Defending Code: una implementación de referencia para hallar y parchear vulnerabilidades con Claude

Para quién es

Este material se dirige a quien quiere hacer con Claude descubrimiento y parcheo autónomos de vulnerabilidades, sobre todo gente de seguridad que ya usa Claude Code y quiere ver primero una implementación de referencia. Se basa en el trabajo del autor con equipos de seguridad de varias organizaciones. La página correspondiente es https://www.anthropic.com/glasswing El repositorio se posiciona como implementación de referencia, no como un producto con actualización continua garantizada.

En el lado interactivo ofrece /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize, cubriendo orientación, escaneo, triaje y parcheo. Si el objetivo es aclarar el alcance primero y luego decidir si actuar sobre un objetivo, empieza por /quickstart, no por una ruta autónoma que ejecutará código objetivo.

No encaja como producto oficial aún mantenido: el repositorio dice que ya no se mantiene y no acepta contribuciones. Tampoco encaja ejecutar vuln-pipeline, dnr-pipeline o /patch sobre esos resultados sin un entorno aislado, porque esas rutas ejecutan código objetivo.

Completar el primer intento en 3 minutos

La entrada oficial es: abrir este repositorio y ejecutar /quickstart en Claude Code para conocer la dirección. La dirección es https://github.com/anthropics/defending-code-reference-harness Las notas no dan otro instalador ni un comando de mercado; no inventes uno.

Requisito: esta máquina ya puede ejecutar Claude Code, y solo abres este repositorio de referencia para orientación de solo lectura. La ubicación de instalación es abrir ese repositorio como espacio de trabajo, no instalar otro paquete global. Tras abrir, confirma primero que ves comandos slash como /quickstart.

Primera tarea de bajo riesgo: ejecutar solo /quickstart. Es orientación interactiva para aclarar el alcance, no para lanzar un escaneo o un parche contra un sistema externo. Antes de dispararlo, no cambies el interruptor de anulación del sandbox ni arranques vuln-pipeline o dnr-pipeline. Señal de éxito: Claude Code da notas de orientación y ves /threat-model, /vuln-scan, /triage, /patch, /customize en la lista de comandos.

Si tras la orientación aún quieres un siguiente paso, prefiere el /threat-model reversible para discutir el alcance, no /patch. El repositorio no escribe qué archivos cambiaría /quickstart; no apruebes ningún cambio de archivo hasta ver una invitación de escritura clara.

Casos de uso

Caso 1: orientación interactiva y modelado de amenazas en Claude Code. Primero /quickstart para ver cómo se usa el material, luego /threat-model o /vuln-scan según haga falta. Las notas resumen estos comandos como orientación interactiva, escaneo, triaje y parcheo, pero no escriben parámetros de cada comando paso a paso. Si un comando no aparece, vuelve a https://github.com/anthropics/defending-code-reference-harness y confirma que el repositorio está abierto como espacio de trabajo.

Caso 2: estudiar la ruta autónoma de descubrimiento y parcheo. El repositorio nombra vuln-pipeline, dnr-pipeline y /patch sobre esos resultados. Esas rutas ejecutan código objetivo, así que por defecto se niegan a correr fuera de un sandbox gVisor salvo que anules con claridad. Encaja con quien ya tiene un entorno aislado y quiere estudiar cómo la implementación de referencia descubre y parchea automáticamente. Las notas no dan un comando concreto de anulación y no garantizan que los resultados puedan subir a producción; no arranques hasta que el sandbox esté listo.

Límites de uso

Mantenimiento: el repositorio ya no se mantiene y no acepta contribuciones; solo referencia. Riesgo de ejecución: vuln-pipeline, dnr-pipeline y /patch sobre esos resultados ejecutan código objetivo y por defecto exigen un sandbox gVisor. Camino de instalación: lo oficial solo escribe abrir el repositorio en Claude Code y ejecutar /quickstart; no uses un instalador que nunca se registró. Rango de comandos comprobable: /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize; no inventes otras operaciones. El material es una implementación de referencia; no escribe que seguirá adaptándose a todos los lenguajes de código ni a todos los procesos de organización.