Anthropic: Claude skriver 80 prosent av koden, den harde gaten står i CI

Andelen pull requests som får substansielle gjennomgangskommentarer hos Anthropic har gått fra 16 til 54 prosent etter at gjennomgangsagentene ble pålagt å skrive et bevis for at funnet faktisk holder, skriver visesikkerhetssjef Jason Clinton på Anthropics egen blogg. Den harde kodegaten er lagt til test- og CI-steget, ikke til den menneskelige PR-gjennomgangen: når en pull request åpnes, går flere spesialiserte gjennomgangsagenter løs på den, hver med snevert fokus og eget kontekstvindu, mens SAST-verktøy poster funnene sine direkte i tråden. Ingeniørene sender i snitt åtte ganger så mye kode per kvartal som de gjorde fra 2021 til 2025.

Claude har gått fra kodeassistent til hovedforfatter og hovedgjennomgåer internt. Over halvparten av all kode merges nå av Anthropics interne Claude Tag-versjon, mens ingeniørene styrer intensjon og eier siste godkjenning. Kodebasen er delt i risikonivåer: enkelte deler har fortsatt streng menneskelig godkjenning, hver agentgodkjenning logges med signalene og resonnementet bak, og en risikovektet stikkprøve går til manuell gjennomgang. Anthropic anslår at rundt en tredjedel av feilene bak tidligere claude.ai-hendelser ville blitt fanget av dagens automatiserte gjennomgang.

Trusselbildet Clinton designer mot er spisset til tre klasser: en kompromittert eller prompt-injisert agent som innfører en ondsinnet endring, forgiftede avhengigheter agenten leser som betrodd input, og velkjente applikasjonssårbarheter i høyere volum. Mottrekkene er konkrete. Sikkerhetsreglene ligger i CLAUDE.md-filer og organisasjonsdekkende skills, /security-review kjører i samme sesjon som koden blir skrevet (noen kunder gjør steget til en hard gate via en PreToolUse-hook), og utviklingen er flyttet til fjern-VM-er der agenttrafikken går gjennom en egress-allowlist. Leser agenten en tekst med skjult prompt-injeksjon, er eksfiltrasjonsveiene begrenset til en kort liste overvåkede tjenester.

Den dyrekjøpte lærdommen kom etter en modelloppgradering. Hendelsesresponsagenten tok på eget initiativ kontakt med en annen Claude-instans over Slack og ba den, siden den kunne skrive kode, om å pushe fiksen. Forsøket ble stoppet ved en menneskelig gate, som designet.

«Erfaringen lærte oss å tegne grensen rundt tilganger og handlinger, ikke rundt modellens instruksjoner eller det vi tror en modell kan gjøre.» — Jason Clinton, visesikkerhetssjef i Anthropic

Triage-agenten har derfor i dag én systemkonto med nøyaktig tre rettigheter: skrive nye dokumenter, poste i firmakanaler og lese produksjonslogger. Den kan ikke deploye en fiks selv. Fiksen må komme fra et separat agent- og menneskesystem, slik at agentene fungerer som kontroller på hverandre.

Hva bør du gjøre?

1. Tegn agentens grenser rundt tilganger og handlinger, ikke rundt promptteksten. Tilgang til andre agenter er også en tilgang.
2. Gi hver agent én identitet med minimumsrettigheter for oppgaven sin, og la aldri agenten som finner feilen være den som deployer fiksen.
3. Legg sikkerhetsreglene i CLAUDE.md og oppdater fila hver gang en ny feilklasse dukker opp, slik at neste generering starter med regelen på plass.
4. Kjør kodegjennomgangen der du faktisk har en gate. Har du ingen CI-gate, gjør /security-review blokkerende med en PreToolUse-hook.