Anthropic lance Claude Security : un service d'IA qui traque les failles dans le code et propose des correctifs

Le 30 avril 2026, Anthropic a ouvert la bêta publique de Claude Security, un outil de recherche de vulnérabilités directement dans la base de code d'une entreprise. Le service repose sur le modèle Claude Opus 4.7, analyse le dépôt de lui-même, vérifie ses trouvailles et suggère ce qu'il vaut mieux corriger en priorité.

À qui s'adresse-t-il, et pourquoi

Claude Security, qui s'appelait auparavant Claude Code Security, est désormais proposé aux clients du forfait Claude Enterprise. Il s'agit en somme de transformer un modèle puissant en outil de travail concret pour les équipes de sécurité : sans intégration d'API distincte, sans assemblage d'agents sur mesure et sans bricolage manuel d'un pipeline de plusieurs services. Une entreprise qui utilise déjà Claude peut activer ce nouveau mode depuis la console d'administration et lancer l'analyse de dépôts presque immédiatement. L'accès pour Team et Max est promis plus tard.

Pour Anthropic, ce n'est pas une simple fonction d'IA de plus dans l'IDE. L'entreprise relie explicitement ce lancement à l'accélération des cybermenaces : les modèles trouvent de plus en plus vite des failles dans les logiciels, la défense doit donc elle aussi changer de rythme. Le produit est ainsi présenté non comme un remplaçant de l'équipe AppSec, mais comme un moyen de raccourcir le chemin entre la détection d'un problème et un correctif prêt. En entreprise, ce gain de temps décide souvent si un bug arrive ou non en production.

Comment fonctionne l'analyse

Claude Security s'ouvre depuis la barre latérale de Claude ou via une interface de sécurité dédiée. L'utilisateur choisit un dépôt, une branche ou un répertoire précis, puis le modèle lance l'analyse. Contrairement aux scanners classiques à base de règles, Anthropic mise sur l'analyse contextuelle : le système suit les liens entre modules, observe le cheminement des données dans le code et cherche à comprendre la logique réelle de l'application, pas seulement des correspondances de signatures. Cette approche compte surtout pour les erreurs logiques et les problèmes de contrôle d'accès.

En sortie, l'équipe ne reçoit pas qu'une liste d'endroits suspects, mais un rendu plus pratique. Claude indique son degré de confiance dans la trouvaille, sa criticité, les dégâts possibles et la façon de reproduire le problème. Il rédige ensuite des instructions pour une correction ciblée et, si besoin, ouvre une tâche dans Claude Code on the Web, où le correctif peut être affiné dans le contexte du fichier concerné et du code associé.

« L'IA réduit le temps entre la découverte d'une vulnérabilité et son exploitation », explique

Anthropic pour justifier son pari sur ce type d'outils.

Ce qui a été ajouté après la préversion

Selon Anthropic, des centaines d'organisations ont testé Claude Security pendant les deux mois de préversion. À l'issue de cette période, l'entreprise a peaufiné non pas des fonctions de vitrine, mais ce dont les équipes de sécurité ont besoin au quotidien. La conclusion principale des développeurs est simple : la valeur ne tient pas à l'analyse elle-même, mais à la vitesse à laquelle une trouvaille devient une tâche confirmée, puis une vraie correction. La version se concentre donc sur des détails d'exploitation.

• Analyses planifiées au lieu de vérifications ponctuelles
• Lancement ciblé sur un répertoire à l'intérieur d'un dépôt
• Moins de faux positifs grâce à une validation des trouvailles en plusieurs étapes
• Export des résultats en CSV et Markdown pour l'audit et le suivi
• Envoi des résultats vers Slack, Jira et d'autres systèmes via des webhooks

Anthropic souligne par ailleurs que l'outil peut conserver les raisons du rejet des trouvailles, afin que l'analyse suivante ne ressorte pas, sans contexte, des cas déjà traités. C'est important pour les grandes entreprises, où le triage est souvent réparti entre équipes de sécurité, développeurs et équipes plateforme.

Parallèlement, l'entreprise étend son réseau de déploiement : les capacités d'Opus 4.7 sont déjà intégrées aux produits de CrowdStrike, Microsoft Security, Palo Alto Networks, SentinelOne, TrendAI et Wiz, tandis qu'Accenture, BCG, Deloitte, Infosys et PwC aident à déployer ces scénarios dans les processus d'entreprise.

Ce que cela signifie

Anthropic pousse le marché vers un modèle où l'IA en sécurité ne se contente pas de trouver le bug, mais s'occupe aussi de la priorisation, de l'explication du risque et de la préparation du correctif. Si la qualité de détection se révèle réellement élevée, les grandes équipes pourraient corriger plus vite des vulnérabilités logiques complexes que les scanners statiques classiques manquent pendant des années, et l'écart entre détection et correction deviendrait nettement plus court. Pour les grandes équipes produit, ce n'est plus une expérience, mais une partie potentielle du processus standard de développement sécurisé.