开全矩阵，确保评估粒度与目标规模严格匹配，同时维持统一验证标准。

模型分层与读写权限隔离

系统采用模型分级策略：编排器（Orchestrator）运行于Claude Opus，仓库地图绘制器（Cartographer）与只读代码探查器（Explorer）运行于Sonnet；研究员与验证员继承当前会话模型；所有扫描智能体均被硬性限制为仅使用只读工具，杜绝任意写入风险。

三重验证机制保障报告可信度

一项漏洞候选结果不会因被研究员发现即进入报告，而必须通过Panel阶段的三方独立验证。每位验证员基于单一维度（REACHABILITY/IMPACT/DEFENSES）返回结构化结论（TRUE_POSITIVE或FALSE_POSITIVE），并标注关键证据所在`file:line`。仅当至少2/3票数判定为真阳性时，该结果方可保留；若少于三人完成投票，则该候选结果直接剔除。验证结果同步约束置信度声明：3/3一致通过方可标为“high”，2/3则上限为“medium”。最终报告的`verification.status`字段由Python渲染器基于真实投票记录计算生成——仅当每项发现均有完整投票存证时标记为`verified`，否则标注`unverified`及具体原因。这意味着报告自身的严谨性声明，是可验证的事实，而非不可审计的断言。