Anthropic 扩展网络验证计划

Anthropic 的网络验证计划（CVP）现在将申请人分为三个层级，每一级都解除了该公司默认安全限制的不同程度。入门级“防御访问”面向企业安全团队、非营利组织、大学、政府机构、关键基础设施运营商、小型安全公司、开源维护者，甚至能提供漏洞披露记录的独立研究人员开放；适用于 SOC 和事件响应工作、恶意软件逆向工程及漏洞分析，审核耗时“数天”。^[1]“红队访问”更进一步，增加了授权渗透测试和红队演练，但仅限组织申请（不接受个人），审批需数周——若涉及人身伤害、大规模破坏、勒索软件部署或攻击高风险安全系统等行为，仍会实时触发拦截。^[1]最高级别“专项访问”专为经批准可测试安全关键基础设施（如飞行系统、电网、电信网络、银行间转账通道、政府网络）的组织保留，由 Anthropic 与美国政府直接协作进行审查；此前参与 Project Glasswing 的成员（包括 AWS、Cisco、JPMorganChase、Microsoft 和 Nvidia 等合作伙伴组成的联盟）将自动转入该层级。^[1]目前所有三个层级均包含 Claude Opus 5.5、Claude Sonnet 5.5 和 Claude Mythos 5.1，未来还将陆续加入更多模型。^[1]

“减少限制”究竟意味着什么，最清晰的证据来自 Anthropic 自家的 CyScenarioBench 测试。完全无 CVP 访问权限时，Claude Opus 5.5 在全部50项进攻性安全测试任务中均被阻止，无法开始任何一项。在防御访问下，模型仍在50项中有46项被拦截，仅完成4项。而在红队访问下，拦截机制完全消失——零拦截——模型完成了50项中的34项，成功率67.6%，Anthropic 表示这一表现与完全无安全防护的模型一致。^[2]这才是隐藏在一个标榜“扩大防御安全影响”的项目背后的真实头条：对于经过审查的红队而言，Claude 的进攻能力上限与无限制模型毫无差别。^[1]IDC 研究总监 Sakshi Grover 指出解读该数据时需注意一点——该基准测试由 Anthropic 自行开展，并未经独立审计，她认为某一行动序列是否属于合法红队行为还是实际攻击，取决于授权范围、目标界定和执行条件，这些外部人员仅凭分数无法验证。^[2]Anthropic 还估计其防御端成果被低估，称合作伙伴调查数据显示，该项目实际发现漏洞的影响至少是官方统计数字的五倍。^[2]

两位在项目发布期间接受采访的网络安全研究人员仅在附加条件下支持这种分层结构。IDC 的 Deepika Giri 表示，该模式必须配合持续访问审查、独立的短期代理身份、全面可观测性以及对高影响操作的人工监督才可行，她警告即使通过了初始审查，代理的行为也可能随时间发生偏移。^[2]红队专家 Vibhum Dubey 提出了相关的问责问题：获得扩展访问权限的组织仍需提前明确，当自主 AI 系统采取重大行动时，责任归属何方。^[2]Anthropic 自身用户群体正在实时检验这一盲区。社区反馈呈现两极分化：一方面庆幸个体漏洞猎人终于可以申请，另一方面又对其准入门槛看似随意感到沮丧——一位用户表示仅将用途描述为“家庭作业”便获通过，而另一位拥有六份已确认漏洞报告并累计获得约1万美元漏洞赏金的渗透测试员却被拒之门外。这种不一致性比任何政策措辞更能引发外界怀疑：“经过审查”可能并不比一份简短申请表更严格。

该项目公布的防御成果数量庞大：2026年4月至7月间，Project Glasswing 合作伙伴共披露超过12.9万个经验证的漏洞，Anthropic 自身的开源扫描截至10月又新增约5,500个，其中超过3.3万个被评定为严重或高危级别。^[1]但发现数量并不等同于现实威胁。在 Anthropic 被列为贡献者的约300个 CVE 中，独立追踪发现仅有两个——Ghost CMS SQL 注入漏洞（CVE-2026-26980）和 Rejetto HTTP 文件服务器会话伪造漏洞（CVE-2026-61500）——在野外被实际利用，比例不足1%。^[3]正因如此，Anthropic 在扩大访问的同时也在数据层面增设新护栏：注册 CVP 要求组织接受数据留存以便监控滥用行为，这一权衡措施计划在今年晚些时候通过“企业前沿防护”（EFS）加以缓解，届时将允许客户在其自有云基础设施内实现零留存存储。^[1]