Claude Security 공개 베타, 기업 코드 보안에 AI를 붙이다

이 제품군은 앞서 Claude Code Security라는 이름으로 등장했다. Anthropic은 2026년 2월 20일 Claude Code Security의 제한적 연구 프리뷰를 발표하면서, 코드베이스의 보안 취약점을 스캔하고 인간 검토를 위한 표적 패치 제안을 제공한다고 설명했다. 이후 보도에서는 현재의 Claude Security 공개 베타가 기존 Claude Code Security에서 이어진 제품이며, 연구 프리뷰 단계에서 테스트됐다고 전했다.

코드 저장소를 어떻게 스캔하나

Claude Security의 흐름은 크게 네 단계로 볼 수 있다.

1. 스캔 범위를 고른다. SecurityWeek에 따르면 Claude Security는 Claude.ai 사이드바나 claude.ai/security에서 접근할 수 있고, 사용자는 저장소 전체, 특정 디렉터리, 브랜치를 선택해 스캔을 시작할 수 있다. 같은 보도는 별도 API 통합이나 커스텀 에이전트 구축이 필요 없다고 전했다.
2. 코드 맥락을 분석한다. Cybersecurity News는 Claude Security가 Opus 4.7을 사용해 코드베이스 전반에 대한 엔드투엔드 보안 분석을 수행한다고 보도했다. Economic Times는 이 도구가 보안 연구원처럼 코드를 추론하고, 데이터 흐름을 추적하며, 컴포넌트 간 상호작용을 매핑한다고 설명했다.
3. 취약점 후보를 찾고 검증한다. Cybersecurity News에 따르면 이 플랫폼은 취약점을 스캔한 뒤 각 발견 사항을 검증해 오탐을 줄이려 한다. SecurityWeek도 Claude Security가 취약점을 찾고 그 결과를 설명한다고 보도했다.
4. 수정 초안을 만든다. 공개 베타 보도는 Claude Security가 개발자가 검토하고 승인할 수 있는 제안 패치를 생성한다고 설명한다. Anthropic의 초기 Claude Code Security 설명 역시 패치 제안이 인간 검토 과정을 거쳐야 한다는 점을 강조했다.

즉, Claude Security는 취약점 발견, 설명, 패치 초안을 한 흐름에 묶는다. 하지만 그 패치를 실제로 받아들일지, 어떤 방식으로 수정해 배포할지는 개발자와 보안팀이 결정해야 한다.

기존 보안 스캐너와 다른 점

Claude Security가 내세우는 차별점은 더 넓은 코드 맥락을 보려 한다는 점이다. 단순히 한 파일이나 정해진 패턴만 보고 경고를 띄우는 방식이 아니라, 코드베이스 전반에서 데이터가 어떻게 이동하는지 추적하려는 접근에 가깝다.

OpenTools는 Claude Security가 전체 코드베이스에 걸쳐 데이터 흐름을 추적해 기존 도구가 놓칠 수 있는 취약점을 찾는다고 보도했다. Economic Times도 Claude Opus 4.7이 데이터 흐름을 추적하고 컴포넌트 간 상호작용을 매핑하며, 인간 보안 연구원과 비슷한 방식으로 코드를 추론한다고 전했다.

다만 이것이 곧바로 공개 검증된 성능 우위를 뜻하지는 않는다. 현재 제공된 공개 자료에서는 독립 제3자가 측정한 정확도, 재현율, 오탐률 벤치마크를 확인하기 어렵다. 공개적으로 확인되는 내용은 발견 사항을 검증해 오탐을 줄이려 하고, 인간 검토용 패치 제안을 생성한다는 수준이다.

기업 보안팀이 얻을 수 있는 것

기업 입장에서 Claude Security의 가치는 세 가지로 정리된다.

첫째, 도입 장벽을 낮춘다. Cybersecurity News는 Claude Security가 AI 기반 취약점 탐지를 운영 코드베이스로 가져오면서도 커스텀 도구나 API 통합이 필요 없다고 보도했다. SecurityWeek 역시 API 통합이나 커스텀 에이전트 구축이 필요 없다고 전했다.

둘째, 경고에서 수정 초안까지 이어준다. 여러 보도는 Claude Security가 취약점만 찾는 것이 아니라 패치 또는 수정 제안을 만들고, 이를 개발자가 검토한 뒤 배포할 수 있다고 설명한다.

셋째, 복잡한 코드 맥락을 다루려 한다. 관련 보도는 이 도구가 데이터 흐름을 추적하고 컴포넌트 상호작용을 이해하며, 기존 방식이 놓칠 수 있는 문제를 찾으려 한다고 강조한다. Economic Times는 연구 프리뷰 단계에서 수백 개 조직이 이 도구를 사용해 기존 도구가 수년간 발견하지 못한 버그를 찾아냈다고 보도했다. 다만 이는 제품 사용 사례에 관한 공개 보도이지, 독립적인 성능 평가 결과로 보기는 어렵다.

누가 쓸 수 있고, 어떻게 시험 도입할까

현재 공개 보도 기준으로 Claude Security 공개 베타는 주로 Claude Enterprise 고객에게 제공된다. Economic Times는 이 제품이 전 세계 Claude Enterprise 고객에게 출시됐으며, Team 및 Max 구독자 접근은 이후 열릴 예정이라고 보도했다.

기업이 시험 도입을 검토한다면 세 가지를 먼저 정하는 편이 안전하다. 코드 저장소 접근 권한을 어떻게 부여할지, 스캔 범위를 저장소·디렉터리·브랜치 중 어디까지로 제한할지, AI가 만든 패치 제안을 누가 최종 검토할지다. 보도에 따르면 Claude Security는 저장소, 디렉터리, 브랜치 단위로 스캔 범위를 고를 수 있고, 패치 제안은 개발자의 검토와 승인을 거치도록 설계돼 있다.

운영 코드 전체를 처음부터 맡기기보다는, 핵심 저장소나 특정 브랜치부터 작게 시작해 오탐, 누락 가능성, 패치 품질을 기존 보안 절차와 비교하는 방식이 현실적이다.

사용 경계: 보조 레이어이지 최종 판정자는 아니다

Claude Security는 DevSecOps, 즉 개발·보안·운영을 함께 묶는 소프트웨어 전달 흐름 안에서 AI 보조 애플리케이션 보안 감사 레이어로 쓰는 편이 자연스럽다. 후보 취약점, 설명, 패치 초안을 제공할 수는 있지만, 공개 자료는 이 도구가 인간 코드 리뷰나 기존 보안 스캔, 배포 승인 절차를 대체한다고 보여주지는 않는다.

따라서 더 안정적인 도입 방식은 작은 범위에서 먼저 스캔하고, 결과를 기존 보안 도구와 인간 리뷰로 교차 확인하는 것이다. Anthropic과 관련 보도가 강조하는 핵심도 전통적 방법이 놓칠 수 있는 문제를 방어자가 더 잘 찾도록 돕는 것이지, 기존 보안 프로세스를 통째로 없애겠다는 선언은 아니다.

결국 Claude Security 공개 베타의 의미는 Anthropic이 대규모 언어 모델의 코드 이해 능력을 기업 보안팀이 바로 사용할 수 있는 방어형 제품으로 포장했다는 데 있다. 취약점 파악과 수정 제안이 개발 흐름에 더 빨리 들어오게 만들 가능성은 있지만, 독립 성능 기준이 부족한 단계에서는 사람 중심의 보안 검토를 보조하는 도구로 보는 것이 가장 현실적이다.