claude.com · 安全
Anthropic 分享用 Claude Code 构建威胁检测平台的经验
Anthropic 网络安全团队利用 Claude Code 构建了一套威胁检测平台，用于自动化分析安全日志、识别潜在攻击模式并加速事件响应。该平台将 Claude 的代码生成与安全分析能力结合，使团队能够快速开发定制化检测规则，减少人工排查时间。文章详细介绍了从需求分析到系统部署的工程实践，包括如何设计提示词、处理误报以及将 AI 集成到现有安全工具链中。这一案例展示了大型语言模型在网络安全领域的实际应用价值。
- 域名
claude.com- 评分
- 4 · 重要更新
- 发布
- 2026-05-12
导读
这篇文章讲了什么
- Anthropic 防御性安全工程团队 Detection Platform Engineering 用 Claude Code 自建了威胁检测平台 CLUE，原型一天内跑出第一版，设计与实现一周内完成
- CLUE 分 CLUE Triage 与 CLUE Investigate 两部分，前者在分析师看到告警前先做分诊与置信度评分，后者支持以自然语言查询全部安全日志
- 核心设计是让 Claude 通过 tool use 接入 Slack、内部文档、代码仓库与数据仓库，把外部安全平台拿不到的 internal context 接进调查链路
- 引入 CLUE Triage 后告警误报率从约三分之一降至 7%，过去无人力处理的低置信度信号也被批处理纳入分诊
- 30 天用量统计：CLUE 自动化约 1.2 万次查询、2.7 万次工具调用，相当于 1870 个人时、合 234 个 person-day 的人工工作
具体怎么实现
CLUE Triage 在告警进入分析师视野前先跑一轮：Claude 调用工具把告警与跨系统上下文拼起来，给出 false positive、true positive、malicious、expected behavior 四类判断和置信度。CLUE Investigate 走 agentic loop，orchestrator 把请求拆成子任务，多个 sub-agent 并行执行 SQL 查询、汇总结果、生成 investigation summary，原本数小时的关联工作压到三到四分钟，单次会话平均 25 次工具调用、近 11 次查询。团队负责人 Jackie Bow 援引 AI 研究中的 bitter lesson，主张给 Claude 划定可用工具与数据边界、把调查策略留给模型自己决定，下一步把 CLUE 推向主动 hunting 与跨会话经验积累。