Por Canuto  

Anthropic presentó Claude Code Security, una nueva capacidad integrada en Claude Code que promete ayudar a equipos defensivos a detectar vulnerabilidades complejas y proponer parches específicos, bajo revisión humana, en un contexto donde la IA también puede acelerar las tácticas de ataque.
***

  • Claude Code Security entra en vista previa de investigación limitada dentro de Claude Code en la web, enfocada en defensores.
  • La herramienta razona sobre el código para encontrar fallas dependientes del contexto, con verificación en múltiples etapas y calificación de severidad y confianza.
  • Anthropic afirma que, usando Claude Opus 4.6, su equipo identificó más de 500 vulnerabilidades en bases de código abierto en producción.

 

Opinión: Me parece que esto es un producto innecesario. Con Claude Code de hace rato ya puedes definir un agente experto en seguridad como parte del equipo de agentes y mandarlo a hacer auditorias continuas antes de cada lanzamiento o cambio que hagas. (comando: /agent)

Anthropic anunció el lanzamiento de Claude Code Security, una nueva capacidad integrada en Claude Code en la web, diseñada para escanear bases de código en busca de vulnerabilidades y sugerir parches específicos que luego deben ser revisados por humanos. Según la compañía, el objetivo es responder a un problema estructural en seguridad: demasiadas vulnerabilidades y muy poco personal disponible para abordarlas con la profundidad que exigen los sistemas modernos.

La propuesta llega en un momento en el que la inteligencia artificial empieza a alterar el balance entre atacantes y defensores. Anthropic sostiene que las mismas capacidades que pueden ayudar a descubrir y corregir fallas también podrían utilizarse para explotarlas, por lo que plantea un enfoque explícitamente orientado a la defensa. Por ahora, la herramienta se ofrece como una vista previa de investigación limitada para clientes Empresariales y de Equipo, con una vía de acceso acelerada para mantenedores de repositorios de código abierto.

En términos prácticos, Claude Code Security se presenta como un puente entre el análisis automatizado tradicional y el trabajo de un investigador de seguridad experimentado. En lugar de limitarse a señalar patrones conocidos, busca comprender el funcionamiento interno de una aplicación y proponer correcciones concretas que puedan evaluarse dentro del flujo de trabajo de desarrollo. Anthropic remarca que nada se aplica sin aprobación humana, y que la decisión final permanece en manos de los desarrolladores.

Un problema creciente: vulnerabilidades, presión operativa y límites de las herramientas clásicas

Las herramientas de análisis de seguridad existentes se apoyan con frecuencia en técnicas de análisis estático basadas en reglas. De acuerdo con lo expuesto por Anthropic, ese enfoque resulta útil para detectar problemas comunes, como contraseñas expuestas o cifrado desactualizado. Sin embargo, suele fallar cuando aparecen vulnerabilidades más complejas, sobre todo las que dependen del contexto o de cómo se aplica la lógica de negocio.

En el mundo del software, estas fallas “sutiles” importan porque muchos incidentes reales no nacen de errores obvios, sino de combinaciones de decisiones: permisos mal encadenados, rutas inesperadas en el flujo de datos o supuestos que cambian cuando el producto crece. El desafío para los equipos de seguridad es que identificar estos detalles exige tiempo, conocimiento del dominio y un análisis que no siempre cabe en el día a día.

En paralelo, el volumen de vulnerabilidades y el ritmo de actualización de librerías, dependencias y componentes hacen que la deuda de seguridad se acumule. Anthropic describe este contexto como un “desafío común” para los equipos defensivos: listas de tareas en constante expansión. En ese escenario, cualquier automatización que reduzca falsos positivos y ayude a priorizar correcciones puede tener un impacto operativo relevante.

Anthropic también enmarca el lanzamiento en una idea más amplia: la IA ya está demostrando capacidad para detectar vulnerabilidades nuevas y de alta gravedad. Para la compañía, esto abre una carrera implícita. Los atacantes podrían usar modelos para encontrar debilidades explotables más rápido que nunca, pero los defensores, si se mueven con velocidad, podrían corregirlas antes de que se conviertan en incidentes.

Cómo funciona Claude Code Security: razonamiento, verificación y parches sugeridos

El rasgo central de Claude Code Security, según Anthropic, es que no se limita a “buscar patrones” de vulnerabilidades conocidos. En su lugar, el sistema lee y razona sobre el código de manera similar a un investigador humano. Esto incluye comprender la interacción entre componentes, rastrear cómo se mueven los datos a través de la aplicación e identificar vulnerabilidades que herramientas basadas en reglas tienden a pasar por alto.

Para reducir errores y evitar que la herramienta se convierta en una fuente de ruido, los hallazgos pasan por un proceso de verificación en múltiples etapas antes de llegar a un analista. Anthropic explica que Claude re-examina cada resultado e intenta comprobar o refutar sus propios hallazgos, con la intención de filtrar falsos positivos. Además, los hallazgos reciben calificaciones de severidad para apoyar la priorización.

Los resultados validados se muestran en un panel dentro de Claude Code Security. Desde allí, los equipos pueden revisar cada hallazgo, inspeccionar los parches propuestos y decidir si los aprueban. Dado que muchas vulnerabilidades dependen de matices difíciles de evaluar solo a partir del código, Claude también entrega una calificación de confianza por hallazgo, lo que busca ayudar a contextualizar el riesgo y la certeza del diagnóstico.

La compañía insiste en un punto de control clave: Claude Code Security identifica problemas y sugiere soluciones, pero no aplica cambios de forma automática. La aprobación humana aparece como un requisito explícito del diseño. En la práctica, esta combinación apunta a acelerar el ciclo “detectar, comprender, proponer y revisar” sin reemplazar la responsabilidad del equipo de ingeniería.

La investigación detrás: red teaming, CTFs y colaboración con infraestructura crítica

Anthropic afirma que Claude Code Security se apoya en más de un año de investigación sobre capacidades de ciberseguridad del modelo. En ese período, el equipo de Frontier Red Team habría probado de forma sistemática estas habilidades a través de distintos ejercicios, incluyendo participación en eventos competitivos tipo Capture-the-Flag (CTF). Ese tipo de competencias suele poner a prueba técnicas ofensivas y defensivas bajo presión y con escenarios realistas.

La empresa también señala una asociación con Pacific Northwest National Laboratory para experimentar con el uso de IA en la defensa de infraestructuras críticas. Aunque el anuncio no detalla el alcance técnico de esa colaboración, la mención sugiere un interés en escenarios de alto impacto donde los sistemas requieren resiliencia y monitoreo constante, y donde la detección temprana de fallas puede ser determinante.

Como resultado de ese proceso, Anthropic indica que las habilidades ciberdefensivas de Claude mejoraron de forma sustancial. En particular, la compañía destaca el uso de Claude Opus 4.6, al que describe como lanzado a principios de “este mes” en su publicación. Con ese modelo, el equipo asegura haber encontrado más de 500 vulnerabilidades en bases de código de producción de código abierto.

Anthropic agrega que esos errores habían pasado inadvertidos durante décadas, pese a años de revisión experta. También afirma que actualmente trabaja en la clasificación y divulgación responsable con los mantenedores, y que planea expandir su trabajo de seguridad junto a la comunidad de código abierto. Estas afirmaciones apuntan a posicionar la herramienta como un apoyo para un ecosistema donde la revisión humana existe, pero no siempre alcanza para cubrir todo el terreno.

Disponibilidad, enfoque defensivo y el “camino a seguir” según Anthropic

En cuanto a disponibilidad, Anthropic informa que Claude Code Security se abre hoy como una vista previa de investigación limitada para clientes Empresariales y de Equipo. Los participantes, de acuerdo con la empresa, obtendrán acceso temprano y colaborarán directamente con su equipo para perfeccionar las capacidades. La compañía también invita a mantenedores de código abierto a solicitar acceso gratuito y acelerado.

El lanzamiento se presenta como una respuesta a un momento “crucial” para la ciberseguridad. Anthropic plantea que una parte significativa del código del mundo podría ser escaneada por IA en un futuro cercano, dada la efectividad que atribuye a los modelos para encontrar errores y problemas de seguridad ocultos durante largo tiempo. En esa visión, el escaneo por IA no sería una herramienta marginal, sino un componente habitual del aseguramiento de software.

En el mismo argumento, Anthropic advierte que los atacantes usarán IA para encontrar debilidades explotables con mayor velocidad. Sin embargo, insiste en que los defensores que actúen rápido podrán descubrir las mismas debilidades, corregirlas y reducir el riesgo. Claude Code Security se describe como un paso hacia bases de código más seguras y un nivel de seguridad más alto en toda la industria.

Finalmente, la empresa señala que también utiliza Claude para revisar su propio código y que el modelo ha sido “sumamente efectivo” para asegurar los sistemas de Anthropic. Bajo esa premisa, Claude Code Security busca llevar esas capacidades defensivas a más equipos, y hacerlo dentro de herramientas ya utilizadas por desarrolladores, al estar construido sobre Claude Code. El anuncio cierra con referencias a un formulario de solicitud de acceso y a una página informativa en el sitio de Claude.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados