Quand Anthropic a annoncé Claude Code Security le 20 février, la réaction immédiate a été boursière. En effet, CrowdStrike a perdu 9%, Zscaler et Okta ont plongé, et 15 milliards se sont évaporés en une seule séance. Mais derrière la panique de Wall Street, il y a un outil concret dont les capacités méritent qu'on s'y attarde franchement.
Que fait vraiment Claude Code Security
Claude Code Security est une fonctionnalité intégrée à Claude Code, l'environnement de développement d'Anthropic. Son principe ? Scanner un projet entier pour détecter des vulnérabilités, puis proposer des correctifs ciblés avec un score de confiance et de sévérité pour chaque faille identifiée. Jusque-là, rien de révolutionnaire, des outils comme Snyk, SonarQube ou Veracode font ça depuis des années.
La différence tient dans l'approche. Les scanners traditionnels (SAST/DAST) fonctionnent par règles, d'abord ils cherchent des patterns connus, des signatures de failles répertoriées.
Claude Code Security, lui, raisonne sur le code. Construit sur le modèle Opus 4.6, il comprend comment les composants interagissent entre eux, suit le parcours des données à travers l'application et repère des vulnérabilités complexes que les outils basés sur des règles laissent passer. En gros, il lit le code comme le ferait un chercheur en sécurité humain, sauf qu'il le fait sur des millions de lignes en quelques minutes.
Des résultats déjà concrets
Anthropic affirme que l'outil a déjà identifié des centaines de vulnérabilités jusqu'alors inconnues dans des projets open source. Un chiffre qui, s'il est vérifié, placerait Claude Code Security non pas comme un outils marketing mais comme un vrai concurrent des audits de sécurité manuels qui coûtent des dizaines de milliers d'euros par mission.
Il est important de souligner qu'à ce stade, aucun correctif n'est appliqué automatiquement. L'outil identifie les problèmes et suggère des solutions, mais le développeur garde toujours la main sur son code. Anthropic a visiblement retenu la leçon des déploiements automatisés qui tournent mal, en cybersécurité, un faux positif corrigé sans supervision peut casser une application entière.
Pourquoi le secteur panique
Ce qui inquiète les acteurs historiques, ce n'est pas tant l'outil en lui-même, pour l'instant classé comme une « fonctionnalité de recherche », mais bien le signal qu'il envoie au secteur. Anthropic intègre la cybersécurité applicative directement dans son offre existante, sans surcoût dédié. Pour les éditeurs qui facturent leurs scanners plusieurs dizaines de milliers d'euros par an, le modèle économique est directement menacé.
La montée en puissance de Claude face à ChatGPT et Gemini prend ici une dimension très concrète, Anthropic ne se contente plus de rivaliser sur le chat et la génération de code, l'entreprise attaque verticalement des marchés spécialisés. La cybersécurité applicative n'est probablement que le début de cet ère, mais cela reste une bonne chose, rendant ainsi la sécurité accessible pour tous, si les pontes de l'industrie y perdent, ce n'est pas le cas des internautes et des users.
Les analystes tempèrent toutefois la panique. L'IA va mettre la pression sur les outils AppSec traditionnels, mais les grands éditeurs comme CrowdStrike ou Palo Alto opèrent sur des segments bien plus larges, détection d'intrusion, protection endpoint, gestion d'identités, que Claude Code Security ne couvre pas (encore).