Claude Security 연속 스캔 공개 베타 — 코드베이스를 24시간 지켜보는 AI 보안 감시자

취약점 스캐너가 "한 번 찍고 잊는" 도구였던 시절이 있었다. 주간 스캔, 릴리스 전 검사, 또는 CI에서 한 번 통과하면 배포. 하지만 코드는 매일 바뀐다. Claude Security는 다른 접근을 택했다.

Anthropic은 2026년 10월 21일 Claude Security의 공개 베타를 Claude Enterprise 고객에게 열었다. 핵심 키워드는 두 가지다: 연속(Continuous) 과 추적(Tracking).

연속 스캔: 코드가 바뀌면 바로 다시 분석한다

기존 보안 스캐너는 대부분 일정 주기나 수동 트리거로 작동한다. CI 파이프라인에서 PR마다 검사하는 방식도 있지만, 그 사이 머지된 코드나 의존성 업데이트는 사각지대가 된다.

Claude Security는 저장소를 지속적으로 모니터링한다. 코드가 변경되면 해당 변경분과 영향을 받는 주변 코드까지 재분석한다. 개발자가 "이번 PR은 보안 문제없음"이라고 확인받은 뒤 다른 PR이 머지되어 새로운 위협이 생겨도 자동으로 감지된다.

자동 수정 추적: 취약점은 수정될 때까지 살아있다

발견된 취약점이 어떻게 되었는지 추적하는 것은 생각보다 어렵다. Jira 티켓을 만들고, 개발자가 수정하고, 누군가가 닫아야 한다. 중간에 놓치는 경우가 많다.

Claude Security는 자동 수정 추적(Automatic Fix Tracking) 을 제공한다. 발견된 취약점이 코드에서 제거됐는지 자동으로 확인하고, 완전히 패치되기 전까지 열린 상태로 유지된다. 이 추적은 저장소의 커밋 히스토리와 연동돼 "어떤 커밋에서 수정됐는가"까지 기록된다.

팀 위협 모델: 우리 코드의 맥락을 이해한다

일반적인 보안 스캐너는 코드 패턴을 범용 규칙에 대조한다. 문제는 우리 팀의 기술 스택, 주요 공격 표면, 비즈니스 컨텍스트를 모른다는 점이다.

Claude Security는 팀 정보 기반 위협 모델(Team-informed Threat Models) 을 적용한다. 조직의 인프라 구성, 사용 중인 서비스, 과거 취약점 패턴을 반영해 위협 우선순위를 조정한다. "우리 시스템에서 실제로 위험한 취약점"과 "이론상 취약하지만 실제로는 거의 발생하지 않는 것"을 구분하는 데 도움을 준다.

API·MCP 통합: 기존 워크플로우에 끼워 넣는다

새로운 보안 도구의 최대 걸림돌은 "기존 개발 프로세스를 바꿔야 한다"는 점이다. Claude Security는 다른 방향을 선택했다.

API와 MCP(Model Context Protocol) 통합을 통해 기존 도구와 연결할 수 있다. Jira, GitHub Issues, Slack 알림, CI/CD 파이프라인과 연계해 보안 이슈를 개발자가 이미 보고 있는 화면에 직접 보여준다. 별도의 대시보드를 새로 열 이유를 줄이는 것이다.

요금과 접근 조건

Claude Security의 공개 베타는 Claude Enterprise 플랜에 포함된다. 사용량은 직접 토큰 비용(Direct token cost) 으로 청구되며 별도 플랫폼 요금은 없다. 2026년 12월 31일까지 런치 크레딧 혜택이 적용된다.

중요한 범위 제한이 있다: 본인 또는 소속 조직이 소유하고 스캔 권한을 가진 코드에만 적용할 수 있다. 오픈소스 저장소나 제3자 코드에 무단으로 사용하는 것은 이용 약관에 위배된다.

에듀테크 관점에서 본 Claude Security

교육 기술 기업은 학생 데이터와 개인정보를 다루는 만큼 보안 규정 준수(compliance) 부담이 크다. 기존 방식은 분기별 외부 감사나 릴리스 전 단발성 스캔이 전부인 경우가 많다.

연속 스캔은 "보안은 특정 시점에 한 번 확인하는 것"이라는 관행을 바꾼다. 학생 정보가 담긴 코드베이스가 새 기능이 추가될 때마다 자동으로 재검사되고, 취약점이 수정됐는지 추적된다면 감사 보고서 작성 자체가 크게 간편해진다.

소규모 에듀테크 팀에게 별도 보안 인력을 두는 것은 현실적으로 어렵다. Claude Security가 그 공백을 어느 정도 채울 수 있는지, 베타 결과가 주목된다.

Source: