Claude Security est désormais un plugin de Claude Code (en béta)

Anthropic a ouvert ce 23 juillet la bêta publique de Claude Security, un plugin officiel pour Claude Code. On peut lancer un scan de sécurité depuis l’invite, sans quitter l’éditeur.

---

À retenir

• Bêta publique ouverte ce 23 juillet 2026 via le marketplace de Claude Code.
• Exécution locale qui préserve la confidentialité du code source.
• Analyse multi-agents combinant raisonnement sémantique et vérifications croisées.
• Détection des failles critiques (injections SQL, XSS, désérialisation, etc.) et génération de correctifs.
• Protection en trois couches : édition, post-interaction IA, commit.
• Nécessite Claude Code v2.1.154+, Python 3.9.6+ et un plan payant.

---

Ce lancement suit une logique de sécurité « shift-left ». L’audit de code quitte les tableaux de bord centralisés pour arriver directement dans le terminal du développeur. Le but est simple : réduire le temps entre l’apparition d’une faille et sa correction, sans faire passer la propriété intellectuelle par des services cloud tiers.

Des agents spécialisés pour une analyse digne d’un expert humain

Contrairement aux scanners statiques classiques, le plugin ne se contente pas d’aligner des règles. Il fait travailler plusieurs agents IA ensemble pour cartographier l’architecture, suivre les flux de données et modéliser des menaces plus fines.

Un raisonnement sémantique au service de l’audit

Avec les modèles Claude 3.5 Sonnet ou Claude 4.7 Opus, l’outil dépasse la simple reconnaissance de motifs. Il comprend la logique métier et repère des vulnérabilités complexes comme les contournements d’authentification, les IDOR ou les désérialisations non sécurisées.

Le plugin ne se limite pas à une analyse lexicale.
Documentation technique du plugin.

Vérification croisée pour limiter les faux positifs

Chaque faille détectée est relue par un agent de revue indépendant avant d’être signalée. Ce contrôle croisé réduit le bruit qui encombre d’ordinaire les rapports d’analyse statique.

Les équipes observent une baisse de 30 à 40 % des allers-retours.
Chiffres communiqués par l’éditeur.

Un filet de sécurité à trois étages dans le terminal

L’originalité du plugin tient aussi à sa granularité. Il intervient à trois moments du développement, de la frappe jusqu’au commit final.

Première couche : alerte en temps réel lors de l’édition

Avec l’extension complémentaire Security Guidance, une couche légère de reconnaissance de formes s’active à chaque sauvegarde. L’usage de fonctions dangereuses comme eval() ou exec(), ou la présence d’un secret en clair, déclenche immédiatement une notification.

Deuxième couche : revue des diffs après chaque interaction IA

Au terme d’un échange (« tour ») avec Claude Code, les modifications apportées au code sont passées au crible. Toute régression de sécurité introduite par l’IA est repérée tout de suite, ce qui évite de laisser s’accumuler des erreurs invisibles pendant les phases de génération assistée.

Troisième couche : scan complet au commit, avec correctifs intégrés

Au moment du commit, l’audit global se lance automatiquement. Le rapport produit propose des patches correctifs que le développeur peut valider et appliquer en un seul geste. Cette capacité d’auto-réparation transforme le scanner en assistant de correction et évite de nombreux allers-retours de revue.

Des exigences techniques qui posent question

Si la promesse est séduisante, les prérequis méritent un coup d’œil. Le plugin exige Python 3.9.6 ou supérieur, un système Git fonctionnel et un plan payant capable d’absorber la consommation de jetons. Chaque scan, surtout les plus poussés, pioche dans les limites du forfait, ce qui peut vite alourdir la facture pour les équipes qui lancent l’analyse trop souvent. L’exécution locale reste un vrai atout pour les structures qui hébergent du code sensible et ne veulent pas le voir passer par un cloud extérieur. En contrepartie, il faut garder une configuration à jour, ce qui peut freiner les environnements ultra-verrouillés.

Anthropic mise sur un usage quotidien, pas sur un outil qu’on ouvre une fois de temps en temps. Les premiers retours de la communauté open source sont encourageants, mais le coût en jetons et les gains mesurables devront aussi convaincre les directions informatiques.