Představ si, že ti AI projde celý codebase a najde bezpečnostní chyby, které unikaly expertům desítky let. Přesně tohle teď umí nový nástroj od Anthropic.
Co je Claude Code Security?
Anthropic minulý týden spustil Claude Code Security — novou funkci přímo v Claude Code, která skenuje tvůj kód a hledá bezpečnostní zranitelnosti. A nejde o další statický analyzátor, kterých už máš plný toolbox.
Hlavní rozdíl? Claude Code Security přemýšlí nad kódem jako lidský bezpečnostní researcher. Nemá přednastavená pravidla typu „hledej SQL injection pattern X". Místo toho mapuje, jak spolu jednotlivé komponenty tvé aplikace komunikují, sleduje tok dat skrz celý systém a hledá slabá místa, která běžné nástroje prostě nevidí.
Proč je to důležité pro tvůj byznys
Bezpečnostní díry v kódu nejsou jen technický problém — jsou to byznys rizika. Jeden únik dat ti může stát miliony na pokutách, ztrátu důvěry zákazníků a měsíce práce na nápravě. A tradiční bezpečnostní audit? Ten stojí desítky tisíc a trvá týdny.
Claude Code Security mění pravidla hry hned v několika ohledech:
- Rychlost: Sken celého codebase trvá minuty, ne týdny
- Hloubka: Nachází zranitelnosti, které unikají rule-based nástrojům
- Kontext: Rozumí architektuře tvé aplikace, ne jen jednotlivým řádkům kódu
- Praktičnost: Ke každé nalezené chybě navrhne konkrétní opravu
Co přesně dokáže najít?
Claude Code Security jde výrazně dál než klasické SAST nástroje:
- Chybějící validace vstupů — třeba SQL injection, kde si klasický scanner neuvědomí, že data prochází přes specifický middleware
- Obejití autentizace — sofistikované scénáře, kdy útočník může proniknout do systému přes neočekávanou kombinaci API volání
- Problémy s tokem dat — situace, kdy citlivá data unikají do logů nebo se cachují na nesprávném místě
- Cross-component zranitelnosti — chyby, které vznikají teprve interakcí dvou jinak bezpečných komponent
Čísla, která mluví za vše
Anthropic testoval Claude Code Security na reálných open-source projektech. S modelem Claude Opus 4.6 našel přes 500 zranitelností v produkčních codebasech — chyb, které tam byly desítky let, přestože je procházeli zkušení bezpečnostní experti.
A to není jen o kvantitě. Každá nalezená zranitelnost prochází vícestupňovým ověřením, kde AI znovu analyzuje výsledky a filtruje falešně pozitivní nálezy. To je přesně ten problém, který zná každý, kdo kdy pracoval s bezpečnostními scannery — stovky varování, z nichž je 90 % false positives.
Jak to funguje v praxi?
Workflow je navržený tak, aby se dal integrovat do tvého běžného procesu:
- Spustíš sken přímo v Claude Code
- AI projde celý codebase a zmapuje architekturu
- Identifikuje zranitelnosti a ohodnotí je podle závažnosti
- Vygeneruje přehled s vysvětlením každé chyby v přirozeném jazyce
- Navrhne opravu — tlačítkem „suggest fix" ti Claude připraví patch
- Ty rozhodneš — žádná automatická změna bez tvého souhlasu
Tohle je klíčový bod: Claude Code Security nic neopraví sám. Vždy je to human-in-the-loop přístup, kde AI identifikuje a navrhne, ale ty děláš finální rozhodnutí. Žádný strach z toho, že ti AI rozbije produkci.
Dopad na trh: Akcie kyberfirem klesly
Když Anthropic oznámil Claude Code Security, akcie CrowdStrike a Cloudflare spadly o ~8 %. Investoři si okamžitě uvědomili, co to znamená — pokud AI dokáže skenovat kód levněji a efektivněji než tradiční bezpečnostní firmy, celý sektor čeká transformace.
To neznamená, že tradiční cybersecurity firmy zmizí. Ale mění se poměr hodnoty: proč platit stovky tisíc za manuální audit, když AI zvládne první průchod za zlomek ceny a času?
Srovnání s tradičními nástroji
Jak si Claude Code Security stojí vedle toho, co už pravděpodobně používáš?
Klasické SAST nástroje (SonarQube, Checkmarx, Snyk Code) fungují na principu pattern matchingu. Mají databázi známých vzorců zranitelností a hledají je v tvém kódu. Funguje to spolehlivě na jednoduché případy, ale složitější chyby jim unikají. A hlavně — generují obrovské množství false positives, které tvůj tým musí ručně procházet.
Manuální penetrační testování je stále gold standard, ale má dvě zásadní nevýhody: stojí desítky až stovky tisíc korun a trvá týdny. Navíc ho obvykle děláš jednou za čtvrt roku, takže mezitím vznikají nové zranitelnosti.
Claude Code Security kombinuje výhody obou přístupů — hloubku a kontextové porozumění manuálního auditora s rychlostí a konzistencí automatizovaného nástroje. Není to náhrada za penetrační testování, ale výrazně snižuje počet chyb, které se k pentesterům vůbec dostanou.
Klíčový rozdíl je v tom, jak AI přistupuje ke kódu. Zatímco SAST hledá konkrétní vzorce, Claude Code Security buduje mentální model celé aplikace — rozumí business logice, datovým tokům i interakcím mezi komponentami. Díky tomu nachází chyby, které vznikají teprve kombinací jinak nevinně vypadajících částí kódu.
Pro koho je to dostupné?
Zatím jde o limitovaný research preview pro zákazníky s plánem Enterprise a Teams. Anthropic také nabízí zrychlený přístup pro maintainery open-source projektů zdarma — což je chytrý tah, protože open-source kód běží prakticky všude.
Pokud používáš Claude Code na Pro nebo Free plánu, zatím si musíš počkat. Ale vzhledem k tomu, jak rychle Anthropic rozšiřuje funkce z Enterprise do nižších plánů, dá se očekávat, že Claude Code Security bude brzy dostupnější.
Co to znamená pro tebe jako vývojáře?
Pokud píšeš kód a záleží ti na bezpečnosti (a mělo by), Claude Code Security mění tvůj workflow:
- Před code review — pusť AI sken a oprav zranitelnosti ještě před tím, než kód pošleš ke review
- Při onboardingu na nový projekt — rychle pochop bezpečnostní stav codebase
- Při auditu legacy kódu — najdi díry v kódu, který nikdo nechce otevírat
- V CI/CD pipeline — automatizuj bezpečnostní kontroly jako součást deploymentu
Závěr: Budoucnost je AI-first security
Claude Code Security není jen další nástroj v tvém toolboxu. Je to signál, kam se celý obor bezpečnosti ubírá — od pravidel k porozumění. Místo hledání známých vzorců AI chápe, co tvůj kód dělá, a nachází problémy, na které by žádný pattern matching nepřišel.
Pokud máš přístup k Enterprise nebo Teams plánu Claude, vyzkoušej research preview ještě dnes. A pokud ne, sleduj Anthropic blog — širší dostupnost je otázkou času.
Jedno je jisté: éra, kdy bezpečnostní audit znamenal dva týdny čekání a stoh PDF reportů, se blíží ke konci.
