Anthropic の拡張 Cyber Verification Program は、承認利用者が Claude で実行できるサイバー操作を変える。Opus 5.5、Sonnet 5.5、Mythos 5.1 と今後のモデルを対象に、統一的な制限ではなく三段階を用意する。使用量の増加が本質ではない。同社の評価は、一部防護の解除が完了できる作業を大きく変えると示す。
強いフィルターは攻撃者と同時に、自分のシステムで攻撃を練習する防御者も止める。Anthropic は境界の一部を、要求ごとの制限から身元確認、組織制御、対象への権限、監視、最敏感分野の米政府審査へ移す。拡大時の信頼性は発表では確立していない。
三段階の能力と義務
Defense Access は事故対応、セキュリティ運用、マルウェア分析、脆弱性確認、防御研究を支援する。企業、大学、非営利、政府、オープンソース保守者、信頼できる開示実績の個人が対象だ。地域病院や自治体公益事業も含み、多くの申請へ数日で返答する目標である。
Red Team Access は自社所有か許可を得た対象への侵入試験と対抗演習を認める。社内チーム、コンサル、政府組織には追加審査と制御が必要で、数週間を見込む。審査中に Defense Access を得られる。
それでも身体被害や大規模混乱に関わる行動、ランサムウェア配置、物理系損傷、高リスク安全系の試験は制限する。どの対象への無制限権限でもない。
Specialized Access は生命や大市場を危険にするシステムの試験を許可された組織向けに、さらに制限を外す。航空運用、電力、通信、銀行間送金、行政が例だ。各組織を米政府と深く審査する。既存 Glasswing メンバーは現行モデルについて再承認なしで移行する。
確認メールだけでは足りず、人を組織、権限、段階、技術防護へ結び付ける。ただし正当な組織でもアカウント侵害、職員の越権、元請負人の権限残存は起こり得る。
遮断は減り、制限なしの完了率に近づいた
Opus 5.5 の CyScenarioBench 評価は各段階で十課題を五回ずつ、計五十試行行った。計画外アクセスではすべて最初の指示で遮断された。
Defense Access は四十六回を完了前に停止し、成功は四回。Red Team Access は防護遮断なしで三十四回、68%を完了した。制限なしの67.6%と比較される。
これは実際の行動差だが、すべての産業装置、未知ソフト、社会工学攻撃の性能ではない。組織審査が不正利用を防ぐ証明でもない。選択された課題の完了とアクセス制度全体は別だ。
安全分類器は基礎モデルと別で、禁止と判断した動作を中断できる。同じ技術要求が権限によって防御にも悪用にもなる。事前確認は文脈を補うが、永遠に正しい文脈や全行動の安全を保証しない。
発見数では修正率は分からない
Anthropic によれば Glasswing は2026年4〜7月に少なくとも129,000件を確認した。別のオープンソース走査は4〜10月に5,500件を追加した。33,000件超が重大または高リスクで、報告は33パートナーのみなので全体を過小評価すると同社は言う。
確認と分類の方法は参加者で異なる。修正数を示したのは半数未満で、対応中の場合も多い。修復情報が不完全なため134,000件超の確認を同数の修正と読めない。
再現、対象評価、開示調整、パッチ試験、配備が必要だ。同社も確認、開示、修復が最初の発見より大きな制約と認める。走査増大は網羅性を高めても保守者や審査待ちを圧迫する。
運営者は自分の環境を理解し現実的試験を許可できるため直接利用が必要だ。ただし修正する人員と権限があって初めて防御になる。非公開で見つけても数か月未修正なら安全ではない。
適応力は有益で危険でもある
太平洋北西部国立研究所との研究では、制御された動作用ツールと指示というエージェント基盤を水処理施設のサイバー物理モデルに使った。同社は攻撃再構築が数週間でなく三時間だったとする。
使ったのは旧 Sonnet 4 で、新対象モデルではない。ある試行で事前準備した Windows 権限制御回避が失敗すると別の既知手法を選んだ。シミュレーションの適応例で、実施設攻撃の許可や安全証明ではない。
失敗から立て直す力は攻防双方を助ける。通常のコード審査や修正支援は広く利用できるが、対話的多段操作は侵入に似るため、計画は文面だけでなく操作者と対象を確認する。
監視はデータ管理上の取捨選択も生む
同社は通常、不正検出のためデータ保持を求める。既存の Fable 5.1 または Mythos 5.1 でゼロ保持契約の利用者は、参加時に暫定維持できる。限定例外で、全体のゼロ保持約束ではない。
予定する Enterprise Frontier Safeguards は、不正制御と参加者が管理するクラウド保存を組み合わせる。既に全員へ提供する解決策ではない。機密コードや事故証拠には現行の保持、アクセス、監視条件の確認が必要だ。
自社保存はプライバシーに利点がある一方、環境ごとの制御差で監督を難しくする。検知時には有用な攻撃経路が生成済みの場合もある。対象隔離、行動制限、ログ、失効、復旧は組織側にも必要である。
政府審査は能力を補い、監督を問う
以前の機密 Mythos 試験には異なる説明がある。AP への当局者は数時間で弱点を見つけたが悪用した意味ではないと強調した。Mark Warner 議員はほぼ全試験環境へ数時間で入ったと NSA・Cyber Command 指導部に帰属して述べた。NSA と Anthropic は確認を拒否した。単一の証明済み侵入結果にまとめてはならない。
背景には6月の国家安全保障審査、外国人アクセス指示後の Fable 5・Mythos 5 一時撤回、後の Mythos 限定承認がある。OpenAI の GPT-5.6 Sol も審査された。Lori Trahan 議員は明確な法律、手続き、監督なしの個社政治判断を批判した。
政府は敏感対象や合法権限を判断できるが、非公開基準に決定を集中させ世界的ソフトへ影響する。Glasswing は以前十五か国超を含んだ。機関や国家関係で能力が決まるなら、一貫した基準、異議申立て、監査可能な失効が重要だ。
次の証拠は承認品質、不正検出、修復であり発見総数だけではない。審査時間と失効、修正と配備遅延、重大なアクセス失敗への対応が前提を試す。段階が Claude の動作を変えると示したが、拡張した確認済みアクセスが安定して安全な基盤を生むとはまだ示していない。