Anthropic扩展网络安全验证计划
CVP把更少误拦截、模型访问、数据留存和EFS过渡写成一套准入制度。
本文要点
- CVP从两个项目整合成Defense、Red Team、Specialized三层。
- 合格安全团队获得更少网络安全误拦截，而非不受限制访问。
- Red Team层仅限组织，并保留物理伤害和大规模中断拦截。
阅读辅助
先看数字、证据和来源，再读正文。
CVP新增的是分层准入和更少阻断，不是 unrestricted access。
2026-04-07 · Anthropic宣布Project Glasswing，给关键软件防御伙伴开放Claude Mythos能力。
10月6日新增了什么
Anthropic在2026年10月6日发布扩展版Cyber Verification Program。当天的新增动作是把过去六个月并行运作的Project Glasswing和既有CVP合成一个项目，并明确拆成Defense Access、Red Team Access和Specialized Access三层。
这三层共同点是都面向合格安全专业人士，并包含Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1以及后续新模型的访问。差异在于可做任务、审查深度和实时阻断边界。Anthropic的措辞是提供advanced cyber capabilities和reduced blocking classifiers，而不是取消安全策略。
确定事实有四项。第一，Defense Access覆盖防御任务。第二，Red Team Access加入授权渗透测试和红队任务，但当前只面向组织。第三，Specialized Access保留给少量可测试高风险安全系统的已验证组织。第四，项目组织需要接受数据留存，用于Anthropic监测网络滥用。
读者需要特别注意两条限制。Red Team Access组织只能测试自己被授权测试的系统，即便通过审批，也仍会遇到针对物理伤害或大规模中断行为的实时拦截。Specialized Access审查更重，Anthropic称会与美国政府协作逐个深入审核。
这条新闻对安全团队的影响直接。一般企业防御者可能更容易申请到减少误拦截的Claude能力，专业红队会获得更适合授权测试的工作空间，但模型公司同时把访问、数据留存和用途审查绑定在一起。
三层访问不是三档无限放行
官方给出的层级设计，核心是把“谁在用、用来做什么、能不能产生外部危害”放进准入规则。下面这张表按原文语义整理，避免把减少阻断写成不受限制访问。
| 访问层级 | 合格范围 | 可做任务 | 仍保留的边界 |
|---|---|---|---|
| Defense Access | 企业、非营利组织、大学、政府机构安全团队，关键基础设施运营者，小型安全公司，开源维护者，有漏洞报告记录的个人研究者 | SOC与事件响应、逆向恶意软件、分析和验证漏洞 | 面向防御任务；Anthropic预计许多防御组织符合条件，目标几天内响应申请 |
| Red Team Access | 内部红队、政府红队、安全公司和渗透测试公司等组织 | 在授权系统上做渗透测试和红队任务，包括关键行业IT系统 | 当前仅限组织；物理伤害和大规模中断动作仍会实时阻断 |
| Specialized Access | 少量已验证组织，且被授权测试会影响生命或市场的安全系统 | 航班运行系统、电网、通信网络、银行间转账基础设施、政府行政网络等 | Anthropic会与美国政府协作深度审查；Glasswing成员迁入该层 |
这张表说明CVP更像是“受控能力路由”，不是产品页上的普通开关。Defense Access给了最宽的合格入口，甚至包括有记录的个人研究者和开源维护者。Red Team Access向对抗性测试开放更多空间，但把准入对象收紧到组织。Specialized Access则把系统类型和政府协作审查都写进边界。
这也解释了为什么Anthropic把Project Glasswing并入CVP。Glasswing原本是给保护关键软件的组织使用Claude Mythos能力，既有CVP则给已验证安全团队在Claude Opus和Claude Sonnet上减少护栏。合并之后，Anthropic把模型能力、任务风险和客户资质放到一个统一申请框架里。
CyScenarioBench显示的是阻断差异
Anthropic用CyScenarioBench评估CVP保护是否仍有效。测试口径是：Claude Opus 5.5在每个访问层下，面对10项CyScenarioBench挑战，每项尝试5次，因此每层共50次试验。这个数字应理解为评测试验数，不是现实世界攻击次数。
结果很清楚。没有CVP访问时，每个任务都在第一个prompt被阻断。Defense Access下，50次试验里有46次在挑战某处被阻断，剩下4次成功。Red Team Access下没有发生阻断，Claude Opus 5.5完成34次，官方称这实际上等同于无safeguards时67.6%的成功率，并把无护栏口径视为Specialized Access代表。
这些数字的新闻价值不在“模型能攻击”，而在Anthropic公开展示不同访问层会怎样改变拦截曲线。Defense Access仍然偏保守，适合日常防御和验证漏洞。Red Team Access把授权对抗任务的误拦截降下来，但仍不代表可执行现实危害动作。Specialized Access的意义，是让少数被审查组织在更接近无普通网络阻断的环境里测试高风险安全系统。
| 评测设置 | 阻断结果 | 完成结果 | 应如何理解 |
|---|---|---|---|
| 无CVP访问 | 10项挑战都在首个prompt被阻断 | 未进入完整任务 | 通用模型默认网络安全护栏很保守 |
| Defense Access | 46/50试验中途触发阻断 | 4/50完成 | 防御层降低部分误拦截，但仍强约束 |
| Red Team Access | 0次触发阻断 | 34次完成 | 授权红队空间扩大，仍限定组织和授权系统 |
| 无safeguards代表口径 | 官方称成功率67.6% | 接近Red Team结果 | 这是评测基准，不是公众访问承诺 |
这里还有一个重要 caveat。CyScenarioBench是Anthropic自测，报告没有给出第三方复现、任务细节或误报漏报矩阵。它适合证明Anthropic如何设计访问层，不适合单独证明Claude在所有真实红队场景里的有效性。
数据留存和EFS是准入条件的一部分
CVP公告把数据留存写得很直接：项目组织需要数据留存，以便Anthropic监测网络滥用。这个要求与CVP的核心矛盾有关。安全团队希望减少误拦截，让模型帮助自己发现和修复漏洞；模型公司则需要足够的活动信号来识别恶意使用、被盗凭据和跨会话滥用。
Anthropic给出的缓冲方案是Enterprise Frontier Safeguards。官方称EFS会在今年秋季稍晚可用，届时合格组织可以把数据存储在自己控制的云基础设施中，同时保留强滥用防护。这里的时态必须保留为“预计可用”，不能写成已经全面上线。
还有一个过渡安排需要细读。在EFS可用之前，已经拥有Claude Fable 5.1或Claude Mythos 5.1零数据保留访问的组织，也可以用zero data retention使用CVP。这句话不是说所有CVP客户都免数据留存，也不是说Fable 5.1或Mythos 5.1默认恢复ZDR。它只适用于已有相应访问资格的组织。
云平台范围也有边界。Anthropic称CVP可用于Claude Platform、Google Cloud Vertex AI和Microsoft Foundry。Amazon Bedrock上的CVP仅面向符合Enterprise Frontier Safeguards资格的客户。对于企业采购，这意味着同样叫CVP，不同云入口的可用性和数据控制条件仍要按平台逐项确认。
Glasswing数字证明了防御需求
Project Glasswing的结果给这次CVP扩展提供了背景。Anthropic称，Glasswing伙伴在2026年4月至7月之间发现至少129000个已验证软件漏洞。Anthropic自己的开源扫描在2026年4月至10月之间又发现额外5500个已验证漏洞。所有这些已验证漏洞中，超过33000个目前被评为critical或high severity。
这些数字不能被写成“漏洞都已修完”。官方明确说，这只是项目影响的lower bound，基础是33份伙伴报告和Anthropic的开源合作。数据限制包括不同组织使用不同分诊方法，且少于50%的伙伴披露patched numbers，常见原因是修复仍在进行，因此修复率被显著低估。
换句话说，Glasswing数字更能证明需求规模，而不是证明防御闭环已经完成。高能力模型确实能帮助发现大量漏洞；真正稀缺的仍是分诊、复现、修补、回归测试、披露协调和版本发布。CVP把更强模型权限放给更可信的组织，是在扩大“发现和验证”的供给，但软件生态还要承担后半段修复成本。
这也让Specialized Access变得合理。能够测试航班运行系统、电网、通信网络、银行间转账基础设施或政府行政网络的组织，本来就处在高责任环境里。Anthropic把这类访问放进最窄层，并与美国政府协作审查，是在承认模型能力进入关键基础设施测试时，普通商业授权不足以覆盖公共风险。
为什么这件事比一次安全公告更重要
网络安全是前沿模型最典型的双用途场景。同一段能力既能帮守方定位漏洞，也能帮攻方复现和利用漏洞。Anthropic在公告里直接承认这一点，并解释通用可用模型如Claude Opus 5.5、Claude Fable 5.1和Claude Sonnet 5.5有保守cyber safeguards，会阻断多数网络安全工作。
CVP的制度意义在于，它没有把问题简化成“放开”或“封死”。它把不同任务的风险拆开，把不同组织的资质拆开，再把模型访问、实时拦截和数据留存绑定成可申请的访问层。对防御者来说，这提供了比普通聊天产品更实用的路径；对平台来说，这保留了对高风险行为的治理入口。
这种设计会改变企业安全团队使用大模型的采购材料。过去团队可能只问“模型能不能写脚本、分析日志、读代码”。现在还要问：申请哪个层级，哪些工作区有权限，管理员如何分配访问，数据留存多久，是否进入EFS，云平台是否支持，红队行为是否会被实时拦截，误拦截如何申诉。
对模型行业，这相当于把双用途能力从模型卡扩展到运营制度。模型能力越强，越难只靠静态policy说明风险；厂商需要证明自己有申请、分层、监测、审查、云平台和政府协作机制。CVP这次公开的价值，是给外界一个可审视的制度样本。
Anthropic这次更新最重要的判断点，是它把“安全能力开放”从模型开关改成了身份、任务和数据三者共同决定的访问控制。Defense Access、Red Team Access和Specialized Access分别对应防御、授权对抗和关键系统测试，三者承担的责任边界并不相同。
这对安全团队是利好，但不是无摩擦利好。减少网络安全误拦截会让真实防御工作更顺畅，可组织必须接受申请、工作区授权和数据留存。Red Team层仍限定授权系统，Specialized层还要接受深度审查。换句话说，Anthropic给的是更高能力下的治理通道，不是把Claude变成无限制网络工具。
更大的行业信号在EFS。前沿模型进入红队、漏洞验证和关键基础设施测试后，zero data retention和滥用监测会反复冲突。Anthropic的答案是先要求项目数据留存，再用EFS把数据放回客户控制的云里。这个架构如果落地，会成为高风险AI能力企业化的一个模板。
风险也必须保留。CyScenarioBench和Glasswing数字都来自Anthropic自报，外部还没有看到完整复现材料。Glasswing发现漏洞很多，但修补率披露不足，说明模型发现能力和生态修复能力之间仍有距离。短期评价CVP，不该只看是否放开更强模型，而要看它能否减少合法防御误伤，同时不制造新的滥用通道。
接下来该盯哪些变化
第一类是准入透明度。Defense Access预计几天内响应申请，Red Team Access预计几周审查，Specialized Access则逐个深度审查。后续如果Anthropic公布通过率、行业分布或拒绝理由，就能判断这套制度是广泛安全供给，还是少数大客户通道。
第二类是真实任务误拦截。CyScenarioBench显示Red Team层在该评测里没有触发阻断，Defense层仍有大量阻断。真正影响用户体验的是真实事件响应、恶意软件逆向和授权渗透任务中的误报率，以及被拦截后的申诉和审计流程。
第三类是EFS上线节奏。公告写的是今年秋季稍晚可用，且合格组织可把数据存储在自有云基础设施。需要继续看它先覆盖Claude Platform、Vertex AI、Microsoft Foundry还是Bedrock客户，以及客户自有云日志、密钥和访问记录怎样接受审计。
第四类是Glasswing的修复闭环。超过129000个验证漏洞和超过33000个高危以上漏洞足够说明发现规模，但软件安全最终看修复。若后续报告能给出修复率、平均修复时间、误报比例和维护者负担，CVP的公共安全价值才更容易被独立判断。