Automatisierung von Sicherheitsüberprüfungen mit Claude Code

Heute führen wir automatisierte Sicherheitsüberprüfungen in Claude Code ein. Mit unserer GitHub-Actions-Integration und einem neuen "/security-review"-Befehl können Entwickler Claude ganz einfach bitten, Sicherheitsprobleme zu identifizieren und zu beheben.

Da Entwickler zunehmend auf KI setzen, um schneller bereitzustellen und komplexere Systeme zu entwickeln, wird die Codesicherheit noch wichtiger. Mit diesen neuen Funktionen können Sie Sicherheitsüberprüfungen in Ihre vorhandenen Workflows integrieren, um Schwachstellen zu erkennen, bevor sie in Betrieb gehen.

Code im Terminal auf Schwachstellen überprüfen

Mit dem neuen "/security-review"-Befehl können Sie Ad-hoc-Sicherheitsanalysen von Ihrem Terminal aus durchführen, bevor Sie den Code freigeben. Wenn Sie den Befehl in Claude Code ausführen, durchsucht Claude Ihre Codebasis nach potenziellen Schwachstellen und liefert detaillierte Erklärungen zu den gefundenen Problemen.

Dieser Befehl verwendet einen speziellen sicherheitsorientierten Prompt, der nach häufigen Schwachstellen sucht, einschließlich:

• SQL-Injection-Risiko
• Schwachstellen bei Cross-Site-Scripting (XSS)
• Authentifizierungs- und Autorisierungsfehler
• Unsichere Datenverarbeitung
• Schwachstellen bei den Abhängigkeiten

Sie können Claude Code auch bitten, für jedes Problem eine Lösung zu implementieren, nachdem sie identifiziert wurde. Dadurch werden Sicherheitsüberprüfungen in Ihrem internen Entwicklungszyklus gespeichert, um Probleme frühzeitig zu erkennen, wenn sie am einfachsten zu beheben sind.

Automatisierung von Sicherheitsüberprüfungen für neue Pull-Requests

Die neue GitHub-Aktion für Claude Code geht einen Schritt weiter, indem sie jede Pull-Request automatisch analysiert, sobald sie geöffnet wird. Nach der Konfiguration veranlasst die Aktion Folgendes:

• Löst automatisch neue Pull-Requests aus
• Überprüft Codeänderungen auf Sicherheitslücken
• Wendet anpassbare Regeln an, um falsche Positive und bekannte Probleme herauszufiltern
• Gibt Kommentare zum PR mit etwaigen Bedenekn an, einschließlich Lösungsempfehlungen

Dadurch wird ein einheitlicher Sicherheitsüberprüfungsprozess für Ihr gesamtes Team geschaffen, der sicherstellt, dass kein Code ohne eine Basissicherheitsüberprüfung in die Produktion gelangt. Die Aktion lässt sich in Ihre vorhandene CI/CD-Pipeline integrieren und kann an die Sicherheitsrichtlinien Ihres Teams angepasst werden.

Verbesserung der Produktsicherheit bei Anthropic

Wir verwenden diese Funktionen selbst, um den Code zu sichern, der in die Produktion eingebracht wird, einschließlich Claude Code selbst. Seit der Einrichtung der GitHub-Aktion hat dies bereits Sicherheitslücken in unserem eigenen Code entdeckt und die Bereitstellung verhindert.

Letzte Woche hat unser Team eine neue Funktion für ein internes Tool entwickelt, das darauf angewiesen ist, einen lokalen HTTP-Server zu starten, der lokale Verbindungen akzeptiert. Die GitHub-Aktion identifizierte eine Schwachstelle bei der Remote-Codeausführung, die durch DNS-Rebinding ausgenutzt werden konnte. Diese wurde behoben, bevor das PR zusammengeführt wurde.

In einem anderen Fall entwickelte ein Ingenieur ein Proxy-System, um die sichere Verwaltung interner Anmeldeinformationen zu ermöglichen. GitHub-Aktion hat automatisch markiert, dass dieser Proxy anfällig für SSRF-Angriffe ist, und wir haben dieses Problem umgehend behoben.

Erste Schritte

Beide Funktionen sind jetzt für alle Benutzer von Claude Code verfügbar. Um automatisierte Sicherheitsüberprüfungen zu nutzen:

• Für den Befehl /security-review: Aktualisieren Sie Claude Code einfach auf die neueste Version und führen Sie /security-review in Ihrem Projektverzeichnis aus. In der Dokumentation finden Sie Informationen zur Anpassung Ihrer eigenen Version des Befehls
• GitHub-Lösung: In der Dokumentation finden Sie Schritt-für-Schritt-Installations- und Konfigurationsanweisungen