Один Claude пишет, другой проверяет: в Claude Code появился поиск уязвимостей в реальном времени

Anthropic выпустила для Claude Code плагин security-guidance — он заставляет агента проверять собственный код на уязвимости и исправлять их в той же сессии, до того как изменения уйдут на общую проверку в PR. Плагин доступен на всех тарифах, ставится одной командой из официального маркетплейса и после установки работает в фоне без отдельных вызовов.

Главное — Anthropic явно не доверила ревью тому же Claude, который только что написал код. Проверку запускает отдельный экземпляр модели с чистым контекстом и инструкцией искать только проблемы — без привязанности к исходному решению. То есть это вшито в архитектуру плагина, а не оставлено на совесть пользователя.

Уровней ревью три, и они работают на разной глубине. Самый быстрый — поиск по списку известных опасных конструкций сразу после записи файла: ловит eval, pickle, innerHTML, document.write и правки в .github/workflows/, модель здесь вообще не задействована и токены не тратятся. Второй уровень включается в конце каждого ответа Claude: плагин собирает все изменения, которые тот сделал за этот шаг, и отправляет на проверку отдельному экземпляру модели в фоне. Третий — самый глубокий: при каждом git commit и git push, который делает сам Claude через терминал, запускается углубленная проверка, которая заглядывает и в соседние файлы, чтобы понять, опасна находка в этом проекте или это ложное срабатывание.

По умолчанию для второго и третьего уровней используется Claude Opus 4.7. Важная оговорка: плагин не блокирует ни запись, ни коммит — он только отправляет писателю-Claude текстовые предупреждения, которые тот учитывает в следующем шаге. Anthropic прямо называет это одним слоем многослойной защиты и предлагает рассматривать его как дополнение к Code Review при пул-реквесте и к существующим сканерам безопасности при сборке проекта, а не как замену. Ценность не в полноте, а в том, что часть уязвимостей теперь ловится до того, как код вообще покинет редактор.

P.S. Поддержать меня можно подпиской на канал «сбежавшая нейросеть«, где я рассказываю про ИИ с творческой стороны.