Cyber Verification Programが3段階制に再編、Mythosも対象に

AnthropicがGlasswingをCVPに統合、Mythosも対象

Cyber Verification Programは審査に合格したセキュリティ担当者に向けて、通常のClaudeでは遮断されるサイバー作業をAnthropicが許可するプログラムです。Mythosを提供していたProject Glasswingも、今回の発表でCVPに統合されたとのこと。利用できるモデルはどの段階でも共通しており、段階が上がるほど遮断される作業が減って審査は厳しくなります。

なぜ通常のClaudeはサイバー作業を遮断するのか

サイバーセキュリティの技術はデュアルユース（防御にも攻撃にも使うことができる）で、脆弱性を見つけて修正する力はそのまま悪用する力にもなるため、Anthropicが一般に提供しているOpus 5.5・Fable 5.1・Sonnet 5.5には、サイバー作業の大半を遮断する厳しめの安全策が入っています。

危険な指示を検知して遮断するこの仕組みをブロック分類器と呼びます。コードを確認して修正するような日常の開発に近い作業は遮断されないとのこと。通常のモデルでも次の4つの作業はできます。

• コードレビュー
• 既知の問題を修正する作業
• 自社のソースコードからの脆弱性探し
• セキュリティアラートの振り分け

GlasswingはMythos、旧CVPはOpusとSonnet向け

この半年、防御側を支える仕組みはProject GlasswingとCVPの2つでした。Glasswingは重要なソフトウェアを守る一部の組織にClaude Mythosを提供し、旧CVPは審査に合格したセキュリティチームにOpusとSonnetの安全策を緩めて提供していたとのこと。どちらも審査に合格した相手だけが使うことができる仕組みです。

Anthropicはこの2つを1つにまとめ、より多くのセキュリティ組織が同じ仕組みで申請できるようにしました。Mythosを使うことができる組織は、Glasswingの参加組織以外にも増えます。ここまでの経緯はClaude Mythos 5が限定再開、対象は重要インフラの米国組織にまとめています。

防御・レッドチーム・専門用途の3段階で対象者が異なる

3つの段階は許される作業範囲が異なり、上の段階ほど遮断が少ないぶん本人確認とセキュリティ管理の条件も厳しくなります。対象者と申請の条件は、「段階別の対象者と申請条件」のとおりです。

段階別の対象者と申請条件

Defense Accessはインシデント対応やマルウェア解析向け

Defense Accessは守る側の作業のための段階です。対象になる業務は次の3つです。

• SOC（セキュリティ監視の拠点）やインシデント対応の業務
• マルウェアのリバースエンジニアリング
• 脆弱性の分析と検証

重要インフラ事業者は規模を問わず対象で、地域の病院や自治体が運営する水道などの公益事業者も含まれます。企業・非営利団体・大学・政府の防御チームのほか、小規模なセキュリティ企業やOSSのメンテナ、脆弱性を報告してきた実績のある個人研究者も申請できるとのこと。Anthropicは申請に数日以内で回答するとしています。

Red Team Accessはペンテスト可能、ランサムウェアは遮断

Red Team AccessではDefense Accessの用途に加えて、認可されたペネトレーションテスト（許可を得て実際に侵入を試みる検査）とレッドチーミング（実際の攻撃と同じ手口で防御の弱点を探す演習）ができます。試験の相手は検査を認められたシステムに限られます。

ただしこの段階でもランサムウェアの展開や物理システムの破壊、高リスクな安全系へのペネトレーションテストはその場で遮断されます。審査に数週間かかるあいだはDefense Accessに登録されるとのこと。現時点では組織だけが対象で個人の研究者は申請できません。

Specialized Accessは重要インフラの脆弱性試験向け

Specialized Accessは遮断がいちばん少ない段階で、対象は人命や市場に関わる重要なシステムを試験する権限を持った組織に限られます。例えば、航空機の運航システム・電力網・通信網のほか、銀行間の送金基盤や政府の行政ネットワークが含まれるとのこと。いずれも止まれば社会全体に影響が及ぶ設備です。

審査は組織ごとに米国政府と連携して詳しく行われます。既存のProject Glasswingメンバーはこの段階へ移行し、現行モデルについては承認を取り直す必要がありません。

段階ごとの遮断をサイバー攻撃のベンチマークで比較

Anthropicは複数の手順からなるサイバー攻撃を現実的な制約のもとで計画・実行できるかを評価するCyScenarioBenchで、Opus 5.5をCVPの段階ごとにテストしています。段階が上がるにつれて遮断の回数は減り、Red Team AccessのOpus 5.5は安全策を無効にした状態とほぼ同じ割合で課題を完了しました。

Defense AccessはOpusのベンチマーク50回中46回を遮断

Defense Accessでは50回のうち46回が途中のどこかで止まり、完了まで進んだのは残りの4回です。CyScenarioBenchの課題は攻撃そのものなので、防御向けの段階で止まるのは想定どおりとのこと。CVPに入っていない通常のモデルでは、すべての課題が最初のプロンプトで止まりました。

Red Team AccessのClaudeは安全性の遮断なし

Red Team Accessでは遮断が1回も発生せず、Opus 5.5は50回中34回で課題を完了しました。安全策をかけない状態の成功率は67.6%とのこと。Red Team Accessの安全策は、攻撃試験の性能をほとんど落としていないことになります。

Anthropicはこの結果をもとに、高度なサイバー能力をより多くの防御側の組織へ安全に提供できると判断しました。段階ごとの分類器は今後も調整を続けるとしています。

Anthropic提携先は脆弱性12万9,000件超を発見

Glasswingの提携先は、2026年4〜7月に検証済みの脆弱性を少なくとも12万9,000件見つけました。提携先はMythosで自社や重要なソフトウェアの脆弱性を探しています。

AnthropicのOSSスキャンでも、4〜10月に5,500件が見つかりました。両方を合わせた件数のうち、3万3,000件超が深刻度criticalまたはhighと評価されたとのこと。修正済みの件数を開示した提携先は半数に届いていません。

数字は33社分の報告にもとづく一部のデータです。Anthropicは実際の影響を少なくともこの5倍と見込んでいます。

個人が申請できる段階と本人確認などの条件は何か

個人が申請できるのはDefense Accessだけで、Claudeの有料プランに入っていることが条件です。一方、組織の場合は管理者がシートを割り当てるため、社員が個別に申請する必要はありません。

組織に属さない研究者・OSSのメンテナ・バグ報奨金で活動する人は、個人として申請します。審査では業務の内容や本人確認ができるかどうかのほかに、最終的なユーザーも確認されるとのこと。軍・情報機関・法執行機関を主な顧客とする組織については、慎重に判断するとしています。

データ保持・多要素認証の必須化とAPIキーの7日失効

CVPに参加する組織には悪用を監視するためのデータ保持が求められます。ゼロデータ保持（送信した内容をAnthropic側に残さない契約）は、原則として利用できません。

今秋後半にEnterprise Frontier Safeguards（EFS）の提供が始まれば、対象の組織は自社管理のクラウドにデータを置けるようになるとしています。それまでは、Fable 5.1かMythos 5.1をゼロデータ保持で利用できる組織に限り、CVPもゼロデータ保持で利用できます。

Defense Accessでは、2026年12月15日までにフィッシング耐性のある多要素認証へ移行し、APIキーの利用をやめる必要があります。それまでは何らかの多要素認証が必須で、APIキーは7日ごとに失効するとのこと。ヘルプセンターは、Workload Identity Federationへの早めの移行を勧めています。

APIとConsoleは承認後にワークスペースへ割り当て

承認されたあとの作業はClaudeをどの形態で使っているかによって変わります。必要な設定は次のとおりです。

• Claude ConsoleとAPIの組織：オーナーがプログラムをワークスペースへ割り当てる
• Claude Enterprise：カスタムロールへ割り当てる
• Claude Team・Max・Pro：追加設定は不要

AWS・Google Cloud・Azure経由でMythosを使う場合は、承認から約5営業日遅れて利用できるようになります。承認後も利用ポリシーはすべて適用され、Anthropicは付与した権限を見直したり取り消したりすることがあるとのこと。既存のCVPメンバーは旧モデルの設定がそのまま引き継がれ、新しいモデルの利用可否は自動で評価されます。