Anthropic 把运行半年的 Project Glasswing 和原有的 Cyber Verification Program 合并,10 月 6 日推出新的「扩展版 CVP」,按 Defense / Red Team / Specialized 三个层级向经过审核的安全团队开放 Claude Opus 5.5、Sonnet 5.5 和 Mythos 5.1,层级越高,网络安全分类器对防御/红队/关键基础设施测试的限制越少。

把两份并行计划合二为一

合并之前,Anthropic 实际上同时跑两套网络验证机制。Project Glasswing 自 4 月开始,把 Claude Mythos 模型的早期访问权交给苹果、亚马逊、谷歌、微软、英伟达等约 50 家合作方,专门用于保护关键软件基础设施;CVP 则把 Claude Opus 和 Sonnet 上的网络安全拦截分类器降级,开放给一般经过审核的安全团队做漏洞研究。两个项目在 9 月 22 日 Claude Opus 5.5 发布前后开始重叠——大部分安全请求被转发给更旧的 Opus 4.8 处理,新模型的全部网络能力被分类器卡住。

合并后的 CVP 用三层结构替代这套并轨制:

  • Defense Access:面向 SOC、事件响应、恶意软件逆向、漏洞验证,以及开源维护者和有漏洞报告记录的个人研究者;Anthropic 表示「多数做防御性工作的机构都能获批」,审核周期数天;
  • Red Team Access:在 Defense 基础上加入授权渗透测试与红队演练,组织级别,审核周期数周,Anthropic 仍会实时拦截部署勒索软件之类的请求,实时保护物理系统与高风险场景;
  • Specialized Access:覆盖电网、电信、政府行政网络等安全关键系统,与美国政府联合审查;现有 Glasswing 成员自动转入,无需重新申请当前模型。

12.9 万漏洞的「体检表」

合并背后是半年跑出来的数据。Anthropic 报告,Glasswing 合作方在 4 至 7 月间累计发现至少 129,000 个已验证软件漏洞,Anthropic 自己通过开源扫描在 4 至 10 月又新增 5,500 个,合计 134,500 个已验证漏洞,其中 33,000+ 被定为严重或高危级别——这部分只来自 33 份合作方报告,实际影响 Anthropic 估算至少是当前数据的 5 倍,因为不到一半的合作方披露了补丁修复数,很多修复仍在进行中。Booz Allen 和 Comcast 在合作方博客中给出案例,称 Mythos 把漏洞挖掘效率提升了几个月甚至几年。

CyScenarioBench 给三个层级打分

为了验证分级设计是否真的「给防御者而不是攻击者」开放能力,Anthropic 用内部的 CyScenarioBench 对 Claude Opus 5.5 跑了一遍——这个基准测试「在现实约束下规划并执行多阶段网络行动」,每个挑战 5 次尝试,共 50 次:

  • 无 CVP 访问:50 次全部在第一条 prompt 被拦截;
  • Defense Access:50 次里拦截 46 次,4 次完成;
  • Red Team Access:零拦截,完成 34 次——正好等于 67.6% 的无防护基线成功率,代表 Specialized Access 的实际表现。

换句话说,Red Team 这一档已经把分类器基本撤掉,模型行为回到了没有安全网的状态。这是「军民两用」领域罕见但已被官方接受的取舍——Anthropic 把分类器做成「按身份/机构/用例/影响动态调节」,而不是一刀切地切走所有网络安全能力。

平台、数据留存与下一步

新的 CVP 已在 Claude Platform、Google Cloud Vertex AI、Microsoft Foundry 三处可用;Amazon Bedrock 仅向具备 Enterprise Frontier Safeguards(EFS)的客户开放,EFS 计划在「今年秋季」推出,届时获准机构可以把数据保留在自己掌控的云基础设施中。所有三个层级都要求数据留存,以便 Anthropic 监测滥用——「零数据保留」目前仅向使用 Claude Fable 5.1 / Mythos 5.1 的现有用户临时开放。

个人评论:从「锁」到「门」的转变

Anthropic 这次的角色很微妙——它同时是「供应能力最强模型厂商」和「双用风险的第一责任人」。过去半年的事实说明,只要 Mythos 给到真正在做防御的合作方,它能直接把全球关键软件漏洞的发现速度提升数量级;而模型默认越安全、越保守,也就越容易变成攻击者的免费工具,因为安全研究者被卡住的同一时刻,恶意行为者并不需要用同一家公司的 API。

CVP 三层结构本质上是把这道难题翻译成一条「按身份打开的门」:Defense 留给多数合规机构,Red Team 留给有授权的对手测试,Specialized 留给电网/电信/政府这种「一旦失控就出大事」的场景,与美国政府联合审查。它不是完美解——合作方不足 50% 的补丁披露率已经说明执行摩擦还在,但它至少把「AI 不能做网络安全」这道假命题拆成了「AI 在被识别之后可以分级地做网络安全」。

接下来值得看的是:EFS 推出后,Bedrock 这条被锁死的路径会解锁多少;以及 Mythos 这种「前沿模型给防御者预演」的模式会不会被 OpenAI、Google 跟进。如果跟进,2027 年的网络防御格局会和过去十年都不一样——前提是 Anthropic 这次能保持分层而不是被压力压平回「一刀切关闭」。