Claude Security: Anthropic laat Claude je code nakijken op lekken.

Wat is Claude Security?

Anthropic omschrijft het als een functie in Claude die je codebases doorlopend in het oog houdt op beveiligingslekken, elke bevinding opvolgt tot ze opgelost is en gerichte oplossingen voorstelt die een mens nakijkt. Je vindt het in Claude zelf: er is geen aparte koppeling of eigen agent nodig.

Het verschil met klassieke scanners zit in de aanpak. Een gewone scanner zoekt naar gekende patronen, zoals een slordig opgebouwde databankvraag. Claude Security leest de code zoals een beveiligingsonderzoeker: het probeert te begrijpen hoe onderdelen samenwerken, volgt de weg die gegevens afleggen door de bestanden heen en zoekt zo ook fouten in de logica zelf, zoals een pagina die gegevens toont aan wie ze niet mag zien. Zulke fouten mist een scanner op regels vaak.

Het product heeft een korte geschiedenis, en sinds april ging het snel. Volgens Anthropic vonden duizenden organisaties er sindsdien samen meer dan een miljoen lekken mee.

1. Februari 2026Claude Code SecurityEen research preview voor een beperkte groep.
2. 30 april 2026Claude SecurityNieuwe naam en een publieke bèta voor Enterprise.
3. 21 oktober 2026Doorlopend scannenFixes opvolgen, een API, webhooks en een MCP-connector.

Hoe werkt Claude Security?

Zo werkt Claude Security

Koppelentot acht repositories per project

Scanneneerst grondig, daarna doorlopend

ControlerenClaude toetst zijn eigen bevindingen

Oplosseneen mens keurt elke fix goed

Opvolgengaat weer open als het lek terugkomt

Je maakt een project en koppelt tot acht repositories, de plaatsen waar de code van je software bewaard wordt. GitHub koppel je via een app, GitLab, Bitbucket en andere Git-servers met het adres en een toegangssleutel. Je kiest welke tak en welke mappen nagekeken worden. Omdat een project meerdere repositories kan bevatten, ziet Claude ook problemen tussen onderdelen, zoals een server die invoer vertrouwt die de app had moeten controleren.

Claude begint met een volledige scan, die van enkele minuten tot enkele uren kan duren. Daarna kijkt het wijzigingen in de code regelmatig na, vaker naarmate ze riskanter of complexer zijn. Een vast schema is er niet. In een kennisbank beschrijf je hoe je software draait en welke afspraken jullie hebben, en Claude stelt een dreigingsmodel op dat je zelf kan aanpassen. Zo slaat het risico's over die in jouw omgeving al afgedekt zijn.

Elke bevinding gaat door meerdere controles, waarbij Claude kritisch nagaat of ze klopt, voor je ze te zien krijgt. Dat moet het aantal valse meldingen beperken. De ernst, van laag tot kritiek, hangt af van hoe makkelijk het lek in jouw code te misbruiken is, niet van het soort fout. Bij elke bevinding staat wat er mis is, waar, hoe een aanval zou verlopen, waarom Claude denkt dat het klopt en hoe je het oplost.

Met de knop "Fix" open je Claude Code om dat ene lek te dichten. Niets wordt aangepast zonder dat een mens het nakijkt en goedkeurt. Komt de oplossing in de code terecht, dan zet Claude Security de bevinding vanzelf op opgelost, ook als je team het lek op een andere manier dichtte. Duikt het probleem later opnieuw op, dan gaat de bevinding weer open.

Sinds 21 oktober 2026 kan je bevindingen ook ophalen via een API, een melding laten sturen naar bijvoorbeeld Slack of Jira, en Claude Security als MCP-connector gebruiken in Claude en Claude Code. Met rollen bepaal je wie projecten mag bekijken, bevindingen mag behandelen of projecten mag aanmaken. Wat een MCP-connector is, lees je in Wat is MCP?

Wie kan het gebruiken, en wat kost het?

Claude Security zelf is voorlopig enkel voor Claude Enterprise. In april beloofde Anthropic het "binnenkort" ook voor Team en Max, maar eind oktober 2026 is dat nog niet gebeurd. Wie geen Enterprise heeft, kan wel terecht bij twee lichtere varianten in Claude Code:

Op Enterprise heb je per gebruiker een premium-plaats nodig en moet verbruik via tegoed aanstaan. Je betaalt enkel de kosten van het model, de tokens, zonder extra platformkost, en je kan een eigen bestedingslimiet instellen. Tot eind 2026 krijgen Enterprise-klanten twee maanden lang tot 25.000 dollar gratis tegoed per maand. De scans draaien onder meer op Claude Mythos, een model waartoe Anthropic de toegang normaal beperkt. Rechtstreeks gebruiken kan je het hier niet: je ziet enkel de bevindingen. Welke Claude-modellen er verder zijn, lees je in onze gids over de Claude-modellen.

Waarom komt Anthropic hier nu mee?

Omdat AI ook aanvallers sneller maakt. Volgens Anthropic zijn de huidige modellen al erg goed in het vinden van fouten in code, en wordt de volgende generatie ook beter in het zelf misbruiken ervan. "AI verkort de tijd tussen het ontdekken van een lek en het misbruiken ervan", schreef het bedrijf in april. Bij de start in februari zei Anthropic al meer dan 500 lekken gevonden te hebben in opensourcesoftware die volop gebruikt wordt, sommige al tientallen jaren onopgemerkt. Critici merkten wel op dat ze niet allemaal even ernstig waren.

Voor een kmo is de les eenvoudig: lekken worden sneller gevonden, door wie verdedigt én door wie aanvalt. Software die niemand bijwerkt, wordt sneller een risico dan vroeger.

Wat betekent dit voor je kmo?

De meeste kmo's schrijven zelf geen code, maar draaien er wel op: een website, een webshop, eigen software of koppelingen tussen pakketten. Vier dingen om mee te nemen:

• Vraag hoe je software nagekeken wordt. Wordt de code gecontroleerd op lekken, door wie en hoe vaak? En wie werkt ze bij als er een probleem opduikt? Die vragen horen in elk gesprek met een softwarebouwer: zie software laten maken: 7 vragen vooraf.
• Van wie is de code? Claude Security mag je enkel gebruiken op code die van jou of je bedrijf is. Houdt je leverancier de broncode in eigen handen, dan kan je ze niet zelf laten nakijken. Bij maatwerk van Vonkit is de broncode van jou, zoals we uitleggen op software op maat.
• Onderhoud is beveiliging. Bij WordPress-sites zit het overgrote deel van de lekken in plug-ins, en die zijn pas veilig als iemand ze bijwerkt. Lees waarom in WordPress-alternatief: sneller met een statische site, of kijk wat goed website-onderhoud inhoudt.
• Ken je verplichtingen. Valt je bedrijf onder NIS2, de Europese cyberwet die in België sinds 18 oktober 2024 geldt, dan moet je je risico's beheren, ook die bij je leveranciers. Verkoop je zelf software of toestellen met software, dan geldt de Cyber Resilience Act: sinds 11 september 2026 moet je actief misbruikte lekken melden, en vanaf 11 december 2027 gelden alle verplichtingen. Claude Security is geen bewijs dat je in orde bent, wel een hulpmiddel om lekken sneller te vinden.

Sterke punten en kanttekeningen

• Sterk: het leest in plaats van te zoeken. Door te volgen hoe gegevens door je code lopen, vindt Claude ook fouten in de logica en in de toegangsrechten, waar scanners op regels vaak overheen kijken.
• Sterk: uitleg en opvolging. Elke bevinding komt met het aanvalspad en een voorgestelde oplossing, en Claude houdt bij of het lek echt dicht is.
• Sterk: een mens beslist. Geen enkele oplossing komt in je code zonder menselijke goedkeuring.
• Kanttekening: enkel Enterprise, en nog in bèta. Voor de meeste kmo's is de plugin of /security-review in Claude Code voorlopig de realistische optie.
• Kanttekening: niet altijd hetzelfde resultaat. Anthropic zegt zelf dat twee scans van dezelfde code verschillende bevindingen kunnen opleveren, en dat Claude fouten kan maken. Kijk elke oplossing dus na, zeker voor belangrijke systemen.
• Kanttekening: je code gaat naar Anthropic. Zero Data Retention, waarbij Anthropic niets bijhoudt, is voor Claude Security niet mogelijk, en waar de code verwerkt wordt, staat nergens beschreven. Leg dat eerst voor aan wie bij jullie privacy en beveiliging opvolgt.
• Kanttekening: een aanvulling, geen vervanging. Anthropic raadt zelf aan om het naast je bestaande controles te gebruiken, zoals het nakijken van gebruikte bibliotheken en een pentest door mensen.

Hoe Vonkit helpt

Werkt je team al met Claude Enterprise, dan helpen we Claude Security inrichten: repositories koppelen, de kennisbank en het dreigingsmodel invullen en afspreken wie de bevindingen opvolgt. Meer over hoe we Claude voor bedrijven inrichten. Laat je software bouwen, dan krijg je bij ons de broncode in eigendom, met onderhoud en updates die we samen afspreken. En twijfel je hoe veilig je huidige software is, dan bekijken we dat eerlijk met je.

Veelgestelde vragen