Claude Securityが継続スキャンに。指摘の優先順位を左右するのは、チームが直す脅威モデル

Anthropicは2026年10月21日、Claude Enterprise向けにパブリックベータで提供している脆弱性診断機能「Claude Security」の新版を公開しました。これまでは誰かがスキャンを始める必要がありましたが、新版では最初に深いベースラインスキャンを行い、その後はコードの変更をリスクと複雑さに応じて定期的に調べます。修正が入ると、Claude Codeの外で直した場合でも指摘を「修正済み」にします。スキャンを回す手間は減ります。一方で、どの指摘を重く見るかは、チームが手を入れる「脅威モデル」に左右されます。

重大度は、プロジェクトの脅威モデルに照らして決まる

公式ヘルプによると、Claude Securityはコードを読んで脅威モデルを書き、各指摘の重大度をその脅威モデルに照らして判定します。ただし、コードから書いた脅威モデルは、どう配置・公開されているかや、社内で受け入れたリスクを見落とすことがあります。そのため各プロジェクトには、デプロイの方法、誰がそのコードに到達できるか、適用するセキュリティ方針を書き、構成資料を追加できる「Knowledge」タブがあります。追加した文脈は、環境側ですでに対策しているリスクを指摘から外す判断にも使われます。

書いた内容が、指摘の並びを変える

発表で紹介されたVantaのセキュリティ責任者は、外部ユーザーが実際に到達できる範囲を重視する自社のリスク方針を脅威モデルに書いた後、指摘が自社の優先順位と合うようになったと述べています。裏返すと、「対策済み」「受け入れ済み」と書いたリスクは、指摘の対象や重大度の判断から外れ得ます。脅威モデルは単なる設定項目ではなく、自社が何を危険とみなすかという判断の記録になります。

試験導入では、脅威モデルの持ち主を先に決める

そこで試験導入では、接続するリポジトリを選ぶ前に、脅威モデルの書き手と確認者を決めることを提案します。たとえば外部公開しているAPIと管理画面を1つのプロジェクトにまとめる場合（1プロジェクトに最大8リポジトリ）、開発側が構成と到達経路を書き、セキュリティ担当が「受け入れたリスク」の記述を承認する分担です。

効果は、脅威モデルを直す前後で指摘の並びを比べて確かめます。ヘルプは、同じコードでもスキャンごとに結果が変わり得るとしているため、1回の比較で結論を出さないようにします。なお、利用にはClaude Enterpriseのプレミアムシートと従量課金の有効化が必要で、データを保持しないZDR（Zero Data Retention）には対応していません。