A Anthropic anunciou a reestruturação de seu programa de verificação cibernética (CVP), integrando-o ao Project Glasswing em uma oferta única com três níveis de acesso aos seus modelos mais capazes. A medida se baseia em um problema duplo: modelos que ajudam os defensores a descobrir e corrigir vulnerabilidades também podem oferecer capacidades úteis aos invasores.
Os modelos Claude geralmente disponíveis, incluindo Claude Opus 5.5, Sonnet 5.5 e Fable 5.1, vêm equipados com controles que impedem a maioria das atividades cibernéticas. Já no novo programa, os três níveis incluem Opus 5.5, Sonnet 5.5, Mythos 5.1 e modelos futuros, mas cada nível tem requisitos de verificação e controles operacionais diferentes.
Três níveis para uso cibernético
Defense Access é destinado a operações de centros de operações de segurança e resposta a incidentes, engenharia reversa de malware e análise e verificação de vulnerabilidades. Equipes de segurança que defendem seus próprios sistemas, operadores de infraestrutura crítica, pequenas empresas de segurança, mantenedores de projetos de código aberto e pesquisadores individuais com histórico de divulgação de vulnerabilidades podem se candidatar. A Anthropic afirma que pretende responder às solicitações em alguns dias.
O Red Team Access acrescenta testes de intrusão autorizados e exercícios de equipes vermelhas, desde que as operações se limitem a sistemas que o solicitante esteja autorizado a testar. Atividades que possam causar danos físicos ou interrupções generalizadas, como a disseminação de ransomware, continuam proibidas em tempo real. Esse nível está disponível apenas para organizações, e a análise deve levar algumas semanas, com os candidatos qualificados recebendo temporariamente permissões do Defense Access.
O Specialized Access tem a menor quantidade de barreiras cibernéticas, mas é limitado a um pequeno número de organizações autorizadas a testar sistemas sensíveis, como redes elétricas, sistemas de aviação, redes de telecomunicações e infraestrutura de transferências interbancárias. A Anthropic analisa as solicitações desse nível em cooperação com o governo dos Estados Unidos, enquanto os atuais membros do Glasswing migram para ele.
Indicadores do impacto do programa
A Anthropic afirmou que os parceiros do Glasswing descobriram pelo menos 129 mil vulnerabilidades verificadas entre abril e julho, enquanto a análise de código aberto realizada pela empresa resultou em 5.500 vulnerabilidades adicionais entre abril e outubro. Mais de 33 mil delas foram classificadas como de alta ou crítica gravidade. A empresa estima que o impacto real possa ser pelo menos cinco vezes maior, porque os números abrangem apenas uma amostra dos participantes.
O que muda na prática?
O novo desenho transforma o acesso às capacidades cibernéticas de exceções separadas em um caminho unificado baseado na identidade da entidade, no escopo da autorização e na sensibilidade dos sistemas visados. Em contrapartida, as organizações participantes devem aceitar a retenção de dados para permitir que a Anthropic monitore o uso indevido. A empresa pretende disponibilizar o Enterprise Frontier Safeguards mais tarde no outono, permitindo que clientes qualificados armazenem os dados em uma infraestrutura de nuvem sob seu controle. Até lá, as organizações que tiverem acesso ao Fable 5.1 ou ao Mythos 5.1 sem retenção de dados poderão usar o CVP com essa configuração.
O CVP está disponível no Claude Platform, no Google Cloud Vertex AI e no Microsoft Foundry, enquanto sua disponibilidade no Amazon Bedrock se limita a clientes qualificados para o Enterprise Frontier Safeguards. Os membros atuais são avaliados automaticamente para obter acesso aos novos modelos, mantendo suas configurações atuais para os modelos anteriores.