Escanee su base de código en busca de vulnerabilidades

Instale el plugin de seguridad de Claude para escanear su base de código en busca de vulnerabilidades en una sesión de Claude Code y convierta los hallazgos en parches que usted revisa y aplica.

El plugin Claude Security ejecuta un escaneo de vulnerabilidades multiagente de tu base de código dentro de una sesión de Claude Code. De forma predeterminada, cuando escaneas un repositorio completo, los agentes de Claude mapean tu arquitectura, crean un modelo de amenazas, buscan vulnerabilidades y revisan de forma independiente cada hallazgo antes de escribir el informe.

Usa el plugin para escanear un repositorio completo o solo un conjunto de cambios, como el diff de una rama, el diff de un pull request o un único commit, y luego convierte los hallazgos que elijas en parches que revisas y aplicas tú mismo.

El plugin se ejecuta localmente en tu sesión, usa los modelos a los que tengas acceso en Claude Code, y cada escaneo cuenta para tu uso. Si quieres un servicio administrado que monitoree tus repositorios, o quieres ejecutar escaneos en Claude Mythos, consulta el producto Claude Security, disponible en el plan Enterprise.

El plugin también es distinto de las herramientas de revisión ya presentes en Claude Code: el plugin de orientación de seguridad revisa el código mientras Claude lo escribe, /security-review ejecuta un único paso sobre su rama, y Code Review revisa solicitudes de extracción. Para ver cómo se apilan las capas, consulte Cómo se ajusta el plugin con otras herramientas de seguridad.

Requisitos previos

Para ejecutar el plugin, necesita:

• Un plan de pago, acceso a la API de Anthropic, o un proveedor de terceros, para los flujos de trabajo dinámicos que el escaneo utiliza para orquestar sus agentes. En Pro, actívelos desde la fila Dynamic workflows en /config.
• Python 3.9 o posterior disponible en su PATH como python3. Verifique con python3 --version. Las herramientas del plugin utilizan solo la biblioteca estándar de Python, por lo que no se instala nada.
• Linux, macOS o Windows.
• Git, para escaneos de cambios y para convertir hallazgos en parches; esos trabajos no admiten otros sistemas de control de versiones. Un escaneo completo funciona en cualquier directorio, con o sin control de versiones.

Modelos y proveedores

Un escaneo se ejecuta dentro de su sesión de Claude Code. El plugin no realiza llamadas de modelo por su cuenta, por lo que no hay una clave de API separada ni una configuración de proveedor que configurar.

• Modelo: los agentes que buscan vulnerabilidades, verifican hallazgos y escriben y revisan parches se ejecutan en el modelo de su sesión. Para cambiarlo, ejecute /model en su sesión antes de iniciar un escaneo. Algunos pasos de apoyo, como la asignación del repositorio, utilizan el alias sonnet en su lugar.
• Proveedor: los escaneos se ejecutan en un plan de pago, con acceso a la API de Anthropic, o en un proveedor de terceros como Amazon Bedrock, Google Cloud's Agent Platform, o Microsoft Foundry.

En un proveedor de terceros, el alias sonnet puede resolverse a una versión diferente que en la API de Anthropic. Si su cuenta no puede usar esa versión, fije sus versiones de modelo, incluido ANTHROPIC_DEFAULT_SONNET_MODEL.

La alternancia automática de modelo vuelve a ejecutar una solicitud que las salvaguardas de un modelo marcan. En Amazon Bedrock, Google Cloud's Agent Platform y Microsoft Foundry, la solicitud puede terminar con un mensaje de rechazo en su lugar, dependiendo de cómo esté configurada su implementación.

Instala el plugin

En la extensión de VS Code o en la aplicación de escritorio, instálalo siguiendo Instalar un plugin. En una terminal, inicia Claude Code ejecutando claude y luego ingresa esto en su prompt para instalar desde el marketplace oficial de Anthropic:

/plugin install claude-security@claude-plugins-official

El comando abre los detalles del plugin, donde eliges un alcance de instalación para iniciar la instalación.

Si la instalación falla, busca el mensaje que reporta Claude Code:

• Marketplace "claude-plugins-official" not found: añade el marketplace con /plugin marketplace add anthropics/claude-plugins-official y luego reintenta la instalación.
• Plugin "claude-security" not found in marketplace "claude-plugins-official": es posible que tu copia local del catálogo del marketplace esté desactualizada. Actualízala con /plugin marketplace update claude-plugins-official y luego reintenta la instalación. Si el reintento muestra el mismo mensaje, consulta Plugin no encontrado en el marketplace.

Verifica el resumen de instalación. Si reporta Run /reload-plugins to apply., consulta Aplicar cambios de plugins sin reiniciar para activar el plugin en tu sesión actual.

Una vez que el plugin esté activo, estás listo para escanear y corregir tu base de código.

Actualiza el plugin

Para actualizar el plugin tú mismo, consulta Actualizar plugins ahora. Claude Code también actualiza el plugin automáticamente, a menos que la actualización automática esté desactivada.

Desinstala el plugin

Para eliminar el plugin, desinstálalo desde el menú /plugin, o ejecuta claude plugin uninstall claude-security en tu terminal.

Escanea y corrige tu base de código

El plugin añade un comando, /claude-security, que abre un menú de sus tres trabajos: escanear la base de código, escanear un conjunto de cambios y sugerir parches. El camino feliz ejecuta un escaneo completo, luego convierte sus hallazgos en parches:

1. Abre el menú de Claude Security

Ejecuta /claude-security y elige Scan codebase.

2. Elige qué escanear

El plugin lee tu repositorio primero, luego ofrece el repositorio completo o un área enfocada. Elige el repositorio completo, o responde "I don't know" y el plugin elige un valor predeterminado sensato para el tamaño de tu repositorio.

3. Confirma la ejecución

Un escaneo puede tomar un tiempo, puede usar una cantidad significativa de tokens, y necesita que Claude Code permanezca abierto mientras se completa. Nada se ejecuta hasta que confirmes.

4. Lee el informe

Mientras el escaneo se ejecuta, reporta cada etapa cuando comienza, con el detalle disponible bajo /workflows. Los resultados se guardan en un directorio con marca de tiempo en tu repositorio, descrito en Lee los resultados del escaneo.

5. Convierte hallazgos en parches

Ejecuta /claude-security nuevamente y elige Suggest patches, luego selecciona qué hallazgos abordar. Los parches revisados se guardan en la carpeta patches/ del informe; Corrige hallazgos cubre cómo se construye y revisa cada parche.

6. Aplica los parches que aceptas

Aplica cada parche desde tu shell con git apply, en su propio pull request. Los parches nunca se aplican automáticamente.

No tienes que comenzar desde el menú: solicita un trabajo directamente, como argumentos del comando, como /claude-security scan my branch, o en lenguaje natural, como "scan commit abc1234". El plugin funciona mejor en modo automático, que permite que los agentes del escaneo procedan sin un aviso de permiso en cada paso.

Escanea solo tus cambios

Cuando tu rama tiene confirmaciones que su base no tiene, el menú /claude-security ofrece escanear solo ese diff, para que puedas verificar una rama antes de fusionarla. También puedes escanear una de tus solicitudes de extracción abiertas, o una única confirmación solicitándola, como "scan commit abc1234". Solo se escanean los cambios confirmados: confirma o haz stash de los cambios en progreso primero, o ejecuta un escaneo completo, que lee el árbol de trabajo.

Los escaneos de cambios necesitan un repositorio git; los escaneos completos de un directorio sin versión aún funcionan. Encontrar tus pull requests abiertos se ofrece solo cuando tu sesión ya tiene permiso para ejecutar la CLI de GitHub y gh tiene la sesión iniciada.

Limita repositorios grandes

En un repositorio grande, escanea un área a la vez en lugar de todo el árbol. Elige uno de los alcances enfocados que ofrece el plugin, como tu capa de API o tu código de autenticación, y la ejecución se dimensiona a lo que elijas. La sección de cobertura del informe indica qué fue y qué no fue examinado. Ejecuta otro escaneo en un área diferente en cualquier momento.

Elige un esfuerzo de escaneo

El esfuerzo de escaneo establece qué tan profundo llega un escaneo. Tus hallazgos pasan por la misma verificación independiente en low, medium y high.

• low: un primer vistazo rápido. Omite el mapa de arquitectura y el modelo de amenazas cuando escaneas tu base de código.
• medium: el valor predeterminado.
• high: lo que hace medium, más una búsqueda adicional de vulnerabilidades en el mismo código.

Indica el esfuerzo de escaneo en tu solicitud en el prompt de Claude Code, como /claude-security scan my public API code at high o /claude-security scan my branch at high.

Si un escaneo de un repositorio grande encuentra menos de lo que esperas, elige el esfuerzo de escaneo high, escanea una segunda vez, o haz ambas cosas. Cada opción puede reportar hallazgos que un solo escaneo medium no reporta.

Lee los resultados del escaneo

Cada escaneo escribe sus resultados en un directorio CLAUDE-SECURITY-<timestamp>/ con marca de tiempo en tu repositorio:

• CLAUDE-SECURITY-RESULTS.md: el informe, con el ID de cada hallazgo, como F1, más su impacto, escenario de explotación, severidad, confianza y recomendación
• CLAUDE-SECURITY-RESULTS.jsonl: los mismos hallazgos en forma legible por máquina, un objeto JSON por línea
• CLAUDE-SECURITY-RESULTS.sarif: los mismos hallazgos como un registro SARIF 2.1.0 para escaneo de código de GitHub y cualquier otra herramienta que lea el estándar. El escaneo clasifica hallazgos bajo sus categorías de debilidad CWE
• CLAUDE-SECURITY-REVISION-<commit>.json: el sello de revisión, registrando qué commit fue escaneado, con qué esfuerzo de escaneo, si los cambios sin commit fueron parte del árbol escaneado, y cuán minuciosamente se verificó la ejecución. Un escaneo fuera del control de versiones marca UNVERSIONED en lugar del commit

Ese directorio es el único cambio que un escaneo hace en tu copia de trabajo, y lleva su propio .gitignore, por lo que un git add extraviado nunca arrastra un informe a una confirmación. Para mantener un informe en el historial para un registro de auditoría, elimina ese único archivo .gitignore y confirma el directorio como cualquier otro.

Los hallazgos solo aparecen en el informe después de que agentes verificadores independientes los analicen, lo que mantiene los informes cortos y dignos de leer. Los escaneos son no deterministas: dos escaneos del mismo código pueden revelar hallazgos diferentes. Ejecuta escaneos regularmente.

Corrige hallazgos

Inicia el flujo de corrección eligiendo Suggest patches desde el menú /claude-security, o pregunta en lenguaje natural, como "fix finding F3", luego elige qué hallazgos del informe abordar. Los parches se construyen contra código confirmado, y el informe tiene que describir aún el código que tienes: los hallazgos cuyo código ha cambiado desde entonces se omiten con una nota, y el plugin ofrece un escaneo fresco en lugar de aplicar parches desde un informe obsoleto. Cada parche se redacta en una copia de borrador de tu repositorio, por lo que tus archivos fuente permanecen intactos hasta que apliques un parche tú mismo.

Antes de la entrega, cada parche es revisado por un agente independiente del que lo escribió, que ejecuta las pruebas de tu proyecto contra el cambio cuando el código las tiene y lee el diff por sus propios términos para cualquier cosa nueva que pueda introducir. Un parche se escribe solo cuando esa revisión puede garantizar que el cambio aborda el hallazgo único, no introduce ninguna vulnerabilidad nueva, y deja el comportamiento sin cambios. Cuando no puede garantizar los tres, obtienes una nota breve explicando por qué en lugar de un parche.

Los parches nunca se aplican automáticamente

Aplicar un parche siempre es tu decisión. Los parches se guardan en la carpeta patches/ del informe, uno F<n>.patch por hallazgo con una nota al lado explicando el cambio. Aplica uno desde tu shell, o pide a Claude que lo aplique y abra una solicitud de extracción:

git apply CLAUDE-SECURITY-<timestamp>/patches/F1.patch

Cuando el código parcheado no tiene pruebas, la nota del parche lo dice, para que sepas que su revisión se ejecutó sin un paso de prueba. Aplica cada parche en su propia solicitud de extracción para que pueda ser revisado y probado por su cuenta.

Cómo se ajusta el plugin con otras herramientas de seguridad

El plugin de seguridad de Claude es la capa de escaneo profundo bajo demanda en una pila de defensa en profundidad, junto con el plugin de orientación de seguridad, /security-review, Code Review, el producto administrado Claude Security, y tus escáneres existentes:

El plugin no reemplaza tus herramientas de seguridad de código fuente existentes. Ejecútalo junto con análisis estático, escaneo de dependencias y revisión de código: razona sobre tu código de la manera que lo haría un investigador de seguridad humano, lo que complementa las verificaciones deterministas que esas herramientas proporcionan.

Solución de problemas

El menú /claude-security se abre con una advertencia de Python. El plugin necesita python3 3.9 o posterior en tu PATH. Cuando no puede encontrar python3 en absoluto, el menú advierte que Claude Security no funcionará hasta que se instale uno; cuando el primer python3 en tu PATH es más antiguo, la advertencia nombra la versión que encontró. Instala Python 3, o coloca un python3 más nuevo primero en tu PATH, luego inicia una nueva sesión.

Puedes ver un aviso "safeguards flagged this message" al escanear en un modelo Fable. El mensaje nombra el modelo que estás ejecutando. Los clasificadores de seguridad de ciberseguridad de Fable marcan ciertas solicitudes, y Claude Code vuelve a ejecutar una solicitud marcada en un modelo Opus a través de fallback automático de modelo. Esto es esperado. Cuando la solicitud se vuelve a ejecutar, el escaneo aún debería completarse exitosamente.

Recursos relacionados

Para profundizar en los temas que esta página toca:

• Plugin de orientación de seguridad: detecta problemas en el código mientras Claude lo escribe, en la misma sesión
• Code Review: configura la revisión multiagente en el momento de la solicitud de extracción
• Claude Security: el servicio administrado que monitorea repositorios conectados
• Seguridad de Claude Code: cómo Claude Code aborda la confianza, los permisos y las salvaguardas
• Instalar y administrar plugins: busca e instala otros plugins del marketplace oficial