Anthropic 本周宣布扩展其 Cyber Verification Program（CVP），把网络相关能力的访问权限拆成三个基于用例的层级，并把 Project Glasswing 归入限制最少的层级。官方说法是，这一调整将“把 Project Glasswing 的影响力扩展到更多网络防御者”。

但真正值得安全团队关注的，是 Anthropic 自己公布的一组测试数据：在限制最严格的 Defense Access 层级下，带有防护措施的 Claude Opus 5.5 在 50 次进攻性安全基准测试中被阻止了 46 次，仅 4 次成功。对于大量以防御自有系统为主要工作的团队来说，这个层级很可能就是他们的归宿。

三层结构：从“几乎全拦”到“政府联审”

依据现有素材，改版后的 CVP 分为三个层级，每个层级对应不同的验证要求和安全控制：

• Defense Access（防御访问）：限制最严格，面向事件响应、漏洞分析等防御性工作。申请资格最广，包括小型安全公司、开源维护者以及有漏洞报告记录的独立研究人员。
• Red Team Access（红队访问）：中间层级，Anthropic 称其最适合红队和渗透测试公司。该层级涵盖所有 Defense Access 用例，外加授权的渗透测试和红队演练。独立研究人员默认被禁止访问。
• Specialized Access（专业访问）：限制最少，Anthropic 称其“保留给有限的一组经过验证的组织”，这些组织被授权测试电网、电信网络等安全关键系统。Project Glasswing 的所有成员自动获得该层级资格，但新加入的安全团队必须通过由 Anthropic 和美国政府联合进行的审查。

无论哪个层级，Anthropic 表示所有团队都可以访问其最强大的模型，例如 Claude Opus 5.5、Sonnet 5.5 和 Mythos 5.1，以及后续推出的新模型。

防御者被拦下的比例，高得有点尴尬

问题出在防护措施的实际拦截率上。

Anthropic 用 CyScenario Bench（其用于评估规划和执行多阶段网络行动的基准）测试了新的三个 CVP 层级。结果显示：

• Defense Access 层级：Claude Opus 5.5 在 50 次试验中阻止了 46 次，仅允许 4 次成功。
• 无 CVP 访问权限：每个任务都在第一个提示词处被阻止。
• Red Team Access 层级：没有任何试验被阻止，模型成功完成了 50 个任务中的 34 个，相当于该模型在未应用任何防护措施时 67.6% 的成功率。

Anthropic 对此的解释是，这些评估涉及“复杂的交互式攻击场景”，因此 Defense Access 层级面临大量阻止是意料之中的。

但这里有一个关键的信息缺口。正如素材所指出的：这些结果并不意味着 Defense Access 阻止了该层级所针对的 92% 的防御性工作。然而，如果没有一个可比的、以防御为重点的基准测试，开发者和安全团队还无法知道这些防护措施将如何干扰防御性工作。

换句话说，Anthropic 用进攻性基准测试来证明防御性层级的拦截行为，但防御者真正关心的是：做事件响应、分析漏洞时，模型会不会被误伤。这个问题目前没有答案。

数据保留：所有层级都要接受，但有变通

无论哪个层级，Anthropic 表示所有加入 CVP 的组织都必须接受数据保留。不过素材中提到了一些变通方法：

• Anthropic 表示，Enterprise Frontier Safeguards（EFS）将于今年秋季晚些时候推出，届时符合条件的组织可以将数据存储在自主控制的云基础设施中。
• 在此之前，拥有 Claude Fable 5.1 或 Claude Mythos 5.1 访问权限且零数据保留的组织，可豁免 CVP 的数据保留要求。

此外，Anthropic 表示正在继续“努力帮助保护开源软件和关键基础设施”。该公司对更多细节保持沉默，但开发者和安全团队可以期待在未来几周内获得更多信息。

趋势判断：能力分层正在成为前沿实验室的默认动作

从这次 CVP 改版可以读出几个信号：

第一，网络能力的分级访问正在制度化。 Anthropic 不是简单地把模型开放或关闭，而是按用例、按验证强度、按审查主体（甚至引入美国政府联审）来切分能力。这意味着安全团队获取前沿模型能力的路径，正在从“申请 API 权限”变成“通过合规审查”。

第二，防御者被默认归入低权限档位。 Defense Access 的申请资格最广，但限制也最严。对于小型安全公司、开源维护者和独立研究人员来说，这可能是他们唯一能拿到的层级，而这一层级的拦截率在进攻性基准上高达 92%。

第三，防御性基准测试的缺失是一个结构性缺口。 素材明确指出，目前没有可比的、以防御为重点的基准测试。这意味着安全团队无法提前评估防护措施对自身工作的影响，只能在实际使用中试错。

第四，数据主权问题有了阶段性方案。 EFS 的推出时间和零数据保留豁免条款，为有合规要求的组织提供了过渡路径，但具体适用范围和条件仍需等待更多细节。

结论

Anthropic 的 CVP 改版在形式上给了安全团队更多选择，但实质上是把最强大的网络能力收得更紧。Defense Access 层级的高拦截率、Red Team Access 对独立研究人员的默认禁止、Specialized Access 的政府联审，共同构成了一道分层过滤网。

对于防御者来说，真正的痛点不是“能不能用 Claude”，而是“用 Claude 做防御工作时会不会被误拦”。在 Anthropic 拿出一个以防御为重点的基准测试之前，这个问题只能靠实际部署来回答。而素材中提到的“未来几周内获得更多信息”，或许是下一个值得关注的节点。

配图建议：CVP 三层级权限对比示意图，横轴为访问限制强度，纵轴为适用组织类型，标注 Defense Access、Red Team Access、Specialized Access 三档及对应拦截率数据。

生成标记：本文由 ITPUB 文章生成平台基于已选素材整理生成。