Claude Code Security: guía empresarial

Última actualización: 19 de octubre, 2026

¿Es suficiente la Claude Code security para un despliegue empresarial? Puede serlo, con controles. Claude Code es un agente con acceso a shell, archivos y red en la máquina de un desarrollador, así que su seguridad depende tanto de cómo lo configures como de lo que entrega Anthropic. En 2026 los investigadores encontraron fallos en plugins, git y CI que permitían ejecutar código o leer credenciales, y la mayoría se corrigieron. Esta guía separa los dos significados de "Claude Code security" y lista los controles que conviene fijar antes de escalar.

TL;DR: puntos clave

• Plugin4Shell llegó a Claude Code. Divulgado el 18 de septiembre de 2026, el fallo zero-click permitía que un plugin sustituido ejecutara código mediante la actualización automática en segundo plano, y Anthropic lo corrigió en la versión 2.1.179 (Help Net Security, 2026).
• Un repositorio copiado puede ejecutar comandos. La investigación GitSpawn, publicada el 2 de septiembre, mostró que el .git/config de un repositorio puede ejecutar un comando antes del aviso de confianza de Claude Code, cuando el repo llega con .git intacto (The Hacker News, 2026).
• Los workflows de CI filtran claves. El fallo de Claude Code Action registrado como CVE-2026-54316 expuso el GITHUB_TOKEN y la clave de API de Anthropic, y se corrigió en la versión 2.1.163 (Cloud Security Alliance, 2026).
• Las credenciales viajan en paquetes npm. Check Point encontró que 428 de unos 46.500 paquetes npm monitorizados incluían un archivo .claude/settings.local.json, y que 33 archivos en 30 paquetes contenían credenciales (SecurityBrief, abril de 2026).
• El sandbox tiene límites. La documentación de Anthropic indica que el sandbox cubre solo los comandos de shell, mientras que las herramientas de archivos, los servidores MCP y los hooks se ejecutan fuera de él (documentación de Claude Code, 2026).

De un vistazo: de dónde viene el riesgo

Fuentes: Help Net Security, The Hacker News, Cloud Security Alliance, SecurityBrief, Adversa AI. Consultado el 19 de octubre de 2026.

¿Qué significa "Claude Code security"?

La expresión cubre dos cosas distintas. Una es el escáner de Anthropic que audita tu código en busca de vulnerabilidades. La otra es la seguridad del propio Claude Code, un agente que lee archivos, ejecuta comandos e instala plugins en tu nombre. La mayoría de los compradores necesitan ambas, y fallan de formas diferentes.

El escáner se llamó primero Claude Code Security. Infosecurity Magazine (2026) informa de que Anthropic lo lanzó en beta pública como Claude Security el 1 de mayo de 2026, para clientes de Claude Enterprise, sobre Claude Opus 4.7. Sigue el flujo de datos entre archivos, valida cada hallazgo en varias etapas e informa de confianza, gravedad, impacto, pasos de reproducción y un parche sugerido. Tras las pruebas llegaron los escaneos programados, las exportaciones y los webhooks a Slack o Jira. Anthropic afirma que su pipeline de validación reduce los falsos positivos, y el informe no ofrece pruebas independientes de ello.

Un escáner encuentra fallos en tu código. No limita lo que hace el agente mientras trabaja, que es el resto de esta guía.

Por qué un agente cambia el modelo de amenazas

Una herramienta de autocompletado sugiere texto. Claude Code actúa. Puede editar archivos, ejecutar comandos de shell, llamar a servidores MCP, cargar plugins y hacer push a git, así que una inyección exitosa o un repositorio envenenado se convierte en ejecución en la máquina del desarrollador, con las credenciales de ese desarrollador.

La propia documentación de Anthropic es directa sobre los límites. Un límite de directorio de trabajo es un aviso de permisos, de modo que "un comando de Bash que apruebas puede seguir escribiendo en cualquier sitio donde tu cuenta de usuario pueda". En las sesiones -p no aparece ni el aviso de confianza del espacio de trabajo ni el de aprobación de .mcp.json, y Anthropic afirma que los usuarios son responsables de revisar el código y los comandos propuestos (documentación de Claude Code, 2026). Anthropic también indica que no audita ni gestiona la seguridad de ningún servidor MCP.

Claude Code security: fallos divulgados en 2026

Los investigadores publicaron una serie constante de fallos de Claude Code en 2026, y la mayoría se corrigieron antes de la divulgación o al hacerse pública. La tabla recoge los que tienen versión de corrección pública, para que puedas fijar versiones mínimas en la política de tu flota.

Fuentes: SecurityBrief, NeuralTrust, Let's Data Science, The Hacker News, Cloud Security Alliance, Help Net Security.

El estado de los parches es solo una parte del cuadro. Adversa AI (2026) cataloga diez ataques documentados contra Claude Code, de los que solo dos produjeron CVE y cuatro fueron rechazados por los fabricantes. Varios riesgos son comportamiento aceptado y no errores, así que fijar versiones no basta para cerrarlos.

Fallos de plugins y git: Plugin4Shell y GitSpawn

Plugin4Shell y GitSpawn abusan de git, que los agentes invocan constantemente en segundo plano. Muestran que un repositorio o un plugin no fiable puede actuar antes de que el desarrollador haya aprobado nada.

Plugin4Shell

AIR Security descubrió que Claude Code, Codex, GitHub Copilot y Gemini CLI hacen checkout del commit fijado de un plugin sin verificar que el checkout haya caído en él. Un atacante nombra una rama con el hash de 40 caracteres del commit, git prefiere la rama y se instala código malicioso mientras el agente informa del SHA esperado. Claude Code y Codex actualizan los plugins en segundo plano por defecto, lo que vuelve el ataque zero-click. Anthropic lo corrigió en 2.1.179 y OpenAI en Codex 0.146.0. En el momento de la divulgación Microsoft no había publicado corrección para Copilot y Google había dado de baja Gemini CLI en lugar de parchearlo. GitHub bloquea nombres de rama con forma de SHA, mientras que Bitbucket y los servidores git autoalojados pueden permitirlos (Help Net Security, 2026).

GitSpawn

Manifold Security mostró que el .git/config de un repositorio puede asignar un comando a core.fsmonitor, que git ejecuta durante git status y git diff. Los agentes ejecutan esos comandos al arrancar, así que el comando se ejecuta como el usuario, fuera del sandbox del agente y sin aviso. En Claude Code se disparó antes de aceptar el aviso de confianza. Requiere que el repo llegue con .git intacto, por ejemplo mediante un archivo compartido o una unidad, y un clon normal no se ve afectado. Anthropic corrigió la ruta core.fsmonitor en 2.1.196 el 29 de junio, pero Manifold confirmó una ruta distinta, ultrareview, en la versión 2.1.252 el 1 de septiembre (The Hacker News, 2026). Consulta las notas de versión de Anthropic para ver su estado actual.

Los resultados de investigación apuntan en la misma dirección. Un estudio de arXiv resumido por Adversa AI (2026) informa de que las actualizaciones de plugins troyanizadas con hooks de ciclo de vida maliciosos comprometieron a los siete agentes de código probados, con tasas de éxito de hasta el 92,5 %, y de que agentes adversarios eludieron el clasificador del Auto Mode de Claude Code en el 79 % de las pruebas. Son hallazgos de investigación, no incidentes reales.

Secretos y fugas de credenciales desde Claude Code

Claude Code filtra credenciales de tres formas habituales: workflows de CI, paquetes publicados y comandos aprobados. Cada una tiene un control claro.

En CI, un agente que lee el texto de issues o pull requests está procesando una entrada controlada por el atacante. Microsoft Threat Intelligence informó en junio de que Claude Code GitHub Action trataba ese texto como de confianza, y de que su herramienta Read podía leer /proc/self/environ y exponer la ANTHROPIC_API_KEY. Anthropic lo corrigió en 2.1.128 bloqueando el acceso a archivos sensibles de /proc (Let's Data Science, 2026). El posterior CVE-2026-54316 pasó por tres rondas de parche y elusión. Los investigadores usaron una carga entrecomillada en un flag de git push, exenciones de comandos de solo lectura y un dominio de Hugging Face preaprobado para filtrar el GITHUB_TOKEN y la clave de API, un carácter cada vez en la variante final. Anthropic lo puntuó como Moderado (CVSS v4 6,0) mientras que NVD le dio un 9,1 con CVSS v3.1, y no se informó de explotación activa confirmada en el momento de la divulgación (Cloud Security Alliance, 2026).

En paquetes publicados, Claude Code guarda los comandos de shell aprobados en .claude/settings.local.json. Cuando un desarrollador aprueba un comando con una credencial en línea y luego publica el paquete sin excluir esa carpeta, la credencial viaja con él. Check Point informó de tokens de npm, tokens de acceso personal de GitHub y claves de Hugging Face en 33 archivos de 30 paquetes (SecurityBrief, 2026).

Qué cubren los controles integrados de Anthropic

Anthropic incluye controles reales, y tienen bordes definidos. Aprovéchalos al completo y planifica las lagunas.

Fuentes: documentación de Claude Code, seguridad, documentación de Claude Code, sandboxing, The Hacker News, Adversa AI.

Dos detalles importan para planificar. El sandbox funciona en macOS, Linux y WSL2, y en Windows nativo Claude Code ejecuta los comandos sin sandbox (documentación de Claude Code, 2026). Y la guía de Anthropic dice que, aunque sus protecciones reducen el riesgo de forma significativa, ningún sistema es completamente inmune a los ataques.

Controles que conviene fijar antes de desplegar Claude Code

Los controles siguientes cierran la mayoría de los caminos anteriores. Empieza por los que no requieren herramientas nuevas.

• Fija una versión mínima. Exige al menos la 2.1.179 por Plugin4Shell y consulta las notas de versión por la ruta ultrareview de GitSpawn.
• Activa el sandbox y añade reglas de denegación. Deniega curl y wget en permissions.deny y usa el aislamiento de red del sandbox para una aplicación que no dependa del texto del comando.
• Restringe plugins y servidores MCP. Usa ajustes gestionados y configuración MCP gestionada, revisa los orígenes de los plugins y vigila las transferencias de propiedad de los repositorios de plugins.
• Neutraliza la ejecución desde la configuración de git. Ejecuta git config --global core.fsmonitor false e inspecciona los repositorios recibidos en busca de core.fsmonitor, core.hooksPath y attr.tree antes de abrirlos con un agente.
• Refuerza la CI. Usa tokens de corta duración y alcance limitado, trata issues, pull requests y CLAUDE.md como no fiables, y rota los secretos si se ejecutó un workflow vulnerable.
• Evita que las credenciales se publiquen. Añade .claude a .npmignore y .gitignore, y escanea los tarballs antes de publicar.
• Aísla el trabajo no fiable. Ejecuta repositorios desconocidos en un dev container o una VM.

El análisis de Alessandro Pignati sobre el fallo del deeplink de mayo es un buen ejemplo práctico de cómo una cadena sin validar llegó a ejecutar código.

Seguridad y gobernanza: dónde encajan un gateway y una capa de runtime

Los controles del fabricante protegen al agente frente a patrones de uso indebido conocidos, y las empresas siguen siendo responsables de los riesgos que lo rodean. Según OWASP (2025), la prompt injection es el primer riesgo (LLM01) de su Top 10 para aplicaciones LLM, y la inyección indirecta a través de repositorios, issues y salidas de tools es la forma que alcanza a los agentes de código. Los riesgos que siguen son la fuga de datos por prompts, logs y tool calls, y el uso indebido de tools por un agente con permisos amplios.

NeuralTrust aborda esto en la capa que rodea al agente. Agent Gateway (TrustGate) define permisos y límites por agente y actúa como punto de política y logging entre agentes y tools, y trae 200+ servidores MCP preconstruidos. Agent Runtime Security (TrustGuard) inspecciona prompts, tool calls y salidas mientras ocurren. Agent Posture Management (TrustLens) inventaría qué agentes y conexiones existen. AI Red Teaming (TrustTest) prueba los agentes frente a inyección y uso indebido antes de producción. NeuralTrust los entrega como la Runtime Security Mesh, se despliega en tu propia infraestructura o en on-premises con un servicio gestionado alojado en la UE o en EE. UU., y suma cuatro reconocimientos en los Gartner Hype Cycle 2026 en AI Runtime Defense.

¿Cuál deberías elegir?

Ajusta el conjunto de controles a tu exposición. Un equipo que solo edita código local necesita medidas distintas de otro que ejecuta agentes en CI con permisos de escritura.

Conclusión

La Claude Code security se reduce a dos preguntas: a qué puede llegar el agente y qué se ejecuta antes de que nadie lo apruebe. Los fallos de 2026 se corrigieron en su mayoría, pero los plugins, la configuración de git y las entradas de CI repiten el mismo patrón. Fija una versión mínima, aplica el sandbox y los ajustes gestionados, restringe plugins y servidores MCP, y pon política e inspección en runtime alrededor del agente para que un riesgo aceptado no se convierta en un incidente.

Protege Claude Code y los agentes de código en producción con NeuralTrust

Fija límites por agente, inspecciona las tool calls y conserva un registro que tu equipo de seguridad pueda revisar.

Comparativas relacionadas

• Claude Code RCE, Explained
• Claude Code vs. Cursor: Benchmark Comparison 2026
• Codex vs. Claude Code: Benchmark Comparison 2026
• Claude Opus 5.5 Enterprise Security: Safeguards & Gaps

Preguntas frecuentes sobre Claude Code Security

1. ¿Es seguro Claude Code para uso empresarial?

Puede serlo, con controles. Claude Code ejecuta comandos y carga plugins en la máquina de un desarrollador, y la investigación de 2026 encontró fallos en plugins, git y CI. La mayoría se corrigieron. Fija versiones mínimas, activa el sandbox, usa ajustes gestionados y restringe plugins y servidores MCP antes del despliegue (documentación de Claude Code, 2026).

2. ¿Qué es Claude Code Security?

Claude Code Security fue el nombre anterior del escáner de código de Anthropic. Entró en beta pública como Claude Security el 1 de mayo de 2026 para Claude Enterprise, sobre Claude Opus 4.7. Audita tu código en busca de vulnerabilidades y no limita lo que hace el agente Claude Code en runtime (Infosecurity Magazine, 2026).

3. ¿Qué vulnerabilidades ha tenido Claude Code en 2026?

Los problemas divulgados incluyen un fallo de deeplink corregido en 2.1.118, una fuga de clave en GitHub Action corregida en 2.1.128, CVE-2026-54316 corregido en 2.1.163, la ruta de git de GitSpawn corregida en 2.1.196 y Plugin4Shell corregido en 2.1.179. Consulta las notas de versión por la ruta ultrareview (The Hacker News, 2026).

4. ¿Cubre el sandbox de Claude Code todo?

No. Aísla los comandos de shell a nivel de sistema operativo, pero las herramientas de archivos, los servidores MCP y los hooks se ejecutan fuera de él. Funciona en macOS, Linux y WSL2, y en Windows nativo los comandos se ejecutan sin sandbox. Combínalo con reglas de denegación, ajustes gestionados y aislamiento en contenedores para repositorios no fiables (documentación de Claude Code, 2026).

5. ¿Cómo evito que Claude Code filtre secretos?

Usa tokens de corta duración y alcance limitado en CI, trata el texto de issues y pull requests como no fiable, y rota los secretos si se ejecutó un workflow vulnerable. Añade .claude a .npmignore y .gitignore, e inspecciona los tarballs antes de publicar (Cloud Security Alliance, 2026).

6. ¿Puede un plugin malicioso atacar a los usuarios de Claude Code?

Sí. Plugin4Shell permitía que un atacante sustituyera el commit fijado de un plugin y ejecutara código mediante la actualización automática en segundo plano, y un estudio de investigación informa de que las actualizaciones de plugins troyanizadas comprometieron a los siete agentes de código probados. Actualiza a la 2.1.179 o posterior, restringe los orígenes de plugins y revisa los plugins instalados (Help Net Security, 2026).

Sobre el autor

Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Está especializado en búsqueda impulsada por IA, estrategia de contenidos y SEM. Conecta con él en LinkedIn.

NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Nombrada pionera en el Gartner Emerging Market Quadrant for AI Application Security 2026, reconocida en cuatro informes Gartner Hype Cycle en 2026 y destacada en la Gartner Market Guide for Guardian Agents 2026, la Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.

Fuentes

1. Anthropic, Claude Code security, consultado el 19 de octubre de 2026.
2. Anthropic, Configure the sandboxed Bash tool, consultado el 19 de octubre de 2026.
3. Help Net Security, Zero-click RCE vulnerability hit four major AI coding agents, two remain unpatched, 18 de septiembre de 2026.
4. The Hacker News, Malicious .git configs can make Claude, Codex, Cursor and other AI agents run attacker code, 2 de septiembre de 2026.
5. Cloud Security Alliance, Three AI coding agents, one GitHub issue: CI/CD secrets exposed, 8 de agosto de 2026.
6. Let's Data Science, Microsoft reports Claude Code GitHub Action credential leak, 6 de junio de 2026.
7. SecurityBrief, Claude Code can leak secrets in public npm packages, 22 de abril de 2026.
8. Infosecurity Magazine, Anthropic rolls out Claude Security for AI vulnerability scanning, 1 de mayo de 2026.
9. Adversa AI, AI coding agent vulnerabilities, October 2026, 2 de octubre de 2026.
10. OWASP, LLM01: Prompt Injection, 2025.