2026 年 1 月中旬，Claude Code 的 release notes 出現兩項資安取向的功能：/security-review 指令，以及 GitHub Actions 整合。同一時期的更新也記錄了 Claude Cowork 研究預覽擴及 Pro 方案。
兩項功能，一個方向
從分類與命名可以看出意圖：
- /security-review：把安全審查變成 coding agent 內建的一個動作，寫完程式碼的同一個環境裡直接執行審查
- GitHub Actions 整合：讓這套能力走進 CI pipeline，審查不再依賴開發者記得手動執行
兩者合起來指向同一件事：安全審查從獨立的關卡，變成開發流程內生的步驟。
安全審查為何走進 coding agent
軟體安全的老難題是審查永遠排在最後：程式碼寫完、功能驗完，安全檢查才登場，發現問題時修改成本已經墊高。把審查收進 agent 改變了防線的位置——產生程式碼的那一方，同時具備檢查程式碼的能力。這不代表人工審查可以被取代，而是讓機器先把常見問題清掉，人的注意力留給設計層次的風險。
Cowork 下放 Pro 的節奏
同一份 release notes 也顯示，Claude Cowork 的研究預覽在這段期間擴及 Pro 方案，測試族群持續擴大。對照來看，Anthropic 的更新節奏呈現兩條並行的線：一條往能力縱深走（Claude Code 的工程與資安功能），一條往使用者廣度走（Cowork 從 Max 之外再擴大到 Pro）。
對開發團隊的實際意義
- agent 產出程式碼的速度放大後，若安全審查仍停在人工關卡，審查會成為整條 pipeline 的瓶頸——內建審查是讓產出速度與防護速度同步的手段
- GitHub Actions 整合讓安全檢查進入每次 PR 的自動化路徑，團隊不必另外建一套流程
- 「AI 審 AI」需要自己的驗證機制：誤報會消耗信任、漏報會累積風險，導入時應該同步設計評估與覆核的方式
安全的歷史一直是從「事後補救」往「流程內建」移動；當寫程式碼的主體變成 agent，這個移動也跟著往上游走了一層。
參考來源
本文由 AI 協助自上述來源整理，經人工審核後發布。