SpyBara
Go Premium

claude-security.md 2026-11-09 23:02 UTC to 2026-11-10 21:57 UTC

This page contains 50 additions and 50 deletions.

2026
Tue 10 21:57 Wed 11 22:59

Pindai codebase Anda untuk mencari kerentanan

Instal plugin Claude Security untuk memindai codebase Anda guna mencari kerentanan dalam sesi Claude Code dan mengubah temuan menjadi patch yang Anda tinjau dan terapkan.

Plugin Claude Security menjalankan pemindaian kerentanan multi-agent pada codebase Anda di dalam sesi Claude Code. Secara default, saat Anda memindai seluruh repositori, agent Claude memetakan arsitektur Anda, membangun model ancaman, mencari kerentanan, dan meninjau setiap temuan secara independen sebelum menulis laporan.

Gunakan plugin ini untuk memindai seluruh repositori atau hanya sekumpulan perubahan, seperti diff dari sebuah branch, diff dari sebuah pull request, atau satu commit, lalu ubah temuan yang Anda pilih menjadi patch yang Anda tinjau dan terapkan sendiri.

Plugin ini berjalan secara lokal dalam sesi Anda, menggunakan model apa pun yang dapat Anda akses di Claude Code, dan setiap pemindaian dihitung dalam penggunaan Anda. Jika Anda menginginkan layanan terkelola yang memantau repositori Anda, atau ingin menjalankan pemindaian dengan Claude Mythos, lihat produk Claude Security, yang tersedia pada paket Enterprise.

Plugin ini juga berbeda dari alat peninjauan yang sudah ada di Claude Code: plugin panduan keamanan meninjau kode saat Claude menulisnya, /security-review menjalankan satu kali pemeriksaan pada branch Anda, dan Code Review meninjau pull request. Untuk mengetahui bagaimana lapisan-lapisan ini saling melengkapi, lihat Bagaimana plugin ini berpadu dengan alat keamanan lainnya.

Prasyarat

Untuk menjalankan plugin, Anda memerlukan:

  • Paket berbayar, akses API Anthropic, atau penyedia pihak ketiga, untuk alur kerja dinamis yang digunakan pemindaian untuk mengorkestrasi agennya. Di Pro, aktifkan dari baris Dynamic workflows di /config.
  • Python 3.9 atau lebih baru tersedia di PATH Anda sebagai python3. Periksa dengan python3 --version. Peralatan plugin hanya menggunakan pustaka standar Python, jadi tidak ada yang diinstal.
  • Linux, macOS, atau Windows.
  • Git, untuk pemindaian perubahan dan untuk mengubah temuan menjadi patch; pekerjaan tersebut tidak mendukung sistem kontrol versi lainnya. Pemindaian lengkap berfungsi di direktori apa pun, dengan atau tanpa kontrol versi.

Model dan penyedia

Pemindaian berjalan di dalam sesi Claude Code Anda. Plugin ini tidak melakukan panggilan model sendiri, sehingga tidak ada kunci API atau pengaturan penyedia terpisah yang perlu dikonfigurasi.

Pada penyedia pihak ketiga, alias sonnet dapat di-resolve ke versi yang berbeda dibandingkan pada Anthropic API. Jika akun Anda tidak dapat menggunakan versi tersebut, sematkan versi model Anda, termasuk ANTHROPIC_DEFAULT_SONNET_MODEL.

Fallback model otomatis menjalankan ulang permintaan yang ditandai oleh safeguard model. Pada Amazon Bedrock, Google Cloud's Agent Platform, dan Microsoft Foundry, permintaan tersebut dapat berakhir dengan pesan penolakan sebagai gantinya, bergantung pada cara deployment Anda disiapkan.

Instal plugin

Di ekstensi VS Code atau aplikasi desktop, instal dengan mengikuti Instal plugin. Di terminal, mulai Claude Code dengan menjalankan claude, lalu masukkan ini di prompt-nya untuk menginstal dari marketplace resmi Anthropic:

/plugin install claude-security@claude-plugins-official

Perintah membuka detail plugin, di mana Anda memilih cakupan instalasi untuk memulai instalasi.

Jika instalasi gagal, cocokkan dengan pesan yang dilaporkan Claude Code:

  • Marketplace "claude-plugins-official" not found: tambahkan marketplace dengan /plugin marketplace add anthropics/claude-plugins-official, lalu coba lagi instalasinya.
  • Plugin "claude-security" not found in marketplace "claude-plugins-official": salinan lokal katalog marketplace Anda mungkin sudah usang. Perbarui dengan /plugin marketplace update claude-plugins-official, lalu coba lagi instalasinya. Jika retry menampilkan pesan yang sama, lihat Plugin tidak ditemukan di marketplace.

Periksa ringkasan instalasi. Jika melaporkan Run /reload-plugins to apply., lihat Terapkan perubahan plugin tanpa memulai ulang untuk mengaktifkan plugin dalam sesi Anda saat ini.

Setelah plugin aktif, Anda siap untuk memindai dan memperbaiki basis kode Anda.

Perbarui plugin

Untuk memperbarui plugin sendiri, lihat Perbarui plugin sekarang. Claude Code juga memperbarui plugin secara otomatis kecuali pembaruan otomatis dinonaktifkan.

Copot plugin

Untuk menghapus plugin, copot dari menu /plugin, atau jalankan claude plugin uninstall claude-security di terminal Anda.

Pindai dan perbaiki codebase Anda

Plugin ini menambahkan satu perintah, /claude-security, yang membuka menu berisi tiga tugasnya: memindai codebase, memindai sekumpulan perubahan, dan menyarankan patch. Alur utamanya menjalankan pemindaian penuh, lalu mengubah temuannya menjadi patch:

1. Buka menu Claude Security

Jalankan /claude-security dan pilih Scan codebase.

2. Pilih apa yang akan dipindai

Plugin membaca repositori Anda terlebih dahulu, lalu menawarkan seluruh repositori atau area yang terfokus. Pilih seluruh repositori, atau jawab "I don't know" dan plugin akan memilih default yang masuk akal untuk ukuran repositori Anda.

3. Konfirmasi eksekusi

Pemindaian dapat memakan waktu cukup lama, dapat menggunakan token dalam jumlah yang signifikan, dan memerlukan Claude Code tetap terbuka hingga selesai. Tidak ada yang berjalan sampai Anda mengonfirmasi.

4. Baca laporan

Selama pemindaian berjalan, pemindaian melaporkan setiap tahap saat dimulai, dengan detail yang tersedia di /workflows. Hasil ditulis ke direktori bertanda waktu di repositori Anda, seperti yang dijelaskan di Membaca hasil pemindaian.

5. Ubah temuan menjadi patch

Jalankan /claude-security lagi dan pilih Suggest patches, lalu pilih temuan mana yang akan ditangani. Patch yang telah ditinjau ditulis ke folder patches/ milik laporan; Memperbaiki temuan menjelaskan bagaimana setiap patch dibuat dan ditinjau.

6. Terapkan patch yang Anda terima

Terapkan setiap patch dari shell Anda dengan git apply, masing-masing dalam pull request tersendiri. Patch tidak pernah diterapkan secara otomatis.

Anda tidak harus memulai dari menu: minta tugas secara langsung, sebagai argumen untuk perintah, seperti /claude-security scan my branch, atau dalam bahasa biasa, seperti "scan commit abc1234". Plugin ini bekerja paling baik dalam auto mode, yang memungkinkan agent pemindaian melanjutkan tanpa permintaan izin di setiap langkah.

Pindai hanya perubahan Anda

Ketika branch Anda memiliki commit yang tidak dimiliki base-nya, menu /claude-security menawarkan untuk memindai hanya diff tersebut, sehingga Anda dapat memeriksa branch sebelum melakukan merge. Anda juga dapat memindai salah satu pull request Anda yang terbuka, atau satu commit dengan memintanya, seperti "scan commit abc1234". Hanya perubahan yang sudah di-commit yang dipindai: lakukan commit atau stash pada suntingan yang sedang berlangsung terlebih dahulu, atau jalankan pemindaian penuh, yang membaca working tree.

Pemindaian perubahan memerlukan repositori git; pemindaian penuh pada direktori tanpa versi tetap berfungsi. Pencarian pull request Anda yang terbuka hanya ditawarkan ketika sesi Anda sudah memiliki izin untuk menjalankan GitHub CLI dan gh sudah masuk.

Batasi cakupan repositori besar

Pada repositori besar, pindai satu area pada satu waktu alih-alih seluruh tree. Pilih salah satu cakupan terfokus yang ditawarkan plugin, seperti lapisan API Anda atau kode autentikasi Anda, dan eksekusi akan menyesuaikan ukurannya dengan apa yang Anda pilih. Bagian cakupan pada laporan menyatakan apa yang diperiksa dan apa yang tidak. Jalankan pemindaian lain pada area yang berbeda kapan saja.

Pilih tingkat upaya pemindaian

Upaya pemindaian menentukan seberapa dalam pemindaian dilakukan. Temuan Anda melalui verifikasi independen yang sama pada low, medium, dan high.

  • low: tinjauan awal yang cepat. Tingkat ini melewati peta arsitektur dan model ancaman saat Anda memindai codebase Anda.
  • medium: default.
  • high: apa yang dilakukan medium, ditambah pencarian kerentanan yang lebih banyak pada kode yang sama.

Sebutkan upaya pemindaian dalam permintaan Anda di prompt Claude Code, seperti /claude-security scan my public API code at high atau /claude-security scan my branch at high.

Jika pemindaian repositori besar menemukan lebih sedikit dari yang Anda harapkan, pilih upaya pemindaian high, lakukan pemindaian kedua kalinya, atau lakukan keduanya. Masing-masing dapat melaporkan temuan yang tidak dilaporkan oleh satu pemindaian medium.

Membaca hasil pemindaian

Setiap pemindaian menulis hasilnya ke direktori bertanda waktu CLAUDE-SECURITY-<timestamp>/ di repositori Anda:

  • CLAUDE-SECURITY-RESULTS.md: laporan, dengan ID setiap temuan, seperti F1, beserta dampak, skenario eksploitasi, tingkat keparahan, tingkat keyakinan, dan rekomendasinya
  • CLAUDE-SECURITY-RESULTS.jsonl: temuan yang sama dalam bentuk yang dapat dibaca mesin, satu objek JSON per baris
  • CLAUDE-SECURITY-RESULTS.sarif: temuan yang sama sebagai log SARIF 2.1.0 untuk GitHub code scanning dan tool lain apa pun yang membaca standar tersebut. Pemindaian mengklasifikasikan temuan berdasarkan kategori kelemahan CWE
  • CLAUDE-SECURITY-REVISION-<commit>.json: penanda revisi, yang mencatat commit mana yang dipindai, pada upaya pemindaian apa, apakah perubahan yang belum di-commit termasuk dalam tree yang dipindai, dan seberapa menyeluruh eksekusi diverifikasi. Pemindaian di luar kontrol versi menandai UNVERSIONED sebagai pengganti commit

Direktori tersebut adalah satu-satunya perubahan yang dibuat pemindaian pada checkout Anda, dan direktori itu membawa .gitignore sendiri, sehingga git add yang tidak disengaja tidak akan pernah memasukkan laporan ke dalam commit. Untuk menyimpan laporan dalam riwayat sebagai jejak audit, hapus satu file .gitignore tersebut dan lakukan commit pada direktori seperti direktori lainnya.

Temuan hanya muncul di laporan setelah agent verifikator independen menganalisisnya, yang menjaga laporan tetap singkat dan layak dibaca. Pemindaian bersifat nondeterministik: dua pemindaian pada kode yang sama dapat memunculkan temuan yang berbeda. Jalankan pemindaian secara rutin.

Memperbaiki temuan

Mulai alur perbaikan dengan memilih Suggest patches dari menu /claude-security, atau minta dalam bahasa sehari-hari, seperti "fix finding F3", lalu pilih temuan mana dari laporan yang ingin ditangani. Patch dibuat berdasarkan kode yang sudah di-commit, dan laporan harus masih menggambarkan kode yang Anda miliki: temuan yang kodenya telah berubah sejak itu akan dilewati dengan sebuah catatan, dan plugin akan menawarkan pemindaian baru alih-alih membuat patch dari laporan yang sudah usang. Setiap patch disusun dalam salinan sementara repositori Anda, sehingga file sumber Anda tetap tidak tersentuh hingga Anda sendiri menerapkan patch.

Sebelum diserahkan, setiap patch ditinjau oleh agent yang independen dari agent yang menulisnya, yang menjalankan pengujian proyek Anda terhadap perubahan tersebut jika kode memiliki pengujian dan membaca diff secara mandiri untuk mencari hal baru apa pun yang mungkin ditimbulkannya. Patch hanya ditulis jika tinjauan tersebut dapat menjamin bahwa perubahan menangani satu temuan tersebut, tidak menimbulkan kerentanan baru, dan membiarkan perilaku lainnya tidak berubah. Jika tinjauan tidak dapat menjamin ketiga hal tersebut, Anda akan mendapatkan catatan singkat yang menjelaskan alasannya alih-alih patch.

Patch tidak pernah diterapkan secara otomatis

Menerapkan patch selalu menjadi keputusan Anda. Patch ditulis ke folder patches/ laporan, satu F<n>.patch per temuan dengan catatan di sampingnya yang menjelaskan perubahan tersebut. Terapkan patch dari shell Anda, atau minta Claude untuk menerapkannya dan membuka pull request:

git apply CLAUDE-SECURITY-<timestamp>/patches/F1.patch

Jika kode yang di-patch tidak memiliki pengujian, catatan patch akan menyebutkannya, sehingga Anda tahu bahwa tinjauannya berjalan tanpa lulus pengujian. Terapkan setiap patch dalam pull request tersendiri agar dapat ditinjau dan diuji secara terpisah.

Bagaimana plugin ini melengkapi tool keamanan lainnya

Plugin Claude Security adalah lapisan pemindaian mendalam sesuai permintaan dalam tumpukan pertahanan berlapis (defense-in-depth), bersama dengan plugin panduan keamanan, /security-review, Code Review, produk terkelola Claude Security, dan pemindai yang sudah Anda miliki:

Tahap Tool Cakupan
Dalam sesi Plugin panduan keamanan Kerentanan umum dalam kode yang ditulis Claude, diperbaiki dalam sesi yang sama
Sesuai permintaan, satu kali jalan /security-review Pemeriksaan keamanan satu kali pada branch saat ini
Sesuai permintaan, pemindaian mendalam Plugin Claude Security Pemindaian multi-agen terhadap repositori atau diff, dengan temuan dan patch yang ditinjau secara independen
Pada pull request Code Review, paket Team dan Enterprise Peninjauan kebenaran dan keamanan multi-agen dengan konteks codebase lengkap
Terkelola Claude Security, paket Enterprise Pemindaian yang di-hosting yang memantau repositori yang terhubung
Dalam CI Pemindai analisis statis dan dependensi yang sudah Anda miliki Aturan khusus bahasa, pemeriksaan rantai pasokan, dan penegakan kebijakan

Plugin ini tidak menggantikan tool keamanan kode sumber yang sudah Anda miliki. Jalankan plugin ini bersama analisis statis, pemindaian dependensi, dan code review: plugin ini menalar kode Anda seperti yang dilakukan oleh peneliti keamanan manusia, yang melengkapi pemeriksaan deterministik yang disediakan oleh tool tersebut.

Pemecahan masalah

Menu /claude-security terbuka dengan peringatan Python. Plugin memerlukan python3 3.9 atau lebih baru di PATH Anda. Ketika tidak dapat menemukan python3 sama sekali, menu memperingatkan bahwa Claude Security tidak akan berfungsi sampai satu diinstal; ketika python3 pertama di PATH Anda lebih lama, peringatan menyebutkan versi yang ditemukannya. Instal Python 3, atau letakkan python3 yang lebih baru terlebih dahulu di PATH Anda, kemudian mulai sesi baru.

Anda mungkin melihat pemberitahuan "safeguards flagged this message" saat memindai pada model Fable. Pesan menyebutkan model yang sedang Anda jalankan. Pengklasifikasi keamanan siber Fable menandai permintaan tertentu, dan Claude Code menjalankan kembali permintaan yang ditandai pada model Opus melalui automatic model fallback. Ini diharapkan. Ketika permintaan dijalankan kembali, pemindaian harus tetap selesai dengan sukses.

Sumber daya terkait

Untuk mendalami bagian yang disentuh halaman ini: