Anthropic 发布 Claude 企业安全中心，并在工具调用前加入拦截机制

Anthropic 在 11 月 5 日发布了一次 Claude Enterprise 安全更新，把推理钩子推进到正式发布（GA）阶段，把它的覆盖范围扩展到能在工具调用执行之前将其拦截，并推出了一个安全中心仪表盘和一个母公司管理控制台——第一次为企业安全团队提供了一层覆盖 Claude 各个商业入口、可投入生产使用的强制执行层。

这次发布，为一次三个月的测试画上了句号，这次测试始于8 月 5 日推理钩子的上线，当时只覆盖传入的提示词。11 月 5 日的这次更新，新增了第二种钩子事件类型，会在 Claude 在自己的响应里生成一次工具调用时触发——在任何工具真正执行之前，就捕捉到它拟议的动作。这项扩展，对智能体工作流来说意义重大，因为在这类工作流里，Claude 可能会提议调用网页搜索、文件系统、代码执行环境或外部 API。如果没有「工具调用前拦截」，一名员工最初的提示词可能通过了数据防泄露（DLP）检查，但 Claude 随后的工具活动却完全不受管控。

推理钩子如何把提示词路由经过客户自己的安全技术栈

核心机制是一个内置在 Anthropic 自己基础设施里的协议检查点，位于面向用户的入口和模型之间。当一名员工通过claude.ai、Claude Code 或 Cowork 提交一个提示词时，Anthropic 会在推理开始之前暂停，把这段对话记录（用 HMAC 签名以保证真实性）通过 POST 请求，发送到客户安全团队或其供应商运营的一个 HTTPS 端点。那台服务器会返回一个二元判决：允许或拒绝。允许判决让模型继续运行；拒绝判决会在 Claude 生成第一个词元之前，就拦下这次请求。完整的协议文档，可以在Anthropic 的推理钩子支持文章里查阅。

关键的一点是，这个协议不能改写或脱敏内容。Anthropic 的推理钩子规范里，没有任何机制可以替换一个修改过的提示词，或者剥离敏感内容、再传递一个经过清洗的版本。执行决定完全属于客户的安全服务器，按客户现有 DLP 或 AI 安全供应商所采用的任何策略来做。

这种设计，与其他一些企业 AI 平台处理 DLP 的方式形成了对比。微软为 Copilot 内嵌了 Purview 自己的分类器，应用的是自家的策略逻辑。而 Anthropic 的推理钩子，走的是「自带安全方案」的路线：公司8 月的公告点名了 Netskope、Palo Alto Networks、Proofpoint 和 Zscaler 作为集成合作伙伴，而 Check Point 和 Reco 也通过这套开放协议，在同一天发布了各自的集成，让企业能把自己早已为邮件和网页流量写好的 DLP 规则，直接应用到 Claude 的提示词和工具调用上，不需要重新编写策略。

工具调用前钩子，补上了智能体治理的缺口

8 月上线的提示词钩子，覆盖的是员工输入了什么。11 月 5 日新增的工具调用前钩子，覆盖的是 Claude 接下来打算做什么。这两种事件使用同一个 HTTPS 端点和同一套签名机制，让单个安全服务器就能同时管理输入和动作，不需要分别配置。

这一点在已部署的智能体工作流里最为重要。一个建立在 Claude 之上的客服智能体，可能先收到一个被允许的提示词，随后却生成一次查询客户数据库、或向外部服务发帖的工具调用。如果没有「工具调用前拦截」，DLP 的边界就止步于用户的输入。而当这两种钩子都启用时，安全服务器能看到完整的动作链：用户问了什么，以及 Claude 打算执行什么来回应它。

根据Anthropic 的推理钩子文档，这个钩子会收到对话上下文和拟议的工具调用，但收不到原始的文件或图像字节、Anthropic 内部的系统提示词，或 Claude 隐藏的推理步骤。

安全中心对设置做基准比对，但不认证合规性

11 月 5 日的这次发布，还推出了一个测试阶段的安全中心仪表盘，它把一个 Claude Enterprise 机构在聊天、Cowork 和 Claude Code 上当前的设置，与 Anthropic 自己推荐的配置做比对，并标记出任何差距。管理员可以记录审查结果，并将其导出为一份审计报告，作为手动为合规审查人员整理设置文档的一个替代方案。

Anthropic对这个功能的范围说得很明确：安全中心提供的是指导，不是合规认证。它不能替代正式的 SOC 2 Type II 或 FedRAMP 审计。安全中心导出的，是相对于 Anthropic 推荐配置的一份设置快照；审查一次受监管部署的审计员，仍然需要独立验证实际的控制有效性。Anthropic 持有 SOC 2 Type II 认证，相关报告可以通过Anthropic 的信任门户提供给企业客户查阅。

一个同样处于测试阶段、位于admin.claude.com的母公司管理控制台，让那些管理多个 Claude Enterprise 和 Claude Platform 租户的机构，能从单一界面处理 SSO 配置、SCIM 目录同步、域名验证和合规 API 密钥——这填补了此前需要按租户分别管理的一项能力缺口。

覆盖缺口，以及路线图上还剩下什么

对正在评估 11 月 5 日这次发布的安全团队来说，有几项限制值得留意。推理钩子只适用于通过claude.ai、Claude Code 和 Cowork 访问的 Claude Enterprise。那些通过 API 层级、Amazon Bedrock 或谷歌云 Vertex AI 运行 Claude 的机构，无法通过 Anthropic 的基础设施使用推理钩子；这些部署需要单独的代理或网关层拦截。

为 Cowork 虚拟机引入的端点检测与响应传感器，运行在「仅检测」模式下：它会把用于本地代码执行的隔离虚拟机里的活动，报告给机构现有的安全控制台，但无法拦截它。覆盖范围止步于本地虚拟机，不延伸到云端的 Cowork 会话。

11 月 5 日的这次更新，是在一份漏洞报告声称用户的邮箱地址正通过 Claude Code 里的 User-Agent 请求头泄露之后一天发布的。Anthropic 没有公开把两者联系起来，而且安全中心这次发布，走的是一条从 8 月就已经开始的开发时间线。不过这个时间点仍然值得关注：邮箱泄露报告与正式发布公告，前后相差不到二十四小时。

响应侧的强制执行——在 Claude 的输出到达用户之前对其进行检查——在 Anthropic 的文档里被描述为一项计划中的未来能力。截至 11 月 5 日，这个钩子只在推理开始之前运行，不在之后运行。这意味着，通过工具输出或检索到的文档投递的提示词注入——也就是约翰霍普金斯大学那项研究所展示的攻击向量，它演示了如何通过 GitHub 拉取请求的标题提取 API 密钥、CVSS 评分达到 9.4——目前落在推理钩子的覆盖范围之外。

这套钩子架构最终能否补上这个缺口，或者 Anthropic 会不会在「自带安全方案」的路由方式之外，再加上一个自有的模型层分类器作为补充，是 Anthropic 企业安全路线图里最明确的一个开放问题。安全中心承诺为所有 Claude 入口提供一个统一的设置视图，这说明公司正在强制执行基础设施之外，同步投入可见性工具的建设——在受监管行业真正把企业级 AI 部署推上生产环境之前，先把它们所需要的治理仪表盘搭建起来。