Claude Security, 이제 저장소를 계속 지켜보고 고친 취약점까지 추적해요 — 4월 베타 뒤 찾은 취약점 100만 개 넘어

Anthropic이 코드 취약점 스캐너 Claude Security를 '한 번 스캔'에서 '계속 지켜보기'로 바꿨어요. 고친 항목은 자동으로 닫히고, API · MCP로 다른 도구와 이어져요. Claude Enterprise 공개 베타이고, 두 달 동안 달마다 최대 2만 5천 달러 크레딧(Claude Security 사용분에만)을 줘요.

컨텐츠랩 편집부 · 읽는 시간 3분

100만+

4월 공개 베타 이후 수천 개 조직이 Claude Security로 찾은 취약점 수 (Anthropic 발표)

핵심 3줄

연결한 저장소(GitHub · GitHub Enterprise Server · GitLab 등)를 처음 한 번 깊게 스캔한 뒤, 바뀐 코드를 위험도 · 복잡도에 따라 계속 다시 스캔해요. 사람이 스캔을 걸지 않아도 돼요.
고친 취약점은 코드 변경과 대조해 '고쳐짐'으로 자동 표시하고(Claude Code에서 고쳤든 아니든), 같은 문제가 다시 생기면 자동으로 다시 열어요. API · 웹훅 · MCP 커넥터(Claude.ai · Claude Code)도 새로 붙었어요.
Claude Enterprise 고객 대상 공개 베타예요. 조직마다 Claude Security 사용분에 쓰는 크레딧을 연속 두 달, 달마다 최대 2만 5천 달러 주고(2026년 12월 31일까지), 남은 크레딧은 다음 달로 넘어가지 않아요.

🧪 CONTENTSLAB 평지켜보세요★★★★★실전 활용도 3/5

회사 개발자 · 보안 담당

회사가 Claude Enterprise를 쓰고 있다면, 크레딧 기간(12월 31일까지) 안에 주요 저장소 몇 개를 한 프로젝트(최대 8개 저장소)로 묶어 기준 스캔을 돌리고, 지금 쓰는 스캐너가 놓친 게 있는지 비교해 볼 수 있어요.

Claude Code를 쓰는 개발자

MCP 커넥터를 붙이면 Claude Code 한 세션에서 취약점 항목을 읽고, 질문하고, 고치기를 시작하고, 해결로 표시까지 할 수 있다고 해요. 보안 티켓을 따로 열지 않고 코드 작업 흐름 안에서 처리하는 방식이에요.

작은 팀 · 1인 개발자

지금은 Enterprise 요금제에서만 열려 있어서 바로 쓰긴 어려워요. 다만 '배포 환경 · 보안 정책을 적어 주면 위협 모델을 만들어 스캔 우선순위를 정한다'는 방식은, 다른 도구로 코드 점검을 할 때도 내 서비스 설명을 먼저 적어 주는 습관으로 따라 해 볼 만해요.

$ 바로 해 보기

1. 조직 소유자가 Organization settings의 Claude Security에서 기능을 켜요(Claude Enterprise · 사용자마다 premium seat · 사용량 과금 크레딧 필요).
2. GitHub라면 Claude GitHub App을 설치하고 스캔할 저장소에 권한을 줘요. GitLab · Bitbucket 같은 다른 Git 서버는 저장소 주소와 인증 토큰으로 연결해요.
3. 프로젝트를 만들고 저장소를 최대 8개까지 연결한 뒤 기준(baseline) 스캔을 돌려요.
4. 프로젝트 지식(배포 방식 · 보안 정책)을 적어 위협 모델을 다듬고, 지출 한도를 따로 정해 두세요.
5. 그 밖의 설정은 Claude 고객센터의 'Use Claude Security' 안내를 따르세요.

CONTENTSLAB 생각 · 이렇게 써 볼 수 있을 것 같아요

회사에서 Claude Enterprise를 쓰는 개발자라면, 크레딧이 있는 12월 말까지 자주 바뀌는 저장소 하나를 걸어 두고 '고친 게 자동으로 닫히는지'부터 확인해 보면 좋을 것 같아요. 개인 · 작은 팀은 요금제가 열릴 때까지 지켜보는 게 맞아 보여요.

Anthropic이 10월 21일 Claude 리소스 글에서 코드 취약점 스캐너 Claude Security의 새 버전을 발표했어요. 4월 공개 베타가 시작된 뒤 수천 개 조직이 Claude Security로 100만 개가 넘는 취약점을 찾았다고 밝혔어요. 이번 변화의 핵심은 '누가 스캔을 시작해야 돌아가던 도구'가 저장소를 계속 지켜보는 도구로 바뀐 거예요. Claude Mythos를 포함한 Claude 모델 전체가 쓰이고, Cyber Verification Program 가입은 필요 없다고 해요.

계속 지켜보기 (Continuous monitoring)

프로젝트를 만들고 Claude GitHub 앱(GitHub Enterprise Server 포함)이나 GitLab 등 Git 서비스의 접근 토큰으로 저장소를 연결해요. 저장소마다 브랜치와 범위를 고르면, Claude가 먼저 깊은 기준 스캔(baseline scan)을 하고 그 뒤로는 바뀐 코드를 위험도와 복잡도에 따라 정기적으로 스캔해요. 한 프로젝트에 저장소를 여러 개 묶을 수 있어요(고객센터 안내 기준 최대 8개).

고친 것까지 추적

열려 있는 취약점 항목을 코드 변경과 대조해서, 수정이 반영되면 '고쳐짐'으로 표시해요. Claude Code에서 고쳤든 다른 곳에서 고쳤든 마찬가지예요. 같은 문제가 다시 나타나면 항목이 자동으로 다시 열려요.

팀이 알려 준 맥락으로 우선순위

프로젝트 지식(knowledge base)에 배포 방식, 적용되는 보안 정책 같은 맥락을 적을 수 있어요. Claude는 이걸로 고칠 수 있는 위협 모델(threat model)을 만들어 다음 스캔의 방향을 잡고, 이미 대응된 위험은 건너뛰어요. 항목마다 위협 모델 기준의 심각도와 '공격자가 이 코드에 어떻게 닿을 수 있는지' 설명이 붙고, 때로는 공격 경로 그림도 나와요.

API · 웹훅 · MCP

API: 프로젝트와 항목을 목록으로 보고 읽기, 항목 해결 · 다시 열기, 프로젝트 · 저장소 만들기와 관리. 개인 접근 토큰은 설정에서 만들고, 그 사용자가 볼 수 있는 것만 다룰 수 있어요.
웹훅: 새 항목이 생기면 바깥 시스템에 알려 줘요.
MCP 커넥터: Claude.ai와 Claude Code에서 쓸 수 있고, 한 세션 안에서 항목 검토 · 질문 · 수정 시작 · 해결 표시까지 할 수 있어요.
역할별 권한: 관리자가 누가 프로젝트를 보고, 항목을 분류하고, 프로젝트를 만들 수 있는지 정해요.

고객 이야기 (원문 인용)

IonQ의 Jon Donovan은 같은 시기에 한 전통적인 침투 테스트(pen test)가 놓친 중요한 문제를 여럿 찾았다고 했고, Vanta의 Nathan Hunstad는 다른 도구들이 못 잡은 로직 결함을 여러 개 찾았다고 했어요. Gusto의 Jake Meredith는 '한 번 스캔해 기준을 잡은 뒤, 이제는 코드가 바뀌는 대로 따라온다'고 말했어요.

누가 · 얼마에

지금은 Claude Enterprise 고객 대상 공개 베타예요. 조직마다 Claude Security 사용분에 쓰는 프로모션 크레딧을 연속 두 달, 달마다 최대 2만 5천 달러 줘요. 고객센터 안내로는 새 방식으로 만든 프로젝트에만 적용되고, 남은 크레딧은 다음 달로 넘어가지 않아요. 크레딧을 다 쓰거나 행사가 끝나면(2026년 12월 31일, UTC) 토큰 비용 그대로 청구되고, 별도 플랫폼 요금은 없다고 해요.

읽을 때 주의

'100만 개가 넘는 취약점'은 Anthropic이 밝힌 누적 숫자이고, 심각도별 내역이나 오탐(잘못 잡은 것) 비율은 글에 나와 있지 않아요. 고객 평가도 Anthropic이 고른 인용이에요.

원문 화면 · Claude 리소스 글 'Claude Security now scans continuously and tracks fixes' 첫 화면 (2026년 10월 21일)

원문 화면 · Enterprise 공개 베타 · 달마다 2만 5천 달러 크레딧 두 달(12월 31일까지) · 계속 지켜보기 설명

출처 (원문)