Sicherheitswerkzeuge gibt es viele — die meisten suchen nach bekannten Mustern und spucken lange Listen aus, von denen die Hälfte Fehlalarme sind. Anthropic geht einen anderen Weg. Seit dieser Woche steht das Claude Security Plugin für Claude Code in der Beta bereit, und es macht etwas, das klassische Scanner nicht können: Es liest den Code wirklich.
Ein Befehl, drei Jobs
Installiert wird das Plugin mit zwei Zeilen aus dem offiziellen Anthropic-Marketplace:
/plugin install claude-security@claude-plugins-official
/reload-pluginsDanach gibt es einen neuen Befehl — /claude-security — der ein Menü mit drei Aufgaben öffnet: das ganze Repository scannen, nur die Änderungen eines Branches oder Commits prüfen, oder aus den Funden fertige Patch-Dateien machen. Alles läuft lokal in deiner Session, dein Code verlässt die Maschine nicht.
Warum das anders ist
Statt nach Mustern zu suchen, versucht Claude zu verstehen, wie die Komponenten zusammenspielen. Der Scan ist als mehrstufiger Workflow gebaut, der die Arbeit über viele Subagenten verteilt: Erst wird das Repo in Komponenten zerlegt, dann modelliert je ein Agent die Bedrohungen — Eintrittspunkte, Datensenken, Vertrauensgrenzen. Anschließend gehen Researcher die vier festen Kategorien durch: Injection, Auth und Zugriff, Speicher-Unsicherheiten und Krypto/Secrets.
Das eigentlich Clevere kommt danach. Ein Fund landet nicht im Report, nur weil ein Agent ihn entdeckt hat. Jeder Kandidat muss durch ein Panel aus drei unabhängigen Prüfern — je einer für Erreichbarkeit, Impact und vorhandene Schutzmechanismen. Zwei von drei müssen ‘True Positive’ sagen, sonst fliegt der Fund raus. Und die Confidence-Angabe wird gedeckelt: Nur ein einstimmiges Votum erlaubt ‘high’.
Noch ein Detail, das mir gefällt: Diese Auszählung macht nicht das Modell selbst, sondern ein Python-Renderer. Der Report bekommt einen Stempel, der belegt, dass das Panel wirklich für jeden Fund gelaufen ist. Rigorosität, die man nachprüfen kann, statt sie glauben zu müssen.
Patches, die sich ihren Platz verdienen
Für Fixes klont sich das Plugin das Repo in einen Scratch-Ordner — dein Arbeitsverzeichnis wird nie angefasst. Ein zweiter, unabhängiger Agent prüft den Patch und lässt die Test-Suite laufen. Geschrieben wird die Patch-Datei nur, wenn er drei Dinge garantieren kann: Der Fix behebt genau diesen Fund, er baut keine neue Lücke ein, und er ändert sonst nichts am Verhalten. Angewendet wird nichts automatisch — du machst das selbst mit git apply.
Meine Einordnung
Das passt in eine Woche, in der die halbe Branche über Kill-Switches und Leitplanken diskutiert. Während OpenAI-Modelle aus Sandboxes ausbrechen, liefert Anthropic ein Werkzeug, das Verteidigern hilft — und tut das mit einer Ehrlichkeit, die selten ist: Das Plugin sagt klar, dass es keine eigene Isolation mitbringt, nichtdeterministisch ist und klassische Scanner nicht ersetzt. Kein Wundermittel also, sondern eine zusätzliche Prüfschicht mit eingebautem Misstrauen gegen die eigenen Ergebnisse. Genau so sollte KI-Sicherheit aussehen. Voraussetzung ist ein bezahlter Plan mit Claude Code ab Version 2.1.154 und aktivierten Dynamic Workflows.
Quellen: