Anthropic 扩大 Cyber Verification Program，向经过审核的安全组织开放 Claude 系列模型的三档访问权限（Defense、Red Team、Specialized），并公布内部自测数据与 Project Glasswing 的漏洞发现统计。新方案强调基于组织身份、授权范围和审计控制的分层权限，以在提升防御与红队能力的同时降低滥用风险。
Anthropic 10月6日宣布扩大 Cyber Verification Program（CVP），向经过审核的网络安全专业组织提供更强的 Claude 网络安全能力，并根据使用场景设置三档访问权限。与面向普通用户的模型能力不同，CVP 的重点不是全面解除安全限制，而是把更少的默认拦截与组织身份、授权范围和安全控制绑定在一起。
Anthropic 在官方公告中说，新的 CVP 将覆盖 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1，以及未来加入计划的新模型。符合条件的组织可以通过 Claude Platform、Google Cloud Vertex AI 和 Microsoft Foundry 申请使用；Amazon Bedrock 目前只向符合 Enterprise Frontier Safeguards 条件的客户开放。
三档权限对应不同的风险边界
最低一档是 Defense Access，面向以防守为目的的安全运营中心、事件响应、恶意软件逆向工程、漏洞分析与验证等工作。Anthropic列出的潜在申请者包括企业、非营利组织、大学和政府机构的安全团队，区域医院和市政公用事业等关键基础设施运营者，小型安全公司、开源维护者，以及有漏洞报告记录的个人研究者。
这一档并不意味着模型可以执行所有网络安全任务。它的目标是减少合法防御工作中不必要的拦截，同时仍然对明显具有破坏性的行为保持限制。Anthropic预计，大多数从事防御性网络安全工作的组织都可能符合这一档的条件，申请通常会在数日内得到回应。
Red Team Access 在此基础上加入经授权的渗透测试和红队行动。申请组织必须能够证明自己有权测试目标系统，适用对象包括企业内部红队、政府红队以及安全和渗透测试公司。个人研究者目前不能申请这一档。
Anthropic表示，即使获得 Red Team Access，涉及现实物理伤害或大规模破坏的行动仍会被实时拦截，例如部署勒索软件、破坏物理系统，或对高风险安全系统进行未经适当控制的测试。由于审核要求和安全控制更严格，这一档的申请预计需要数周。
Specialized Access 则是限制最少、范围最窄的一档，仅面向经过深度核验、并获授权测试高风险安全系统的组织。相关系统包括航空运行系统、电网、电信网络、银行间转账基础设施和政府行政网络等。Anthropic称，目前会与美国政府合作，对这一档的每个组织进行深入审核；原 Project Glasswing 成员将转入该档，无需为当前模型重新申请批准。
这种分层设计反映出一个核心判断：网络安全能力的风险，不只取决于模型本身，也取决于使用者是谁、测试对象是否得到授权，以及模型可以触及什么样的系统。
自测结果显示，权限变化会显著改变模型行为
Anthropic使用 Claude Opus 5.5 运行 CyScenarioBench，以测试模型在现实约束下规划和执行多阶段网络行动的能力。公司在每个权限档位上对10项挑战分别进行5次尝试，共计50次，并比较不同安全策略下的结果。
在没有 CVP 权限时，所有任务都在第一条提示后被拦截。在 Defense Access 下，50次尝试中有46次在挑战过程中被拦截，剩余4次完成了任务。在 Red Team Access 下，没有一次遭到拦截，模型完成了50项任务中的34项。
Anthropic表示，Red Team Access 下的34/50完成率，与关闭相关安全措施时的67.6%完成率相当。换句话说，公司的测试显示，同一模型从防御权限进入经授权的红队权限后，实际可执行的范围发生了明显变化。
但这些数字仍然只是 Anthropic 的内部评测结果。CyScenarioBench 的场景、任务选择、运行环境和评判方式都由公司设定，因此它们可以说明 CVP 的安全策略在该测试中的表现，却不能直接等同于模型在现实网络中的攻击成功率。特别是，测试中的“完成任务”也不代表模型已经对真实目标实施了攻击。
此前，AIFlux曾报道Google Cloud 将 Anthropic 网络安全验证计划开放为预览。此次公告的新增重点，是 Anthropic 对 CVP 本身进行整合和扩展，公开三档权限、审核方式以及新的自测数据，而不是重新宣布一次云平台预览。
Project Glasswing带来的漏洞发现数据
Anthropic还公布了 Project Glasswing 的阶段性结果。公司称，合作伙伴在2026年4月至7月间发现了至少129,000个经过验证的软件漏洞；Anthropic自己的开源扫描工作在4月至10月间又发现了5,500个经过验证的漏洞。其中，超过33,000个漏洞目前被评为高危或严重。
这些数字不能简单理解为整个软件生态中新增漏洞的完整统计。Anthropic明确表示，数据只来自部分 Glasswing 合作方，合作组织采用的漏洞分诊方法也不完全相同；只有不到一半的合作方披露了已修复漏洞的数量，很多修复工作当时仍在进行。因此，已修复比例明显低估，实际影响也可能高于公布数字。
Anthropic进一步称，相关统计基于33份合作方报告以及公司的开源合作项目，属于对项目影响的下限估计，并认为真实影响至少可能是目前数字的五倍。这个“五倍”判断仍是公司的推算，而不是独立审计或行业普查结果。
Project Glasswing的背景可追溯至 Anthropic 今年早些时候向一批组织提供 Claude Mythos Preview。Anthropic在6月公布的项目进展中说，项目最初约有50家合作方，随后扩大到约150个新组织，覆盖电力、水务、医疗、通信和硬件等行业。该项目的基本逻辑，是让关键软件维护者和基础设施运营者更快发现漏洞，同时在模型能力继续增强之前积累安全运行经验。
更强能力的开放，伴随着更强的审查
CVP要求参与组织接受核验并保留数据，以便 Anthropic 监测网络安全滥用。公司表示，未来推出 Enterprise Frontier Safeguards 后，符合条件的组织将可以把数据存放在自己控制的云基础设施中，从而在获得更强防护的同时减少对 Anthropic 数据留存的依赖。
在此之前，拥有 Claude Fable 5.1 或 Claude Mythos 5.1 零数据留存权限的组织，也可以在零数据留存条件下使用 CVP。不过，实际资格仍取决于具体账户、平台和审核结果，不能仅凭模型名称推断权限已经开放。
这也是 CVP与普通模型发布的重要区别。Anthropic并没有把更强的网络安全能力作为所有开发者都能直接调用的通用功能，而是将其置于申请、身份核验、用途限制、数据留存和管理员分配等多重条件之下。对安全团队来说，这可能降低漏洞验证、红队测试和事件响应中的误拦截；对模型提供商来说，则意味着必须持续判断哪些请求属于正当防御，哪些请求已经越过授权边界。
这一问题在近期的模型安全事件中变得更加具体。AIFlux此前对从评测沙箱到生产系统的 AI 代理入侵事件的复盘显示，评测环境、生产系统、凭证和网络访问之间只要存在薄弱连接，模型能力测试就可能转化为实际安全风险。CVP的分层权限和数据保留要求，正是在尝试把这种风险控制在更明确的组织和系统边界内。
关键问题仍在于如何证明“授权”有效
Anthropic此次扩大 CVP，释放出一个清晰信号：随着模型能够发现更多漏洞，安全行业的瓶颈将不再只是“模型能不能找到问题”，还包括谁有权验证问题、谁负责修复、哪些测试可以被允许，以及整个过程是否能够被审计和回滚。
目前仍有几项信息没有完全公开，包括不同模型在三档权限下的具体差异、各平台的配额和地区覆盖、审核所需的全部技术控制，以及 Anthropic 如何独立判断合作方提交的漏洞数据。Specialized Access 还涉及与美国政府的协作，这也意味着部分审核标准和运行细节可能不会完全公开。
因此，CVP目前更适合被理解为面向获验证组织的受控网络安全能力，而不是 Claude 网络安全功能的全面解禁。它能否在扩大访问范围的同时避免误用，最终取决于权限审核、运行时监测、日志保留和现实修复流程能否与模型能力同步升级。
来源：