Defending Code : une implémentation de référence pour trouver et corriger des vulnérabilités avec Claude

À qui cela s’adresse

Ce matériau s’adresse à qui veut faire avec Claude une découverte et une correction autonomes de vulnérabilités, surtout les personnes sécu déjà sur Claude Code qui veulent d’abord voir une implémentation de référence. Il s’appuie sur le travail de l’auteur avec les équipes sécu de plusieurs organisations. La page correspondante est https://www.anthropic.com/glasswing Le dépôt se positionne comme implémentation de référence, pas comme un produit dont la mise à jour continue est garantie.

Côté interaction il fournit /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize, couvrant orientation, scan, triage et correction. Si le but est d’abord de clarifier le périmètre, puis de décider d’agir sur une cible, commencez par /quickstart, pas un chemin autonome qui exécutera le code cible.

Il ne convient pas comme produit officiel encore maintenu : le dépôt dit qu’il n’est plus maintenu et n’accepte pas de contributions. Il ne convient pas non plus à lancer vuln-pipeline, dnr-pipeline ou /patch sur de tels résultats sans environnement isolé, car ces chemins exécutent le code cible.

Première tentative en 3 minutes

L’entrée officielle est : ouvrir ce dépôt et lancer /quickstart dans Claude Code pour connaître la direction. L’adresse est https://github.com/anthropics/defending-code-reference-harness Les notes ne donnent pas d’autre installeur ni de commande de marché ; n’en inventez pas.

Préalable : cette machine peut déjà exécuter Claude Code, et vous n’ouvrez ce dépôt de référence que pour une orientation en lecture seule. L’emplacement d’installation est d’ouvrir ce dépôt comme espace de travail, pas d’installer un autre paquet global. Après ouverture, confirmez d’abord que vous voyez des commandes slash telles que /quickstart.

Première tâche à faible risque : lancer seulement /quickstart. C’est une orientation interactive pour clarifier le périmètre, pas pour lancer un scan ou une correction contre un système externe. Avant de déclencher, ne changez pas l’interrupteur d’override du bac à sable, et ne démarrez pas vuln-pipeline ni dnr-pipeline. Signal de réussite : Claude Code donne des notes d’orientation, et vous voyez /threat-model, /vuln-scan, /triage, /patch, /customize dans la liste des commandes.

Si après l’orientation vous voulez encore une étape, préférez le /threat-model réversible pour discuter le périmètre, pas /patch. Le dépôt n’écrit pas quels fichiers /quickstart changerait ; n’approuvez aucune modification de fichier avant une invite d’écriture claire.

Cas d’usage

Cas 1 : orientation interactive et modélisation de menaces dans Claude Code. D’abord /quickstart pour voir comment le matériau s’utilise, puis /threat-model ou /vuln-scan selon besoin. Les notes résument ces commandes comme orientation interactive, scan, triage et correction, mais n’écrivent pas les paramètres de chaque commande pas à pas. Si une commande n’apparaît pas, revenez à https://github.com/anthropics/defending-code-reference-harness et confirmez que le dépôt est ouvert comme espace de travail.

Cas 2 : étudier le chemin autonome de découverte et de correction. Le dépôt nomme vuln-pipeline, dnr-pipeline, et /patch sur de tels résultats. Ces chemins exécutent le code cible, donc refusent par défaut de tourner hors d’un bac à sable gVisor sauf override explicite. Convient à qui a déjà un environnement isolé et veut étudier comment l’implémentation de référence découvre et corrige automatiquement. Les notes ne donnent pas de commande concrète d’override et ne garantissent pas que les résultats puissent passer en ligne ; ne démarrez pas avant que le bac à sable soit prêt.

Limites d’usage

Maintenance : le dépôt n’est plus maintenu et n’accepte pas de contributions ; référence seulement. Risque d’exécution : vuln-pipeline, dnr-pipeline et /patch sur de tels résultats exécutent le code cible et exigent par défaut un bac à sable gVisor. Chemin d’install : l’officiel n’écrit que d’ouvrir le dépôt dans Claude Code et lancer /quickstart ; n’utilisez pas un installeur jamais consigné. Plage de commandes vérifiable : /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize ; n’inventez pas d’autres opérations. Le matériau est une implémentation de référence ; il n’écrit pas qu’il continuera à s’adapter à toutes les langues de code ou à tous les processus d’organisation.