Claude Security là tính năng giúp doanh nghiệp quét mã nguồn để tìm lỗ hổng bảo mật, theo dõi từng lỗi cho tới khi được sửa, và đề xuất bản vá để con người duyệt. Bài này giải thích ai dùng được, cách kết nối kho mã, cách đọc kết quả quét và những lưu ý về chi phí, dữ liệu.
Claude Security là gì?
Các công cụ quét bảo mật truyền thống thường dò theo bộ luật có sẵn, nên dễ bỏ sót những lỗi chỉ lộ ra khi nhiều phần của hệ thống kết hợp với nhau. Claude Security làm khác: Claude đọc mã, lần theo đường đi của dữ liệu qua nhiều file và nhiều kho mã, nhờ vậy có thể phát hiện lỗi liên quan đến nhiều thành phần.
Với mỗi lỗi tìm được, Claude Security ghi lại thành một finding, theo dõi đến khi lỗi được sửa, và gợi ý bản vá. Điểm quan trọng: bản vá luôn để con người xem xét, Claude không tự ý thay đổi mã của bạn. Các lượt quét chạy trên mô hình Claude Mythos; người dùng nhận kết quả chứ không truy cập trực tiếp mô hình này.
Điều kiện sử dụng và cách bật
Claude Security đang ở giai đoạn beta công khai, chỉ dành cho gói Enterprise. Tổ chức của bạn cần:
- Gói Claude Enterprise đang hoạt động.
- Premium seat cho từng người dùng tính năng.
- Đã bật usage credits để tính phí theo mức dùng.
Owner bật tính năng tại Organization settings → Claude Security. Chỉ quét mã mà công ty bạn sở hữu hoặc có quyền quét.
Kết nối kho mã và chạy lượt quét đầu tiên
- Kết nối nguồn mã. Với GitHub.com và GitHub Enterprise Server, Owner cài Claude GitHub App và cấp quyền cho các kho cần quét. Với nhà cung cấp Git khác như GitLab hay Bitbucket, bạn nhập địa chỉ kho và một auth token.
- Tạo project và thêm tối đa 8 kho mã. Mỗi kho được đánh dấu là in scope (được quét và báo lỗi) hoặc context-only (chỉ đọc để hiểu bối cảnh). Cả hai loại đều tính vào giới hạn 8 kho. Quản lý trong tab Resources.
- Bổ sung bối cảnh trong tab Knowledge: cách triển khai hệ thống, ai được truy cập, các rủi ro đã chấp nhận, tài liệu kiến trúc.
- Chờ lượt quét nền (baseline). Claude đọc mã, viết threat model (mô hình mối đe doạ), rồi quét sâu. Việc này có thể mất từ vài phút đến vài giờ; bạn có thể rời trang trong lúc chờ.
Sau đó, Claude Security quét liên tục các commit mới, ưu tiên theo mức rủi ro và độ phức tạp, không theo lịch cố định. Với monorepo, hãy giới hạn thư mục cần quét.
Đọc hiểu một finding
Mỗi finding có khá nhiều thông tin, trong đó đáng chú ý nhất là:
- Mức nghiêm trọng (Critical, High, Medium, Low): phản ánh khả năng bị khai thác trong chính hệ thống của bạn, dựa trên threat model, chứ không chỉ dựa vào loại lỗi.
- Loại lỗi, kèm mã CWE nếu có. Ví dụ các nhóm: injection, xác thực và phân quyền, an toàn bộ nhớ, mật mã, deserialization.
- Vị trí trong mã, trạng thái (Open hoặc Resolved), người phụ trách.
- Bằng chứng, kịch bản tấn công và lập luận của Claude, giúp bạn tự đánh giá thay vì tin mù quáng.
- Hướng dẫn sửa và lịch sử thay đổi.
Mỗi finding đều qua nhiều bước xác minh, trong đó Claude tự rà lại kết quả của mình để giảm báo động giả.
Sửa lỗi và xử lý finding
- Bấm Fix trên finding để mở Claude Code và tạo bản sửa cho đúng lỗ hổng đó. Nếu tổ chức không dùng Claude Code trên đám mây, bạn sẽ nhận một prompt để dán vào Claude Code của mình.
- Duyệt và hợp nhất bản sửa theo quy trình review thông thường của nhóm.
- Claude Security tự kiểm tra lại khi mã thay đổi và đánh dấu đã sửa. Nếu lỗi xuất hiện trở lại, finding sẽ tự mở lại.
- Với finding không đúng, bạn có thể bỏ qua (dismiss) với lý do như báo động giả, rủi ro đã chấp nhận hoặc trùng lặp, kèm ghi chú. Finding đã bỏ qua sẽ không quay lại ở các lần quét sau.
Ví dụ: Claude báo một lỗi SQL injection ở API nội bộ, nhưng API đó chỉ chạy trong mạng công ty. Thay vì chỉ bấm bỏ qua, hãy nói với Claude trong khung chat của project: “API /reports chỉ truy cập được từ mạng nội bộ, sau VPN. Hãy cập nhật threat model và đánh giá lại mức nghiêm trọng của các lỗi liên quan.” Như vậy Claude hiểu đúng môi trường của bạn cho các lần quét sau.
Claude Security còn có webhook để đẩy finding mới sang Slack hay Jira.
Chi phí và dữ liệu
- Chi phí: tính theo chi phí token trực tiếp, không có phí nền tảng, bao gồm quét, viết threat model, chat trong project và kiểm tra bản sửa. Bạn có thể đặt hạn mức chi tiêu riêng cho Claude Security và xem chi phí trong phần cài đặt của project.
- Ưu đãi ra mắt: tổ chức Enterprise đủ điều kiện có thể nhận credit khuyến mãi tới 25.000 USD mỗi tháng trong hai tháng liên tiếp, áp dụng đến 31/12/2026; credit không cộng dồn sang tháng sau. Đây là thông tin tại thời điểm viết (11/2026), có thể thay đổi. Admin xem số dư tại Organization Settings → Usage.
- Dữ liệu: Claude Security không hỗ trợ Zero Data Retention (ZDR). Nhóm cần ZDR hoặc không muốn dùng hạ tầng do Anthropic vận hành có thể cân nhắc plugin Claude Security cho Claude Code, một sản phẩm riêng dùng công nghệ tương tự.
Những điều bạn học được trong bài này
- Claude Security quét mã tìm lỗ hổng, theo dõi finding đến khi sửa xong và đề xuất bản vá cho người duyệt
- Đang beta công khai, chỉ cho Enterprise; cần premium seat và usage credits, Owner bật trong Organization settings
- Mỗi project tối đa 8 kho mã, chia thành in scope và context-only
- Mức nghiêm trọng dựa trên threat model của hệ thống bạn, không chỉ dựa vào loại lỗi
- Nút Fix mở Claude Code để tạo bản sửa; finding tự đóng khi sửa xong và tự mở lại nếu lỗi quay lại
- Tính phí theo token, không phí nền tảng; không hỗ trợ ZDR
Cần nhớ: Claude Security là trợ thủ, không thay thế người làm bảo mật. Kết quả quét có thể khác nhau giữa các lần, vì vậy hãy luôn đọc bằng chứng và lập luận của Claude, và chỉ quét mã mà công ty bạn có quyền quét.
Nguồn tham khảo: Use Claude Security – Claude Help Center
Câu hỏi thường gặp
Tôi dùng gói Pro hoặc Team, có dùng Claude Security được không?
Không. Claude Security đang beta công khai và chỉ dành cho gói Enterprise, kèm premium seat và usage credits.
Kho mã của tôi ở GitLab chứ không phải GitHub thì sao?
Vẫn dùng được. Với GitLab, Bitbucket hay máy chủ Git tự quản lý truy cập được từ internet, bạn nhập địa chỉ kho và một auth token.
Claude có tự sửa mã và đẩy lên kho không?
Không. Claude đề xuất bản vá; khi bạn bấm Fix, Claude Code tạo bản sửa để nhóm bạn xem xét theo quy trình review thông thường.
Vì sao hai lần quét cùng một đoạn mã lại cho kết quả khác nhau?
Quá trình quét không hoàn toàn cố định (non-deterministic). Đây là đặc điểm đã được Help Center nêu rõ, nên hãy xem đây là một lớp kiểm tra bổ sung chứ không phải nguồn duy nhất.
