How Anthropic uses Claude in Cybersecurity

• Một security engineer của Anthropic mô tả Clue, một nền tảng detection and response được xây bằng Claude Code, hợp nhất năm-sáu công cụ và nhiều ngôn ngữ truy vấn mà analyst trước đây phải xoay xở cho một cuộc điều tra.
• Clue kết nối với các hệ thống nội bộ — kho dữ liệu, tin nhắn Slack và codebase — để bối cảnh hóa các cảnh báo; phần trình diễn cho thấy Claude lập kế hoạch điều tra sáu bước cho một sự kiện cấp quyền admin đáng ngờ và phát hiện một vụ privilege escalation điển hình.
• Ngoài điều tra, Claude Code còn tăng tốc cả đội: một nhân viên mới xây xong suppression engine trong một tuần thay vì một-hai tháng như dự kiến, và kỹ sư cảm thấy mình đã dịch chuyển từ người thực hành sang nhà nghiên cứu.

• Bảo mật cho Anthropic được mô tả là một biên giới mới vì không có tiền lệ cho những gì đang được xây, khiến an ninh mạng là một trong những phần thú vị nhất của công ty.
• Vấn đề cốt lõi là công cụ không khớp nhu cầu: trước Clue, điều tra một sự kiện bảo mật phải nhảy giữa năm-sáu công cụ và chạy ba-bốn ngôn ngữ truy vấn trên nhiều database, mất từ vài giờ đến vài ngày cho một cuộc điều tra đơn giản.
• Clue là nền tảng detection and response xây bằng Claude Code, kết nối hệ thống nội bộ qua tool use, truy vấn kho dữ liệu cùng tri thức nội bộ như tin nhắn Slack và codebase — mảnh ghép còn thiếu để bối cảnh hóa cảnh báo.
• Một cuộc điều tra bắt đầu bằng câu hỏi ngôn ngữ tự nhiên (ví dụ một developer tự cấp quyền admin — có được phép không, có lộ credential không, sau đó họ làm gì), rồi Claude tạo kế hoạch nhiều bước và phóng các truy vấn.
• Trong demo dữ liệu mẫu, Claude gắn cờ một vụ privilege escalation điển hình, truy nguồn IP về một data center ở Nga bị VirusTotal đánh dấu độc hại, kết luận sự kiện bị cô lập và chỉ ra các lỗ hổng security posture kèm việc cần làm sau.
• Nền tảng giúp đội xử lý lượng dữ liệu và cảnh báo khổng lồ rồi chỉ nâng lên những gì con người thực sự cần xem, kèm bản tóm tắt điều tra cuối cùng.
• Claude Code rút ngắn thời gian giao hàng đáng kể: dự án suppression engine Q4 ước tính một-hai tháng được một nhân viên mới xây trong một tuần, một phần vì Claude Code giải thích cách hệ thống được dựng.
• Kỹ sư xem Claude như công cụ trao quyền tự chủ cho nhân viên mới thay vì ném họ vào chỗ nước sâu, và cho phép dịch chuyển từ người thực hành sang nhà nghiên cứu.

• detection and response platform — nền tảng phát hiện và phản ứng sự cố bảo mật
• Clue — nền tảng detection and response nội bộ của Anthropic, xây bằng Claude Code
• privilege escalation — leo thang đặc quyền (chiếm quyền cao hơn mức được phép)
• tool use — khả năng Claude gọi công cụ/hệ thống ngoài để truy vấn dữ liệu
• credential compromise — lộ/bị lạm dụng thông tin đăng nhập
• VirusTotal — dịch vụ tình báo mối đe dọa để kiểm tra IP/file/domain độc hại
• suppression engine — bộ máy giảm nhiễu cảnh báo
• security posture — trạng thái bảo mật tổng thể của hệ thống

An ninh mạng — một biên giới mới

Theo security engineer này, an ninh mạng tại Anthropic là một trong những phần thú vị nhất công ty vì không có tiền lệ cho những gì đang được xây, nên việc bảo vệ nó cũng là một biên giới mới. Vấn đề luôn ám ảnh anh là: dù có nhiều công cụ, phần lớn không khớp với công việc thực tế của các analyst và investigator. Trước đây, điều tra một sự kiện bảo mật phải nhảy giữa năm-sáu công cụ khác nhau, chạy ba-bốn ngôn ngữ truy vấn trên nhiều database — một cuộc điều tra đơn giản mất từ vài giờ đến vài ngày. Đó là lý do Clue ra đời.

Clue — nền tảng detection and response

Clue là nền tảng detection and response được xây bằng Claude Code. Sức mạnh của nó đến từ việc kết nối với hệ thống nội bộ: qua tool use, nó truy vấn được kho dữ liệu, đồng thời truy vấn tri thức nội bộ của công ty như tin nhắn Slack và codebase. Đây chính là mảnh ghép còn thiếu giúp bối cảnh hóa cảnh báo cho môi trường cụ thể. (Lưu ý: dữ liệu trong demo chỉ là tập mẫu, không phải thông tin nội bộ thật của Anthropic.)

Quy trình một cuộc điều tra

Cuộc điều tra bắt đầu bằng một câu hỏi ngôn ngữ tự nhiên, ví dụ: "Một developer vừa tự cấp cho mình quyền admin. Việc này có được phép không? Hãy kiểm tra xem có lộ credential không và sau đó họ đã làm gì?" Claude lập một kế hoạch gồm sáu bước, rồi phóng hàng loạt truy vấn để thu thập thông tin. Sau khi tổng hợp, nó nhận định đây trông giống một vụ privilege escalation điển hình và đưa ra lý do. Tiếp tục truy vấn, nó phát hiện IP nguồn thuộc một data center ở Nga và bị VirusTotal đánh dấu độc hại. Kết luận: sự kiện này dường như bị cô lập, nhưng vẫn lộ ra một số lỗ hổng trong security posture của hệ thống, kèm các hành động cần làm sau (after-action items). Cuối cùng, Claude tạo bản tóm tắt điều tra ghi lại các bước đã thực hiện và phát hiện. Năng lực này cho phép đội xử lý lượng dữ liệu và cảnh báo khổng lồ rồi chỉ nâng lên những gì con người thực sự cần xem.

Tác động lên năng suất và vai trò

Claude Code còn rút ngắn đáng kể thời gian giao hàng. Khi lập kế hoạch Q4, kỹ sư dự kiến suppression engine mất ít nhất một-hai tháng, nhưng một nhân viên mới đã xây xong trong một tuần — phần lớn nhờ Claude Code giải thích được hệ thống được dựng và vận hành ra sao. Anh cảm thấy mình đang trao cho người mới một công cụ mang lại sự tự chủ thay vì ném họ vào chỗ nước sâu ngay lập tức.

Với bản thân, anh đang xây những công cụ mình từng ước có, và nhờ đó dịch chuyển từ vai trò người thực hành sang nhà nghiên cứu — thử nghiệm những cách xử lý lượng dữ liệu khổng lồ và có tầm nhìn vào hệ thống mà trước đây nằm ngoài tầm với.