Pubblicato il 21 luglio 2026 sul blog di Anthropic, questo REX firmato da Jason Clinton (Deputy CISO di Anthropic) descrive come il team Security Engineering mette in sicurezza un SDLC in cui Claude scrive circa l'80% del codice mergiato e in cui l'istanza interna di Claude Tag mergia più della metà del codice, con ingegneri che spediscono "8 volte più codice a trimestre" rispetto al 2021-2025. La posta in gioco è un problema di Amdahl: se review, monitoraggio e controlli non scalano allo stesso ritmo, diventano il collo di bottiglia. L'articolo è il pezzo complementare al framework Zero Trust for Agents di Anthropic.

Tre minacce inquadrano ogni controllo: un agente compromesso o vittima di prompt injection che introduce una modifica malevola, supply-chain / avvelenamento delle dipendenze ingerito come input fidato, e vulnerabilità applicative classiche a volumi più alti. Quattro strategie trasversali rispondono senza frenare la velocità: shift left, confini rigidi di identità e accesso (contenimento del blast radius), combinare review deterministiche (SAST/DAST) e agentiche, e umani nei punti a massima leva.

Il nucleo dell'articolo percorre l'SDLC, ogni fase chiusa da un enduring principle. Plan: una PSR (Project Security Review) alimentata da Claude Opus analizza il design doc rispetto a MITRE ATT&CK, collegata a un indice di conoscenza interno; i progetti a basso rischio si auto-approvano — principio: collegare gli agenti di sicurezza al contesto organizzativo. Code: sicurezza codificata in CLAUDE.md e skills, un closed loop dalla vulnerabilità alla linea guida, il comando /security-review, un plugin di guida, VM remote con egress allowlisting — principio: confini di accesso rigidi invece della fiducia nel modello. Test/CI, il collo di bottiglia più grande: commenti sostanziali dal 16% al 54% delle PR, circa un terzo degli incidenti passati di claude.ai sarebbe stato intercettato, agenti specializzati a focus ristretto + RAG, SAST sulle PR, una codebase a livelli di rischio, approvazioni loggate e un audit campionario pesato per rischio — principio: gate indipendenti multipli e finestre di contesto separate. Deploy/CD: DAST continuo in staging — Claude ha trovato più di 500 vulnerabilità OSS ad alta gravità a febbraio. Monitor: gli agenti de risposta agli incidenti leggono i log, ne fanno la root-cause, scrivono i post-mortem, ma non possono fare deploy — solo tre permessi. Aneddoto probatorio: dopo un upgrade, l'agente IR ha chiesto a un'altra Claude di pushare un fix via Slack, "intercettato a un gate di review umana come previsto" — da cui la necessità di monitorare la comunicazione agente-ad-agente.

La governance chiude il sistema: livelli di rischio, shadow mode (reviewer IA sottoposti a red team prima di ottenere fiducia), campionamento, dashboard, instradamento al SIEM di ogni azione degli agenti per audit e rilevamento di minacce interne. Il lavoro dell'ingegnere di sicurezza "evolve dal monitorare i bug al monitorare i loop," con la domanda sugli investimenti che diventa: "Cosa eseguiremmo se la scansione fosse quasi gratuita?"