Defending Code: uma implementação de referência para achar e corrigir vulnerabilidades com Claude

Para quem serve

Este material dirige-se a quem quer fazer com o Claude descoberta e correção autónomas de vulnerabilidades, sobretudo gente de segurança que já usa Claude Code e quer ver primeiro uma implementação de referência. Baseia-se no trabalho do autor com equipas de segurança de várias organizações. A página correspondente é https://www.anthropic.com/glasswing O repositório posiciona-se como implementação de referência, não como um produto com atualização contínua garantida.

No lado interativo oferece /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize, cobrindo orientação, varrimento, triagem e correção. Se o objetivo é primeiro aclarar o âmbito e depois decidir se age sobre um alvo, comece por /quickstart, não por um caminho autónomo que executará código alvo.

Não serve como produto oficial ainda mantido: o repositório diz que já não é mantido e não aceita contribuições. Tampouco serve executar vuln-pipeline, dnr-pipeline ou /patch sobre esses resultados sem um ambiente isolado, porque esses caminhos executam código alvo.

Concluir a primeira tentativa em 3 minutos

A entrada oficial é: abrir este repositório e executar /quickstart no Claude Code para conhecer a direção. O endereço é https://github.com/anthropics/defending-code-reference-harness As notas não dão outro instalador nem um comando de mercado; não invente um.

Pré-requisito: esta máquina já consegue executar Claude Code, e só abre este repositório de referência para orientação só de leitura. O local de instalação é abrir esse repositório como espaço de trabalho, não instalar outro pacote global. Após abrir, confirme primeiro que vê comandos slash como /quickstart.

Primeira tarefa de baixo risco: executar só /quickstart. É orientação interativa para aclarar o âmbito, não para lançar um varrimento ou uma correção contra um sistema externo. Antes de disparar, não mude o interruptor de anulação da sandbox nem arranque vuln-pipeline ou dnr-pipeline. Sinal de sucesso: o Claude Code dá notas de orientação e vê /threat-model, /vuln-scan, /triage, /patch, /customize na lista de comandos.

Se após a orientação ainda quiser um passo seguinte, prefira o /threat-model reversível para discutir o âmbito, não /patch. O repositório não escreve que ficheiros /quickstart mudaria; não aprove nenhuma alteração de ficheiro até ver um convite de escrita claro.

Casos de uso

Caso 1: orientação interativa e modelação de ameaças no Claude Code. Primeiro /quickstart para ver como o material se usa, depois /threat-model ou /vuln-scan conforme precise. As notas resumem estes comandos como orientação interativa, varrimento, triagem e correção, mas não escrevem parâmetros de cada comando passo a passo. Se um comando não aparecer, volte a https://github.com/anthropics/defending-code-reference-harness e confirme que o repositório está aberto como espaço de trabalho.

Caso 2: estudar o caminho autónomo de descoberta e correção. O repositório nomeia vuln-pipeline, dnr-pipeline e /patch sobre esses resultados. Esses caminhos executam código alvo, por isso recusam por omissão correr fora de uma sandbox gVisor salvo anulação explícita. Serve a quem já tem um ambiente isolado e quer estudar como a implementação de referência descobre e corrige automaticamente. As notas não dão um comando concreto de anulação e não garantem que os resultados possam ir a produção; não arranque até a sandbox estar pronta.

Limites de uso

Manutenção: o repositório já não é mantido e não aceita contribuições; só referência. Risco de execução: vuln-pipeline, dnr-pipeline e /patch sobre esses resultados executam código alvo e por omissão exigem uma sandbox gVisor. Caminho de instalação: o oficial só escreve abrir o repositório no Claude Code e executar /quickstart; não use um instalador que nunca foi registado. Intervalo de comandos verificável: /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize; não invente outras operações. O material é uma implementação de referência; não escreve que continuará a adaptar-se a todas as linguagens de código nem a todos os processos de organização.