Anthropic 扩展网络安全验证计划：三个访问层级，向更多防御者开放前沿网络能力

官方给这次扩展的理由很直接：网络安全天然是两用的。同一个能力，既能让安全团队发现并修复漏洞，也能被恶意行为者拿去利用。正因如此，通用发布的模型（Claude Opus 5.5、Claude Fable 5.1、Claude Sonnet 5.5）保留了保守的网络防护，会拦掉大部分网络工作。官方说这样做是为了限制恶意行为者能做的事，同时继续为安全编码减少误报。但防御方同样需要最强的工具，这就是这次要解决的事。三个层级都能访问 Anthropic 最强的模型，包括 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1，以及未来推出的新模型。

三个层级的分工按防御、对抗、高危系统递进。Defense Access 面向防御性工作：安全运营中心与事件响应、逆向恶意软件、分析和验证漏洞。官方列出的合格组织包括公司、非营利机构、大学、政府里在守护自有或自维护系统的安全团队，任何规模的关键基础设施运营方（例如区域医院或市政公用事业），较小的安全公司，开源维护者，以及有漏洞报告记录的个人研究者，目标是几天内回复申请。Red Team Access 在防御用途之上增加授权的渗透测试与红队工作，面向内部红队、政府红队、安全与渗透测试公司；这一层级只能对已被授权测试的系统做对抗性测试，并且仍会实时拦截可能造成物理伤害或大规模中断的动作，例如投放勒索软件、破坏物理系统、对高风险安全系统做渗透测试。由于资格要求与安全控制更严，官方预计这类申请需要几周审核，且目前只面向组织，个人研究者不符合资格。Specialized Access 的拦截最少，保留给数量有限、经核实、被授权测试可能影响人们生命安全或扰乱市场的系统的组织，官方举的例子包括飞行操作系统、电网、电信网络、银行间转账基础设施与政府行政网络；这一层级目前与美国政府合作对每个组织做深入审查。

为了验证分层防护站不站得住，官方用一个叫 CyScenarioBench 的评估做了测试。这个评估衡量模型能否在现实约束下规划和执行多阶段网络操作。官方拿 Claude Opus 5.5 配不同 CVP 层级调优的防护跑了测试，每个层级 10 个挑战各尝试 5 次，共 50 次。结果分三档：没有任何 CVP 访问时，每个任务在第一个提示就被拦住；在 Defense Access 层级，50 次试验里有 46 次在挑战过程中的某个点被拦截，剩下 4 个任务成功；在 Red Team Access 层级，没有发生拦截，Claude Opus 5.5 成功完成 50 个任务中的 34 个，官方称这与不施加任何防护时的 67.6% 成功率基本相当，而不施加防护相当于 Specialized Access 的情况。官方表示这组结果让他们有信心把先进网络能力更广泛、更安全地开放给防御者，并会持续优化分层分类器。

另一组官方数字来自 Project Glasswing 的实际效果。官方称，通过该项目的伙伴在 2026 年 4 月到 7 月之间发现了至少 129,000 个已核实软件漏洞；Anthropic 自身的开源扫描在 2026 年 4 月到 10 月之间又发现了 5,500 个已核实漏洞。这些已核实漏洞中，截至目前有超过 33,000 个被评为严重或高危。官方明确说明这很可能是低估：数字只基于 33 份伙伴报告的部分数据，且不到一半的伙伴披露了已修补的数量，往往因为修复还在进行中，所以修补率被显著低估。官方由此推断，真实影响至少是现有数字的五倍。数据留存方面，加入项目的组织必须留存数据，让 Anthropic 能监控网络滥用；等到今年晚些时候 Enterprise Frontier Safeguards（EFS）可用后，符合资格的组织可以把数据存到自己控制的云基础设施里。

可用渠道与边界方面，官方说明 CVP 在 Claude Platform、Google Cloud 的 Vertex AI 和 Microsoft Foundry 上可用；在 Amazon Bedrock 上，只有符合 Enterprise Frontier Safeguards 资格的客户才能使用。现有 CVP 成员会保留此前模型的设置，并通过更新后的项目自动获得对 Claude Opus 5.5、Claude Sonnet 5.5 和 Claude Mythos 5.1 的访问评估。官方同时重申，通用发布的模型仍可用于代码审查、修补已知问题、在自有源代码中查找漏洞、以及对安全警报做分类这类任务。如果某个任务在你所属层级本应被允许却被拦，官方提供了误报上报入口。本文只呈现官方公告中已经写明的事实，不对这套分层机制未来的走向做推测。