Pindai codebase Anda untuk menemukan kerentanan

Instal plugin Claude Security untuk memindai codebase Anda guna menemukan kerentanan dalam sesi Claude Code dan mengubah temuan menjadi patch yang Anda tinjau dan terapkan.

Plugin Claude Security menjalankan pemindaian kerentanan multi-agent terhadap codebase Anda di dalam sesi Claude Code. Secara default, saat Anda memindai seluruh repositori, agent Claude memetakan arsitektur Anda, membangun model ancaman, memburu kerentanan, dan meninjau setiap temuan secara independen sebelum menulis laporan.

Gunakan plugin ini untuk memindai seluruh repositori atau hanya sekumpulan perubahan, seperti diff dari sebuah branch, diff dari sebuah pull request, atau satu commit, lalu ubah temuan yang Anda pilih menjadi patch yang Anda tinjau dan terapkan sendiri.

Plugin ini berjalan secara lokal di sesi Anda, menggunakan model apa pun yang dapat Anda akses di Claude Code, dan setiap pemindaian dihitung terhadap penggunaan Anda. Jika Anda menginginkan layanan terkelola yang memantau repositori Anda, atau ingin menjalankan pemindaian dengan Claude Mythos, lihat produk Claude Security, yang tersedia pada paket Enterprise.

Plugin ini juga berbeda dari alat peninjauan yang sudah ada di Claude Code: plugin security guidance meninjau kode saat Claude menulisnya, /security-review menjalankan satu kali pemeriksaan atas branch Anda, dan Code Review meninjau pull request. Untuk mengetahui bagaimana lapisan-lapisan ini saling melengkapi, lihat Bagaimana plugin ini berpadu dengan alat keamanan lainnya.

Prasyarat

Untuk menjalankan plugin, Anda memerlukan:

• Paket berbayar, akses API Anthropic, atau penyedia pihak ketiga, untuk alur kerja dinamis yang digunakan pemindaian untuk mengorkestrasi agennya. Di Pro, aktifkan dari baris Dynamic workflows di /config.
• Python 3.9 atau lebih baru tersedia di PATH Anda sebagai python3. Periksa dengan python3 --version. Peralatan plugin hanya menggunakan pustaka standar Python, jadi tidak ada yang diinstal.
• Linux, macOS, atau Windows.
• Git, untuk pemindaian perubahan dan untuk mengubah temuan menjadi patch; pekerjaan tersebut tidak mendukung sistem kontrol versi lainnya. Pemindaian lengkap berfungsi di direktori apa pun, dengan atau tanpa kontrol versi.

Model dan penyedia

Pemindaian berjalan di dalam sesi Claude Code Anda. Plugin tidak melakukan panggilan model sendiri, sehingga tidak ada kunci API atau pengaturan penyedia terpisah yang perlu dikonfigurasi.

• Model: agent yang mencari kerentanan, memverifikasi temuan, serta menulis dan meninjau patch berjalan pada model sesi Anda. Untuk mengubahnya, jalankan /model di sesi Anda sebelum memulai pemindaian. Beberapa langkah pendukung, seperti memetakan repositori, menggunakan alias sonnet sebagai gantinya.
• Penyedia: pemindaian berjalan pada paket berbayar, dengan akses Anthropic API, atau pada penyedia pihak ketiga seperti Amazon Bedrock, Google Cloud's Agent Platform, atau Microsoft Foundry.

Pada penyedia pihak ketiga, alias sonnet dapat di-resolve ke versi yang berbeda dibandingkan pada Anthropic API. Jika akun Anda tidak dapat menggunakan versi tersebut, sematkan versi model Anda, termasuk ANTHROPIC_DEFAULT_SONNET_MODEL.

Fallback model otomatis menjalankan ulang permintaan yang ditandai oleh pengaman model. Pada Amazon Bedrock, Google Cloud's Agent Platform, dan Microsoft Foundry, permintaan tersebut dapat berakhir dengan pesan penolakan sebagai gantinya, bergantung pada cara deployment Anda disiapkan.

Instal plugin

Di ekstensi VS Code atau aplikasi desktop, instal dengan mengikuti Instal plugin. Di terminal, mulai Claude Code dengan menjalankan claude, lalu masukkan ini di prompt-nya untuk menginstal dari marketplace resmi Anthropic:

/plugin install claude-security@claude-plugins-official

Perintah membuka detail plugin, di mana Anda memilih cakupan instalasi untuk memulai instalasi.

Jika instalasi gagal, cocokkan dengan pesan yang dilaporkan Claude Code:

• Marketplace "claude-plugins-official" not found: tambahkan marketplace dengan /plugin marketplace add anthropics/claude-plugins-official, lalu coba lagi instalasinya.
• Plugin "claude-security" not found in marketplace "claude-plugins-official": salinan lokal katalog marketplace Anda mungkin sudah usang. Perbarui dengan /plugin marketplace update claude-plugins-official, lalu coba lagi instalasinya. Jika retry menampilkan pesan yang sama, lihat Plugin tidak ditemukan di marketplace.

Periksa ringkasan instalasi. Jika melaporkan Run /reload-plugins to apply., lihat Terapkan perubahan plugin tanpa memulai ulang untuk mengaktifkan plugin dalam sesi Anda saat ini.

Setelah plugin aktif, Anda siap untuk memindai dan memperbaiki basis kode Anda.

Perbarui plugin

Untuk memperbarui plugin sendiri, lihat Perbarui plugin sekarang. Claude Code juga memperbarui plugin secara otomatis kecuali pembaruan otomatis dinonaktifkan.

Copot plugin

Untuk menghapus plugin, copot dari menu /plugin, atau jalankan claude plugin uninstall claude-security di terminal Anda.

Pindai dan perbaiki codebase Anda

Plugin ini menambahkan satu perintah, /claude-security, yang membuka menu berisi tiga tugasnya: memindai codebase, memindai sekumpulan perubahan, dan menyarankan patch. Alur utamanya menjalankan pemindaian penuh, lalu mengubah temuannya menjadi patch:

1. Buka menu Claude Security

Jalankan /claude-security dan pilih Scan codebase.

2. Pilih apa yang akan dipindai

Plugin membaca repositori Anda terlebih dahulu, lalu menawarkan seluruh repositori atau area yang terfokus. Pilih seluruh repositori, atau jawab "I don't know" dan plugin akan memilih default yang masuk akal untuk ukuran repositori Anda.

3. Konfirmasi eksekusi

Pemindaian dapat memakan waktu cukup lama, dapat menggunakan token dalam jumlah signifikan, dan memerlukan Claude Code tetap terbuka hingga selesai. Tidak ada yang dijalankan sampai Anda mengonfirmasi.

4. Baca laporan

Selama pemindaian berjalan, pemindaian melaporkan setiap tahap saat dimulai, dengan detail yang tersedia di /workflows. Hasil ditulis ke direktori bertanda waktu di repositori Anda, yang dijelaskan dalam Baca hasil pemindaian.

5. Ubah temuan menjadi patch

Jalankan /claude-security lagi dan pilih Suggest patches, lalu pilih temuan mana yang akan ditangani. Patch yang telah ditinjau ditulis ke folder patches/ milik laporan; Perbaiki temuan menjelaskan bagaimana setiap patch dibuat dan ditinjau.

6. Terapkan patch yang Anda terima

Terapkan setiap patch dari shell Anda dengan git apply, masing-masing dalam pull request tersendiri. Patch tidak pernah diterapkan secara otomatis.

Anda tidak harus memulai dari menu: mintalah tugas secara langsung, sebagai argumen untuk perintah, seperti /claude-security scan my branch, atau dalam bahasa biasa, seperti "scan commit abc1234". Plugin ini bekerja paling baik dalam auto mode, yang memungkinkan agent pemindaian melanjutkan tanpa permintaan izin di setiap langkah.

Pindai hanya perubahan Anda

Ketika branch Anda memiliki commit yang tidak dimiliki base-nya, menu /claude-security menawarkan untuk memindai hanya diff tersebut, sehingga Anda dapat memeriksa branch sebelum melakukan merge. Anda juga dapat memindai salah satu pull request Anda yang terbuka, atau satu commit dengan memintanya, seperti "scan commit abc1234". Hanya perubahan yang sudah di-commit yang dipindai: lakukan commit atau stash pada suntingan yang sedang berlangsung terlebih dahulu, atau jalankan pemindaian penuh, yang membaca working tree.

Pemindaian perubahan memerlukan repositori git; pemindaian penuh pada direktori tanpa versi tetap berfungsi. Pencarian pull request Anda yang terbuka hanya ditawarkan ketika sesi Anda sudah memiliki izin untuk menjalankan GitHub CLI dan gh sudah masuk.

Batasi cakupan repositori besar

Pada repositori besar, pindai satu area pada satu waktu alih-alih seluruh tree. Pilih salah satu cakupan terfokus yang ditawarkan plugin, seperti lapisan API Anda atau kode autentikasi Anda, dan eksekusi akan menyesuaikan ukurannya dengan apa yang Anda pilih. Bagian cakupan dalam laporan menyatakan apa yang diperiksa dan apa yang tidak. Jalankan pemindaian lain pada area berbeda kapan saja.

Pilih tingkat upaya pemindaian

Tingkat upaya pemindaian menentukan seberapa dalam pemindaian dilakukan. Temuan Anda melalui verifikasi independen yang sama pada low, medium, dan high.

• low: tinjauan pertama yang cepat. Tingkat ini melewati peta arsitektur dan model ancaman saat Anda memindai codebase Anda.
• medium: default.
• high: apa yang dilakukan medium, ditambah perburuan kerentanan yang lebih banyak pada kode yang sama.

Sebutkan tingkat upaya pemindaian dalam permintaan Anda di prompt Claude Code, seperti /claude-security scan my public API code at high atau /claude-security scan my branch at high.

Jika pemindaian pada repositori besar menemukan lebih sedikit dari yang Anda harapkan, pilih tingkat upaya pemindaian high, pindai untuk kedua kalinya, atau lakukan keduanya. Masing-masing dapat melaporkan temuan yang tidak dilaporkan oleh satu pemindaian medium.

Membaca hasil pemindaian

Setiap pemindaian menulis hasilnya ke dalam direktori bertanda waktu CLAUDE-SECURITY-<timestamp>/ di repositori Anda:

• CLAUDE-SECURITY-RESULTS.md: laporan, dengan ID setiap temuan, seperti F1, beserta dampak, skenario eksploitasi, tingkat keparahan, tingkat keyakinan, dan rekomendasinya
• CLAUDE-SECURITY-RESULTS.jsonl: temuan yang sama dalam bentuk yang dapat dibaca mesin, satu objek JSON per baris
• CLAUDE-SECURITY-RESULTS.sarif: temuan yang sama sebagai log SARIF 2.1.0 untuk GitHub code scanning dan tool lain apa pun yang membaca standar tersebut. Pemindaian mengklasifikasikan temuan berdasarkan kategori kelemahan CWE
• CLAUDE-SECURITY-REVISION-<commit>.json: cap revisi, yang mencatat commit mana yang dipindai, pada tingkat upaya pemindaian apa, apakah perubahan yang belum di-commit termasuk dalam tree yang dipindai, dan seberapa menyeluruh eksekusi diverifikasi. Pemindaian di luar kontrol versi memberi cap UNVERSIONED sebagai pengganti commit

Direktori tersebut adalah satu-satunya perubahan yang dilakukan pemindaian pada checkout Anda, dan direktori itu membawa .gitignore miliknya sendiri, sehingga git add yang tidak disengaja tidak akan pernah memasukkan laporan ke dalam commit. Untuk menyimpan laporan dalam riwayat sebagai jejak audit, hapus satu file .gitignore tersebut dan lakukan commit pada direktori itu seperti direktori lainnya.

Temuan hanya muncul dalam laporan setelah agent verifikator independen menganalisisnya, sehingga laporan tetap ringkas dan layak dibaca. Pemindaian bersifat nondeterministik: dua pemindaian pada kode yang sama dapat memunculkan temuan yang berbeda. Jalankan pemindaian secara rutin.

Memperbaiki temuan

Mulai alur perbaikan dengan memilih Suggest patches dari menu /claude-security, atau minta dengan bahasa biasa, seperti "fix finding F3", lalu pilih temuan mana dari laporan yang akan ditangani. Patch dibuat berdasarkan kode yang sudah di-commit, dan laporan harus masih menggambarkan kode yang Anda miliki: temuan yang kodenya telah berubah sejak saat itu akan dilewati dengan sebuah catatan, dan plugin menawarkan pemindaian baru alih-alih membuat patch dari laporan yang sudah usang. Setiap patch disusun dalam salinan sementara repositori Anda, sehingga file sumber Anda tetap tidak tersentuh sampai Anda sendiri menerapkan sebuah patch.

Sebelum diserahkan, setiap patch ditinjau oleh sebuah agent yang independen dari agent yang menulisnya, yang menjalankan pengujian proyek Anda terhadap perubahan tersebut jika kode memiliki pengujian, dan membaca diff secara mandiri untuk mencari hal baru apa pun yang mungkin ditimbulkannya. Sebuah patch hanya ditulis jika tinjauan tersebut dapat menjamin bahwa perubahan menangani satu temuan tersebut, tidak menimbulkan kerentanan baru, dan selain itu tidak mengubah perilaku. Jika tinjauan tidak dapat menjamin ketiga hal tersebut, Anda akan menerima catatan singkat yang menjelaskan alasannya alih-alih sebuah patch.

Patch tidak pernah diterapkan secara otomatis

Menerapkan patch selalu menjadi keputusan Anda. Patch ditulis ke folder patches/ milik laporan, satu F<n>.patch per temuan dengan catatan di sampingnya yang menjelaskan perubahan tersebut. Terapkan patch dari shell Anda, atau minta Claude untuk menerapkannya dan membuka pull request:

git apply CLAUDE-SECURITY-<timestamp>/patches/F1.patch

Jika kode yang di-patch tidak memiliki pengujian, catatan patch akan menyebutkannya, sehingga Anda tahu bahwa tinjauannya berjalan tanpa lolos pengujian. Terapkan setiap patch dalam pull request tersendiri agar dapat ditinjau dan diuji secara terpisah.

Bagaimana plugin ini berpadu dengan tool keamanan lainnya

Plugin Claude Security adalah lapisan pemindaian mendalam sesuai permintaan dalam tumpukan pertahanan berlapis, bersama dengan plugin panduan keamanan, /security-review, Code Review, produk terkelola Claude Security, dan pemindai yang sudah Anda miliki:

Plugin ini tidak menggantikan tool keamanan kode sumber yang sudah Anda miliki. Jalankan bersama analisis statis, pemindaian dependensi, dan code review: plugin ini menalar kode Anda seperti yang dilakukan seorang peneliti keamanan manusia, yang melengkapi pemeriksaan deterministik yang disediakan oleh tool tersebut.

Pemecahan masalah

Menu /claude-security terbuka dengan peringatan Python. Plugin memerlukan python3 3.9 atau lebih baru di PATH Anda. Ketika tidak dapat menemukan python3 sama sekali, menu memperingatkan bahwa Claude Security tidak akan berfungsi sampai satu diinstal; ketika python3 pertama di PATH Anda lebih lama, peringatan menyebutkan versi yang ditemukannya. Instal Python 3, atau letakkan python3 yang lebih baru terlebih dahulu di PATH Anda, kemudian mulai sesi baru.

Anda mungkin melihat pemberitahuan "safeguards flagged this message" saat memindai pada model Fable. Pesan menyebutkan model yang sedang Anda jalankan. Pengklasifikasi keamanan siber Fable menandai permintaan tertentu, dan Claude Code menjalankan kembali permintaan yang ditandai pada model Opus melalui automatic model fallback. Ini diharapkan. Ketika permintaan dijalankan kembali, pemindaian harus tetap selesai dengan sukses.

Sumber daya terkait

Untuk mendalami bagian yang disentuh halaman ini:

• Plugin Security guidance: tangkap masalah dalam kode saat Claude menulisnya, dalam sesi yang sama
• Code Review: atur tinjauan multi-agen waktu PR
• Claude Security: layanan terkelola yang memantau repositori yang terhubung
• Keamanan Claude Code: bagaimana Claude Code mendekati kepercayaan, izin, dan penjaga
• Instal dan kelola plugins: temukan dan instal plugin lainnya dari marketplace resmi