Anthropic 用一組自己跑的測評，把這次產品改動講得很白。在 CyScenarioBench 上，Claude Opus 5.5 對 10 道多階段網攻情境各試 5 次、一共 50 次：沒有 Cyber Verification Program（CVP）權限時，每一次都在第一則提示詞被擋住；Defense Access 層 46 次中途被擋、只做成 4 次；Red Team Access 層一次都沒被擋，做成 34 次，官方寫成等同關掉防護欄時的 67.6% 完成率。
這組數字不是新模型發表會，是公司把兩套舊計畫拆掉再重組。4 月起並行的 Project Glasswing 與舊 CVP，現在收成同一套三層驗證：Defense Access、Red Team Access、Specialized Access。每一層都能用目前最能的 Claude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1，以及之後新出的模型。公開端繼續擋掉大多數網安工作；通過驗證的團隊，擋的範圍會依層級往下鬆。
你如果平常只把 Claude 當寫信、改程式、整理會議紀錄的聊天機器人，這則消息聽起來像後台開關。對資安團隊來說，它決定一件更具體的事：同一顆大型語言模型，在公開API上幾乎不能幫你拆惡意程式、驗證漏洞、做授權紅隊測試；通過驗證之後，同一套能力可以接到 SOC、滲透測試，甚至飛控、電網、跨行清算這類系統。
官方先講清楚的三層，以及每一層還擋什麼
Anthropic 把網路安全寫成雙用途，這也是它一直強調的AI安全取捨：幫防守方找漏洞的能力，也能幫攻擊方利用漏洞。所以公開販售的 Claude Opus 5.5、Claude Fable 5.1、Claude Sonnet 5.5 帶著偏保守的網安分類器。SiliconANGLE 補了一句產品層的後果：Opus 5.5 9 月 22 日上線後，多數網安任務會被轉去較舊的 Opus 4.8。
新 CVP 不是把分類器關掉，而是依工作範圍分三檔。官方 Help Center 寫，一般使用者仍可用公開模型做程式碼審查、修已知問題、在自己擁有的原始碼裡找漏洞、分揀資安告警；惡意程式分析、漏洞複現、授權攻擊模擬，才需要申請。
| 層級 | 誰能申請 | 允許的工作 | 仍會即時擋住的事 | 審核節奏 |
|---|---|---|---|---|
| Defense Access | 企業、非營利、大學、政府資安團隊；區域醫院或市政水電這類關鍵基礎設施營運者；小型資安公司；開源維護者；有回報漏洞紀錄的個人研究員 | SOC、事件回應、惡意程式逆向、漏洞分析與驗證 | 多數進階攻擊鏈；官方測評裡 50 次只做成 4 次 | 官方說多數防禦單位應能過，目標數個工作天回覆 |
| Red Team Access | 僅限組織：內部紅隊、政府紅隊、滲透測試公司 | 上述防禦工作，外加對「已獲授權系統」的滲透與紅隊 | 部署勒索軟體、破壞實體系統、測高風險安全系統 | 審核約數週；審核期間先給 Defense；個人研究員目前不能申請 |
| Specialized Access | 少數已被授權測試「出事會影響人命或市場」系統的組織；與美國政府一起深度審查 | 飛控、電網、電信網、跨行轉帳基礎設施、政府行政網路 | 官方稱網安阻擋最少 | 既有 Glasswing 成員轉入此層，既有模型不必重審 |
申請走驗證入口，公司會核對身份，並要求申請人出示該層規定的安全控制證明。既有 CVP 成員對舊模型的設定保留，新模型（Opus 5.5、Sonnet 5.5、Mythos 5.1）會被自動評估要不要升上去。組織裡由管理員把席次配到指定 workspace；個人研究員目前只能走 Defense Access。
通路也寫死了。CVP 可走 Claude Platform、Google Cloud Vertex AI、Microsoft Foundry。Amazon Bedrock 只開放給有資格使用 Enterprise Frontier Safeguards（EFS）的客戶。參加計畫的組織原則上必須接受資料留存，好讓 Anthropic 監看網安濫用；今秋稍晚 EFS 上路後，符合資格的客戶可以把資料放在自己控制的雲端基礎設施。在那之前，已經拿到 Claude Fable 5.1 或 Mythos 5.1 零留存條款的組織，也可以用同樣條件跑 CVP。
Glasswing 交出的數字：12.9 萬、5,500、33,000，以及那句「至少五倍」
Anthropic 用 Glasswing 的實績當這次放寬的理由。夥伴在 4 月到 7 月之間，至少找出 129,000 個已驗證軟體漏洞；公司自己掃開源專案，4 月到 10 月又加了 5,500 個。合併計算，超過 33,000 個被標成高危或嚴重。官方同時寫：這些數字來自「只有一部分夥伴」的問卷，真實影響「至少高出五倍」。SiliconANGLE 寫明問卷來源是 33 份夥伴報告，不到一半的夥伴交出已修補數量，常見原因是修補還在進行。
這組數字要跟半年前的公開紀錄一起看。Glasswing 4 月跟著 Mythos 預覽一起推出，6 月再擴到額外 150 個組織。到了 5 月，站上已經寫過同一條曲線：找出漏洞的速度把瓶頸推到修補。這次官方自己把「問卷子集」和「修補數少報」寫進新聞稿，等於承認 12.9 萬不能直接讀成「已經補上 12.9 萬個洞」。
The Register 把開源掃描那一截拆得更細：5,674 個真陽性裡，高危 3,014、嚴重 1,522，已修補只有 516。這不是 12.9 萬那一欄的修補率，而是公司自己掃開源專案時交出的子集。兩個數字並放，讀法應該是：模型很會找；修補隊列跟不上找的速度。
Comcast 與 Booz Allen 的案例，把「找得到」和「修得完」中間那截講得更像現場。Comcast 用 Claude Mythos Preview 評估 258 套業務關鍵系統、約 1.7 億行程式碼，找出一個公開平台上的嚴重驗證繞過，修掉時還沒看到被利用的證據。該公司資訊安全長 Noopur Davis 的原話幾乎可以當這次計畫的旁白：「發現變快了。發現變容易了。發現量非常大。驗證這些大量發現，才是新的瓶頸。」她另外區分三層：發現（finding）要經過驗證才叫漏洞；漏洞要能在目標環境被走到，才叫可利用。
Booz Allen 則把模型用在短天期評估裡。國家網路安全總裁 Brad Medairy 說，一名分析師用 Mythos 在 12 天內看完 8 套生產系統、138 個程式庫；同樣規模的投資組合審查，以前要更大人手、花好幾個月。副總裁 Sahil Sanghvi 描述的能力不是單檔掃漏洞，而是把應用行為、設定、身分、權限、部署上下文串成一條攻擊假設。他們舉的例子是開機早期、作業系統載入前的那段程式：裝置用來決定要上鎖或抹資料的金鑰沒被保護，作業系統可以換掉金鑰、讓本該鎖死的裝置一直開著。模型追的是同一個設定跨兩套程式、兩種語言，確認沒有任何一層把金鑰鎖上。
發現變快了。發現變容易了。發現量非常大。驗證這些大量發現，才是新的瓶頸。
—— Comcast 資訊安全長 Noopur Davis
獨立追蹤把 12.9 萬壓回另一組比例
官方數字很大，第三方看的是進了 CVE 追蹤的那一小截。The Hacker News 引 VulnCheck 研究員 Patrick Garrity 9 月底的分析：他追蹤 300 個標成 Anthropic 或 Glasswing 發現的漏洞，只有 2 個、約 0.67% 在野外被利用。這 300 筆的嚴重度分布是嚴重 39、高危 141、中危 81、低危 18。被實際攻擊的兩筆都很「老派」：Ghost CMS 的 SQL 注入 CVE-2026-26980，以及 Rejetto HTTP File Server 的工作階段偽造 CVE-2026-61500。The Register 用另一個口徑寫同一研究：他追蹤的 225 個 Anthropic 相關 CVE 裡，野外利用不到 0.5%。
Ghost 那筆有公開技術細節，但重點不在攻擊步驟，而在時間差。NVD 寫受影響版本是 3.24.0 到 6.19.0，修補在 6.19.1。Cloud Security Alliance 的研究筆記寫，Anthropic 研究員 Nicholas Carlini 用 Claude 對 Ghost 程式庫做約 90 分鐘的自主分析後找到注入點，2 月中旬透過 GitHub 諮詢披露，修補在 2 月 19 日發出；奇安信 XLab 則偵測到 5 月 7 日起開始有規模化利用。修補公開近三個月後才看到大規模攻擊，這條時間線同時打臉兩種懶惰結論：一是「AI 找出的洞都是紙老虎」，二是「模型找到就等於防住了」。
The Hacker News 另外引 Veracode：測試裡約 44% 的 AI 產生程式任務會引入有風險的資安漏洞，各模型平均通過率 56%，跟上一次報告的 55% 幾乎沒動。換句話說，發現端在加速，修補端如果也交給同一類生成式AI自動寫補丁，通過率並沒有跟著爬升。1Password 與 Veracode 的例子被放在同一段，提醒「AI 寫的修補」本身可能再帶進新洞。
所以讀 12.9 萬時，至少要同時記住三條分母不同的數字：夥伴問卷的 129,000；開源掃描真陽性 5,674、已修 516；CVE 追蹤樣本 300 筆、野外利用 2 筆。官方自己說真實影響可能五倍，那是對「問卷少報」的外推，不是對「可利用性」的外推。
誰被放進來，誰還在門外
三層結構的政治含義，比產品頁上的「防禦優先」更硬。Specialized Access 由 Anthropic 與美國政府一起審查；既有 Glasswing 成員直接轉入。Red Team Access 不收個人。Defense Access 才對有回報紀錄的獨立研究員開門，而且官方測評顯示這層幾乎仍會把多階段攻擊鏈擋掉。
The Register 點出一個時間上的刺：就在擴張 CVP 的前一週，Anthropic 才警告過對手智譜 GLM-5.3 的進階網安能力。同一家公司一邊說公開模型必須擋網安、一邊說自己的 Mythos 給驗證過的防守方用很安全，讀者有理由問：擋的是能力，還是擋的是「誰准用」。開源權重那條路上，把防護欄剃掉的模型本來就不走這套申請表；Register 直接寫，Specialized Access 的阻擋，比不過那些被拿掉護欄的開放權重模型。
通路限制也會變成採購條件。已經把工作負載放在 Bedrock 的團隊，若還沒有 EFS 資格，這次擴張等於還沒輪到你。走 Vertex AI 或 Foundry 的團隊，申請通過後要接受資料留存，直到 EFS 開放。對處理事件回應、惡意程式樣本、客戶原始碼的資安公司來說，「模型比較會找洞」和「對話會留在供應商那邊」是同一張合約的兩面。
這次改的是存取控制，不是把公開 Claude 變成網攻工具。沒有 CVP 的使用者，官方測評裡 50 題全在第一則提示被擋；有 Defense 的團隊，多數進階鏈仍會被打斷；要做到接近「無防護欄」的完成率，得進 Red Team 或 Specialized，而且紅隊層仍禁止勒索軟體與高風險安全系統測試。個人研究員若以為申請過就能在自己筆電上對任意目標做攻擊模擬，官方條款寫的是不行。
資安工作流會先卡在驗證，不是卡在模型名
Comcast 與 Booz Allen 描述的工作方式，其實很像把AI代理接進既有審查流程，而不是換成全自動掃描器。模型負責跨倉、跨語言、跨設定追一條假設；人負責驗證能不能在運行中的系統走到、去重、把工單派給真正擁有那套系統的工程師。Medairy 的原話是：操作者留下判斷，模型拉長他們能盯住的投資組合範圍。他同時說，前沿模型已有能力自主走完整條網攻殺傷鏈，組織必須改成持續審查，而不是一年一次的專案。
這對採購與值班流程的含義很具體。第一，申請哪一層，要對得上你被授權做的事：只守自己系統就走 Defense；對客戶做授權滲透才需要 Red Team；測電網、飛控、跨行清算才進 Specialized。第二，CyScenarioBench 是 Anthropic 自己調過各層分類器後的內部測評，不是第三方紅隊報告；Defense 做成 4／50、紅隊 34／50，只能說明「擋的寬嚴有差」，不能外推到你自家程式庫的召回率。第三，Glasswing 的 12.9 萬沒有對應的公開修補率；開源掃描那 516／5,674 才是目前能核對的修補子集。第四，對話留存是現在的預設，EFS 還沒上路。第五，Bedrock 客戶要先確認自己在不在 EFS 名單裡，否則這次擴張對你還沒生效。
基礎模型廠商把網安當雙用途問題，不是今天才開始。OpenAI 也把高能力網安模型鎖在受信任防守方通路裡；公開聊天產品則繼續用分類器擋。Anthropic 這次做的，是把「誰算受信任」從兩套計畫、兩組模型，收成一張三層表，並用自己的 50 題測評證明：公開端全擋、防禦層幾乎全擋、紅隊層等於沒擋。你要核對的不是口號裡的「給防守方優勢」，而是申請通過後，分類器在你真實任務上擋不擋、擋完之後的發現有沒有人驗證、驗證完有沒有人修、修完有沒有人部署。