Антропик выпустили плагин по безопасности: security-guidance

Он заставляет Claude проверять собственные изменения кода на наличие распространённых уязвимостей в процессе работы и сразу устранять обнаруженные проблемы в той же сессии.

Он работает через хуки и выполняет проверку кода на трёх уровнях:

- При изменении файлов: ищет потенциально опасные паттерны, например, часто неправильно используемые небезопасные библиотеки.
- После каждого шага модели: анализирует весь diff, чтобы выявлять более сложные и менее очевидные проблемы безопасности.
- При создании коммитов: изучает окружающий кодовый контекст для проверки и подтверждения обнаруженных уязвимостей.

Антропик:

Мы активно используем этот плагин внутри Anthropic.

По результатам внутреннего внедрения и тестирования мы наблюдаем снижение количества связанных с безопасностью замечаний в PR-ax, созданных с использованием плагина, на 30–40%.

Плагин выступает в роли лёгкого первого этапа проверки, помогая выявлять проблемы до проведения полноценного код-ревью.

Вы можете добавить специфичные для вашей организации правила в файл claude-security-guidance.md. Разместить его в репозитории или распространить через MDM.

Плагин будет применять ваши политики безопасности наряду со встроенными проверками.

Доступно для всех пользователей Claude Code. Установить можно из маркетплейса плагинов (/plugins).

После установки плагин работает автоматически. Ничего дополнительно запускать не нужно и никаких отдельных команд запоминать не требуется. 🍻

Совет для Codex Pro: превратите Codex в ресёрч-инженера.

Берёте любую новую статью про агентные системы и:

Спрашиваете: «Как это будет работать в Codex?»
Переходите в режим /goal и ставите цель - реализовать это в своей локальной конфигурации

Сейчас выходит целая волна исследований по harness engineering: skills, memory, eval loops, tool use, scaffolds, feedback для агентов.

Такой воркфлоу позволяет переносить эти идеи прямо в вашу рабочую среду Codex, а не просто сохранять статьи в закладки.

SkillOpt от Microsoft отличный пример. Он рассматривает скиллы агента как обучаемое внешнее состояние: запускается rollout, скилл редактируется, валидируется, и сохраняются только те изменения, которые действительно улучшают результат.

В статье SkillOpt улучшил GPT-5.5 внутри harness-среды в стиле Codex на +24.8 пункта по сравнению с baseline без скиллов.

Именно этот цикл уже можно реализовать сегодня: ресёрч статья → цель для Codex → локальный апгрейд агента

⌨️⌨️⌨️

Microsoft открыла исходный код Webright. Это скилл для ИИ-агентов, позволяющий управлять браузерами.

Фишка в том, что внутри он использует Playwright, генерирует код на лету, а производительность просто бешеная. 🧑‍🍳