Program weryfikacji cyberbezpieczeństwa Anthropic rozszerza dostęp, ale usuwa kluczowe zabezpieczenia Claude

Anthropic rozszerzył dostęp do trzech zaawansowanych modeli Claude, mimo że po usunięciu standardowych zabezpieczeń potrafią realizować złożone ofensywne zadania z zakresu cyberbezpieczeństwa. Program Anthropic Cyber Verification Program obejmuje teraz Claude Opus 5.5, Claude Sonnet 5.5, Claude Mythos 5.1 oraz przyszłe modele. Zatwierdzone organizacje mogą wykorzystywać je do pracy, która dla zwykłych użytkowników Claude byłaby blokowana.

Zmiana otwiera kontrolowaną ścieżkę do możliwości AI, które Anthropic celowo wyłączył z powszechnego dostępu. Zespoły bezpieczeństwa mogą badać złośliwe oprogramowanie, znajdować luki i prowadzić autoryzowane testy penetracyjne. Mniejsza grupa może testować systemy związane z sieciami energetycznymi, operacjami lotniczymi, telekomunikacją, bankowością i usługami rządowymi.

To więcej niż ogłoszenie dotyczące dostępu do produktu. Anthropic sprawdza, czy weryfikacja tożsamości, kontrola organizacyjna, monitoring i nadzór rządowy mogą zastąpić ograniczenia wbudowane w sposób działania modelu. OpenAI realizowało własny etapowy model dostępu do zaawansowanych modeli cybernetycznych, podczas gdy amerykańscy urzędnicy odgrywają coraz większą rolę w decydowaniu, kto może korzystać z systemów frontierowych.

Główne pytanie nie brzmi już, czy AI może wspierać obrońców w cyberprzestrzeni. Anthropic twierdzi, że jego wcześniejsi partnerzy wykryli ponad 134 000 zweryfikowanych luk dzięki modelom Claude i powiązanym pracom skanującym. Trudniejsze pytanie dotyczy tego, czy dostawca może selektywnie usuwać zabezpieczenia bez tworzenia uprzywilejowanej ścieżki, którą ostatecznie wykorzystają atakujący.

Anthropic Cyber Verification Program otwiera trzy poziomy dostępu

Anthropic zastępuje jedną szeroką granicę bezpieczeństwa trzema coraz bardziej liberalnymi poziomami dostępu.

Rozszerzony program weryfikacyjny dzieli zatwierdzonych użytkowników na Defense Access, Red Team Access i Specialized Access. Każdy poziom umożliwia inny zakres działań i wiąże się z odmiennymi wymogami kwalifikacyjnymi.

Defense Access wspiera działania takie jak reagowanie na incydenty, operacje bezpieczeństwa, analiza złośliwego oprogramowania, walidacja luk i badania obronne. Uprawnieni wnioskodawcy mogą obejmować firmy, uczelnie, organizacje non-profit, instytucje rządowe, opiekunów projektów open source oraz indywidualnych badaczy z wiarygodną historią zgłaszania luk.

Program obejmuje również operatorów infrastruktury krytycznej różnej wielkości. Anthropic wskazuje w szczególności organizacje takie jak regionalne szpitale i miejskie zakłady użyteczności publicznej. Firma twierdzi, że wielu legalnie działających zespołów obronnych spełni kryteria, i zamierza odpowiadać na takie zgłoszenia w ciągu kilku dni.

Red Team Access idzie dalej. Umożliwia autoryzowane testy penetracyjne i ćwiczenia adversarialne wobec systemów, które organizacja posiada lub ma zgodę testować. Zgłoszenia mogą składać wewnętrzne zespoły red team, zespoły rządowe, firmy konsultingowe ds. bezpieczeństwa i firmy prowadzące testy penetracyjne.

Organizacje na tym poziomie muszą spełnić dodatkowe wymagania kwalifikacyjne i wdrożyć mechanizmy bezpieczeństwa. Anthropic oczekuje, że przegląd wniosków potrwa kilka tygodni. Wnioskodawcy mogą otrzymać Defense Access, gdy firma rozpatruje ich prośby o bardziej liberalny poziom.

Red Team Access nadal ma ograniczenia. Claude powinien blokować działania związane z fizyczną szkodą lub zakłóceniami na szeroką skalę. Anthropic wymienia wdrażanie ransomware, uszkadzanie systemów fizycznych i testowanie systemów bezpieczeństwa wysokiego ryzyka jako działania ograniczone.

Specialized Access usuwa największą liczbę ograniczeń cybernetycznych. Jest zarezerwowany dla organizacji upoważnionych do testowania systemów, których awaria mogłaby zagrozić życiu lub zakłócić działanie głównych rynków.

Do takich celów należą systemy operacyjne lotnictwa, sieci energetyczne, sieci telekomunikacyjne, infrastruktura transferów międzybankowych i rządowe systemy administracyjne. Anthropic twierdzi, że szczegółowo ocenia każdą organizację korzystającą ze Specialized Access wspólnie z rządem USA.

Obecni członkowie Project Glasswing przejdą na ten poziom bez ubiegania się o nową zgodę dla bieżących modeli. Project Glasswing to kontrolowana inicjatywa Anthropic, która daje wybranym dostawcom infrastruktury i organizacjom bezpieczeństwa dostęp do jego najsilniejszych możliwości cybernetycznych.

Program opiera się więc na czymś więcej niż zweryfikowanym adresie e-mail lub standardowej umowie korporacyjnej. Łączy dostęp do modelu z tożsamością wnioskodawcy, rolą instytucjonalną, uprawnieniami do testów, kontrolami technicznymi i zamierzonymi celami.

Organizacje muszą także zaakceptować warunki monitorowania. Anthropic zasadniczo wymaga retencji danych, aby móc wykrywać możliwe nadużycia. Obecni użytkownicy Fable 5.1 lub Mythos 5.1 z ustaleniami dotyczącymi zerowej retencji danych mogą tymczasowo zachować te zabezpieczenia po przystąpieniu do programu.

Anthropic planuje kolejną opcję o nazwie Enterprise Frontier Safeguards. Firma twierdzi, że system połączy kontrolę nadużyć z pamięcią chmurową zarządzaną przez uczestniczącą organizację. Do czasu jego uruchomienia zarządzanie danymi pozostaje istotnym kompromisem dla zespołów pracujących z wrażliwym kodem lub dowodami dotyczącymi incydentów.

Najważniejszym rozróżnieniem jest upoważnienie. To samo działanie techniczne może oznaczać obronną walidację albo bezprawne włamanie, zależnie od celu i zgody operatora. Program próbuje ustalić ten kontekst, zanim złagodzi ograniczenia Claude.

Ten projekt tworzy główne napięcie artykułu. Anthropic nie twierdzi, że ryzykowne zachowania cybernetyczne stały się bezpieczne dla wszystkich. Twierdzi, że zweryfikowane instytucje mogą otrzymać silniejsze możliwości w ramach kontrolowanego systemu dostępu.

Zdolności cybernetyczne Claude już przynoszą rezultaty

Rozszerzenie następuje po dowodach, że zaawansowane modele Claude mogą skrócić wielomiesięczną pracę nad lukami do znacznie krótszych dochodzeń.

Anthropic twierdzi, że partnerzy Project Glasswing znaleźli co najmniej 129 000 zweryfikowanych luk w oprogramowaniu między kwietniem a lipcem 2026 roku. Oddzielne prace firmy nad skanowaniem open source zidentyfikowały kolejne 5 500 zweryfikowanych luk między kwietniem a październikiem.

Ponad 33 000 z tych ustaleń otrzymało oceny krytyczne lub wysokiego poziomu zagrożenia. Firma twierdzi, że łączna liczba prawdopodobnie nie oddaje pełnego efektu programu, ponieważ jej dane obejmują raporty jedynie od 33 partnerów.

Dane mają także istotne ograniczenia. Uczestnicy stosowali różne metody potwierdzania i kategoryzowania ustaleń. Mniej niż połowa ujawniła, ile luk zostało załatanych, często dlatego, że proces usuwania problemów nadal trwał.

Wykrycie luki nie jest równoznaczne z jej naprawieniem. Zespoły bezpieczeństwa muszą odtworzyć problem, ocenić jego wagę, określić dotknięte nim oprogramowanie, powiadomić opiekunów projektu, przygotować poprawkę, przetestować naprawę i bezpiecznie ją wdrożyć.

Model może przyspieszać wykrywanie, jednocześnie utrudniając zarządzanie późniejszymi etapami. Jeśli zautomatyzowane systemy generują ustalenia szybciej, niż ludzie potrafią je zweryfikować, zespoły bezpieczeństwa stają przed większą kolejką triage'u i dłuższym okresem nierozwiązanego narażenia.

Anthropic przyznał istnienie tego wąskiego gardła podczas wcześniejszego rozszerzenia Glasswing. Firma stwierdziła, że weryfikacja, ujawnianie informacji i łatanie stały się większymi ograniczeniami niż początkowe wykrywanie luk.

Ta presja pomaga wyjaśnić szerszy program dostępu. Mała, centralnie zarządzana grupa nie może sprawdzić każdej sieci szpitalnej, pakietu open source, systemu płatności, platformy użyteczności publicznej czy aplikacji rządowej. Operatorzy potrzebują bezpośredniego dostępu, ponieważ rozumieją własne środowiska i mogą autoryzować realistyczne testy.

Potencjalne korzyści wykraczają poza skanowanie oprogramowania. Zaawansowane modele mogą odtwarzać ścieżki ataku, analizować nieznane złośliwe oprogramowanie, generować potencjalne poprawki i powtarzać testy po zmianie systemu przez obrońców.

Współpraca z Pacific Northwest National Laboratory ilustruje ten mechanizm. Badacze stworzyli szkielet agenta, czyli zestaw narzędzi i instrukcji, który pozwalał Claude podejmować kontrolowane działania w środowisku sieciowym.

Zespół wykorzystał go do emulowania ataków na cyberfizyczny model zakładu uzdatniania wody. Według badań Anthropic nad infrastrukturą system odtworzył atak w trzy godziny zamiast kilku tygodni.

Test wykorzystywał Claude Sonnet 4, starszy model. Podczas jednego uruchomienia przygotowana metoda obejścia Windows User Account Control zawiodła. Claude wykrył niepowodzenie i wybrał inną znaną technikę, aby kontynuować symulowany atak.

Ta zdolność adaptacji jest cenna dla obrońców, ponieważ rzeczywiste środowiska rzadko zachowują się dokładnie zgodnie z opisaną procedurą. Jest też powodem, dla którego dostęp staje się niebezpieczny. Model potrafiący odzyskać sprawność po nieudanych krokach może pomóc atakującemu wyjść poza statyczne instrukcje.

Nowy program ma zapewnić legalnym zespołom wystarczającą swobodę, by odtworzyć takie zachowanie. Podstawowy przegląd kodu i łatanie pozostają dostępne za pośrednictwem ogólnie dostępnych modeli Claude. Bardziej interaktywne, wieloetapowe operacje wymagają weryfikacji, ponieważ przypominają rzeczywistą działalność intruzyjną.

Ta granica nadal będzie trudna do zdefiniowania. Analiza luk często zaczyna się od nieszkodliwej inspekcji kodu i rozwija się w łańcuch exploita. Specjalista reagujący na incydent może potrzebować odtworzyć technikę atakującego, zanim będzie mógł ją zablokować.

Odpowiedzią Anthropic jest ocena operatora i celu, zamiast osądzania każdej prośby wyłącznie na podstawie jej tekstu. To przesunięcie stawia tożsamość, zarządzanie i upoważnienie prawne obok filtrowania na poziomie modelu jako podstawowych mechanizmów bezpieczeństwa.

Usunięcie zabezpieczeń cybernetycznych zmienia to, co Claude może wykonać

Własne testy Anthropic pokazują, że poziomy dostępu nie tylko zmniejszają niedogodności; decydują o tym, czy Claude może ukończyć operacje ofensywne.

Firma oceniła Claude Opus 5.5 za pomocą CyScenarioBench, benchmarku do planowania i wykonywania wieloetapowych operacji cybernetycznych w realistycznych warunkach. Przeprowadziła pięć prób dla każdego z dziesięciu wyzwań na każdym poziomie dostępu.

Bez dostępu do programu Claude blokował każde zadanie już przy pierwszym poleceniu. Ogólnie dostępne środowisko uniemożliwiało więc kontynuowanie oceny, niezależnie od tego, czy operator miał łagodne intencje.

Defense Access umożliwił nieco więcej działań, lecz zabezpieczenia nadal zatrzymały 46 z 50 prób przed ukończeniem. Powiodły się cztery zadania. To zachowanie odpowiada poziomowi przeznaczonemu do dochodzeń, reagowania i pracy nad lukami, a nie do pełnej symulacji ataku.

Red Team Access przyniósł inny wynik. Nie wystąpiły żadne blokady zabezpieczeń, a Claude ukończył 34 z 50 prób. Wskaźnik ukończenia na poziomie 68 procent był faktycznie identyczny z wynikiem 67,6 procent osiągniętym bez zabezpieczeń.

Liczby te wyjaśniają, co przyznaje Anthropic. Zatwierdzone zespoły red team nie otrzymują standardowego doświadczenia Claude z większym limitem żądań. Otrzymują dostęp do zachowania modelu, które w tym teście bardzo zbliża się do jego nieograniczonej wydajności.

Specialized Access idzie jeszcze dalej, umożliwiając autoryzowane testowanie systemów wrażliwych pod względem bezpieczeństwa. Jest przeznaczony do scenariuszy, w których nawet zwykły dostęp red-team zachowałby ograniczenia, ponieważ nieudany test mógłby wpłynąć na operacje fizyczne, usługi publiczne lub rynki finansowe.

Ta struktura jest wyważonym kompromisem. Silne uniwersalne filtry mogą chronić przed nadużyciami, ale mogą też powstrzymywać obrońców przed ćwiczeniem ataków, którym muszą się przeciwstawić. Szerokie usunięcie tych filtrów zwiększyłoby dostęp dla obu grup.

Anthropic stawia na to, że weryfikacja instytucjonalna pozwoli ich odróżnić. Użytkownicy z sektora obronnego uzyskują szerokie uprawnienia przy utrzymujących się ograniczeniach. Zespoły red team przechodzą dokładniejszą kontrolę, ale napotykają mniej blokad. Niewielka grupa organizacji zyskuje wyspecjalizowany dostęp dzięki wspólnej kontroli z rządem.

Kluczową rolę w systemie nadal odgrywają klasyfikatory bezpieczeństwa. Klasyfikator to odrębny model lub warstwa kontroli, która ocenia zapytania i odpowiedzi pod kątem zakazanego zachowania. Może przerwać interakcję, nawet jeśli bazowy model Claude jest w stanie ją kontynuować.

Anthropic opisał, jak te mechanizmy dzielą zapytania cybernetyczne na kategorie, w tym działania jednoznacznie zakazane, prace wysokiego ryzyka o podwójnym zastosowaniu, prace o podwójnym zastosowaniu niższego ryzyka oraz zwykłe zadania defensywne. Opublikowany przez firmę framework klasyfikatorów uznaje również, że złośliwi i defensywni operatorzy czasem stosują niemal identyczne techniki.

Ta niejednoznaczność ogranicza to, co zautomatyzowane filtry mogą wywnioskować z promptu. Prośba o ustanowienie trwałego dostępu, pozyskanie danych uwierzytelniających lub uniknięcie wykrycia wygląda na niebezpieczną bez wiarygodnych informacji o celu i upoważnieniu.

Program weryfikacji dostarcza brakującego kontekstu przed rozpoczęciem sesji. Łączy użytkownika z zatwierdzoną organizacją, poziomem dostępu, zobowiązaniami umownymi, monitoringiem oraz określonym zakresem dozwolonych systemów.

Weryfikacja nie eliminuje jednak ryzyka technicznego. Konta mogą zostać przejęte. Pracownicy mogą przekroczyć swoje uprawnienia. Kontraktorzy mogą utracić dostęp bez szybkiej zmiany uprawnień. Autoryzowana infrastruktura może łączyć się z niezatwierdzonymi systemami.

Monitoring może wykryć podejrzane użycie, lecz wykrycie może nastąpić dopiero po wygenerowaniu przez model użytecznej ścieżki ataku. Limity szybkości i kontrola celów mogą ograniczać ekspozycję, jednak doświadczeni operatorzy często rozdzielają pracę między narzędzia i konta.

Benchmark ocenia też jedynie próbkę ustrukturyzowanych scenariuszy. Wskaźnik ukończenia na poziomie 68 procent nie przesądza o tym, jak Claude będzie działać wobec nieznanego oprogramowania, niestandardowego sprzętu przemysłowego czy połączonych ataków wykorzystujących inżynierię społeczną.

Dowody przedstawione przez Anthropic wspierają węższy wniosek. Kontrole dostępu mogą prowadzić do znacząco odmiennego zachowania na różnych poziomach, a zaawansowane modele Claude potrafią realizować wiele zadań cybernetycznych po złagodzeniu ograniczeń.

Nie ustalono, czy te mechanizmy pozostają niezawodne na dużą skalę. To pytanie staje się ważniejsze, gdy pula kandydatów wykracza poza pierwotną kohortę Glasswing.

Kontrola rządowa zwiększa bezpieczeństwo i koncentruje władzę

Rząd USA staje się częścią systemu kontroli dostępu do zaawansowanych modeli cybernetycznych, a nie wyłącznie zewnętrznym regulatorem.

Anthropic twierdzi, że współpracuje z rządem przy analizie każdej organizacji w ramach Specialized Access. Taki układ daje urzędnikom publicznym rolę w decydowaniu, które instytucje mogą używać Claude wobec systemów lotniczych, sieci energetycznych, infrastruktury bankowej i innych wrażliwych celów.

Partnerstwo ma praktyczne uzasadnienie. Agencje rządowe rozumieją zagrożenia objęte klauzulą tajności, infrastrukturę krajową, kontrolę eksportu i operacyjne skutki ataków na systemy regulowane. Mogą również potwierdzić umocowanie prawne, którego prywatny dostawca modelu nie jest w stanie ocenić samodzielnie.

Ostatnie wydarzenia pokazują, jak daleko rozwinęła się ta relacja. Według doniesień Anthropic współpracował z amerykańskimi agencjami wywiadowczymi przy testowaniu modelu Mythos względem tajnych systemów rządowych.

Urzędnik powiedział Associated Press, że model zidentyfikował niektóre podatności w ciągu kilku godzin. Podkreślił, że wskazanie słabości nie oznaczało, iż Mythos wykorzystał ją w tym samym czasie.

Senator Mark Warner opisał wynik bardziej dramatycznie podczas czerwcowego przesłuchania. Stwierdził, że system uzyskał dostęp do niemal wszystkich testowanych tajnych środowisk w ciągu kilku godzin, przypisując tę relację szefowi National Security Agency i U.S. Cyber Command.

NSA i Anthropic odmówiły potwierdzenia szczegółów tajnych testów. Rozbieżność między publicznymi opisami jest powodem, by szerokie twierdzenia traktować ostrożnie.

Zaangażowanie rządu wywołało też konflikt. W czerwcu administracja Trumpa poddała premiery zaawansowanych modeli kontroli bezpieczeństwa narodowego i ograniczyła dostęp do niektórych systemów Anthropic.

Anthropic tymczasowo wycofał Fable 5 i Mythos 5 po dyrektywie dotyczącej dostępu dla cudzoziemców. Rząd później zatwierdził Mythos do ograniczonego wdrożenia u wybranych obrońców cybernetycznych i dostawców infrastruktury.

OpenAI przeszedł podobną kontrolę w przypadku GPT-5.6 Sol. Obie firmy początkowo ograniczyły swoje najnowsze systemy do małych grup, czyniąc dostęp do komercyjnych modeli AI kwestią polityki bezpieczeństwa narodowego.

Zwolennicy mogą argumentować, że wyjątkowo zdolne systemy cybernetyczne wymagają wyjątkowo ostrożnych procedur udostępniania. Dostawcy modeli nie mają pełnego wglądu w zagrożenia wywiadowcze, podczas gdy rządy nie mogą samodzielnie rozwijać każdego istotnego modelu granicznego.

Krytycy widzą w tym mniej rozliczalny układ. Przedstawicielka Lori Trahan argumentowała, że nominaci polityczni decydowali firma po firmie, kto otrzyma dostęp, bez jasnej ustawy, procesu ani struktury nadzoru.

Ta krytyka dotyczy rozszerzonego Anthropic Cyber Verification Program. Zaangażowanie rządu może poprawić weryfikację w przypadku wrażliwych celów, ale także koncentruje władzę w procesie, którego kryteria nie są w pełni publiczne.

Organizacje spoza Stanów Zjednoczonych mają jeszcze jeden powód do obaw. Anthropic wcześniej rozszerzył Glasswing na partnerów w ponad 15 krajach, a wielu z nich obsługiwało populacje wykraczające poza ich rodzime rynki.

Krytyczne oprogramowanie ma charakter globalny. Opiekunowie projektów open source, dostawcy chmury, producenci chipów, dostawcy usług telekomunikacyjnych i sieci finansowe rutynowo przekraczają granice państwowe. System silnie kształtowany przez priorytety bezpieczeństwa jednego rządu może tworzyć nierówny dostęp.

Najsilniejsze modele cybernetyczne mogą więc stać się zasobami strategicznymi dystrybuowanymi poprzez relacje geopolityczne. Wywierałoby to presję na organizacje, by spełniały zarówno zasady prywatnego dostawcy, jak i wymogi bezpieczeństwa narodowego rządu.

Program potrzebuje jasnej ścieżki odwołań, spójnych standardów, audytowalnych procedur cofania dostępu oraz przejrzystego raportowania o wykluczeniach. Bez tych elementów weryfikacja może stać się nieprzejrzystym systemem licencjonowania coraz ważniejszej technologii defensywnej.

Anthropic nie przedstawił programu jako trwałej polityki publicznej. Opisuje kontrolowany dostęp jako rozwiązanie przejściowe do czasu opracowania silniejszych zabezpieczeń. Tymczasowe systemy często jednak tworzą precedensy operacyjne, które później trudno zastąpić.

Przewaga defensywna zależy od łatania, a nie od wykrywania

Claude może zapewnić obrońcom przewagę tylko wtedy, gdy organizacje naprawią podatności, zanim atakujący odtworzą te same ustalenia.

Deklarowanym celem Anthropic jest przechylenie równowagi na korzyść obrony. Cel ten brzmi intuicyjnie, ponieważ operatorzy infrastruktury mogą sprawdzać własne systemy, wdrażać poprawki i koordynować reagowanie na incydenty przed opublikowaniem szczegółów technicznych.

Atakujący mają inne przewagi. Mogą wybierać najsłabszy cel, ponownie wykorzystywać skuteczne techniki, działać w różnych jurysdykcjach i poruszać się szybciej niż pozwalają na to instytucjonalne procedury zatwierdzania.

Zaawansowane modele mogą wzmacniać obie strony. Obrońca może przeanalizować miliony linii kodu i priorytetyzować groźne błędy. Atakujący może użyć podobnego rozumowania, aby znaleźć przeoczoną ścieżkę do wystawionej usługi.

O tym, kto skorzysta, decyduje różnica w czasie. Podatność odkryta prywatnie i szybko załatana poprawia bezpieczeństwo. Błąd zgłoszony do wielomiesięcznej kolejki napraw pozostaje użyteczny dla atakujących, nawet jeśli obrońcy znaleźli go pierwsi.

Łączne dane Anthropic dotyczące podatności mierzą zatem wykrywanie, a nie pełny wynik defensywny. Ponad 134 000 zweryfikowanych ustaleń stanowi istotny rezultat badawczy. Nie pokazują jednak, ile dotkniętych systemów nadal pozostaje narażonych.

Firma twierdzi, że mniej niż połowa uczestniczących partnerów ujawniła dane dotyczące poprawek. Brakujący mianownik uniemożliwia niezależną ocenę, czy wykrywanie wyprzedza usuwanie podatności.

Duża liczba automatycznie generowanych ustaleń może również stwarzać problemy operacyjne. Opiekunowie potrzebują wystarczających dowodów, aby odtworzyć błąd, zrozumieć jego wpływ i odróżnić problem możliwy do wykorzystania od teoretycznej słabości.

Źle uszeregowane raporty mogą przytłoczyć wolontariackie projekty open source. Szczegółowe informacje o exploitach mogą zwiększać ryzyko ujawnienia, jeśli przechodzą przez zbyt wiele organizacji, zanim poprawka będzie dostępna.

Rozszerzony program nakłada większą odpowiedzialność na wnioskodawców. Zespoły bezpieczeństwa potrzebują procesów zarządzania podatnościami, izolowanych środowisk testowych, rejestrowania dostępu, jasnych ścieżek eskalacji oraz uprawnień do wdrażania napraw.

Potrzebują też trwałej dokumentacji. Dochodzenia wspierane przez AI mogą tworzyć długie łańcuchy hipotez, wyników narzędzi, zmian w kodzie i decyzji. Przeszukiwalna baza wiedzy inżynierskiej może pomóc zespołom zachować ten kontekst bez traktowania wniosków modelu jako zweryfikowanych faktów.

Nadzór człowieka pozostaje konieczny. Modele mogą błędnie rozumieć granice systemu, proponować niebezpieczne poprawki lub wskazywać wzorce, które zawodzą w rzeczywistych warunkach operacyjnych. Systemy przemysłowe wprowadzają ograniczenia fizyczne, których zwykłe benchmarki oprogramowania nie uwzględniają.

Specialized Access podnosi stawkę. Błędne działanie wobec środowiska kontroli lotu, systemu zarządzania siecią energetyczną lub sieci międzybankowej może wywołać skutki wykraczające poza utratę danych.

Anthropic twierdzi, że ograniczenia w czasie rzeczywistym pozostają na niższych poziomach w przypadku działań mogących spowodować szkody fizyczne lub zakłócenia na masową skalę. Użytkownicy Specialized Access napotykają mniej blokad właśnie dlatego, że ich praca czasem wymaga testowania takich scenariuszy.

Program musi więc oceniać coś więcej niż to, czy organizacja wydaje się wiarygodna. Musi ocenić, czy potrafi izolować cele, ograniczać działania modelu, nadzorować testy, odzyskiwać sprawność po awariach i zgłaszać anomalie.

Kontrola rządowa może wspierać tę ocenę, ale dyscyplina operacyjna pozostaje kwestią lokalną. Dostawca modelu nie może nadzorować każdego polecenia w laboratorium przedsiębiorstwa użyteczności publicznej ani w sieci tajnej.

Konkurencja zwiększa presję. OpenAI również udostępnił zaawansowane modele cybernetyczne poprzez kontrolowane programy. Jeśli dostawcy rywalizują o to, który system wykona więcej ofensywnych zadań, ograniczenia dostępu mogą stać się wadą handlową.

Jeśli rywalizują wyłącznie na polu bezpieczeństwa, obrońcy mogą wybierać modele oferujące mniej blokad i lepszą symulację ataków. Tworzy to zachętę do łagodzenia kontroli przy jednoczesnym przedstawianiu weryfikacji jako środka kompensującego.

Warstwowa struktura Anthropic jest wiarygodną próbą zarządzania tą presją. Nie rozwiązuje jednak leżącego u podstaw konfliktu. Te same możliwości, które czynią Claude użytecznym w walce z zaawansowanymi atakującymi, sprawiają, że każda porażka weryfikacji ma poważniejsze konsekwencje.

Przewaga defensywna będzie widoczna w wynikach napraw, a nie w benchmarkach modeli. Wskaźniki łatania, czas naprawy, wskaźniki nawrotów i zapobiegnięte incydenty są ważniejsze niż sama liczba wykrytych podatności.

Trzy sygnały pokażą, czy kontrolowany dostęp działa

Kolejnym testem będzie to, czy Anthropic zdoła rozszerzyć uczestnictwo bez osłabienia weryfikacji ani zalania obrońców nierozwiązanymi ustaleniami.

Pierwszym sygnałem jest jakość rekrutacji. Anthropic twierdzi, że może rozpatrywać wiele wniosków o Defense Access w ciągu kilku dni, podczas gdy Red Team Access może zająć tygodnie. Szybsze zatwierdzanie jest użyteczne tylko wtedy, gdy kontrole tożsamości, uprawnień i bezpieczeństwa pozostają spójne.

Firma powinna ujawniać łączną liczbę wniosków, wskaźniki zatwierdzeń, czasy przeglądu, cofnięcia dostępu oraz główne przyczyny odmowy. Nie musi identyfikować wrażliwych uczestników, aby pokazać, czy system skaluje się w sposób odpowiedzialny.

Gwałtowny wzrost dostępu bez odpowiadającej mu zdolności monitorowania osłabiłby argumentację Anthropic. Stabilne standardy przeglądu i niski poziom nadużyć ją wzmocniłyby.

Drugim sygnałem jest relacja między wykrytymi a naprawionymi podatnościami. 129 000 zgłoszeń partnerów i 5 500 zgłoszeń dotyczących open source, o których informuje Anthropic, stanowi punkt odniesienia dla wykrywania.

Przyszłe raporty powinny oddzielać potwierdzone ustalenia od duplikatów, spornych zgłoszeń oraz podatności dotyczących przestarzałego oprogramowania. Powinny również ujawniać, ile problemów otrzymało poprawki i jak szybko trafiały one do wdrożonych systemów.

Wyższy wskaźnik poprawek wspierałby twierdzenie, że modele frontier zapewniają przewagę obronną. Rosnące zaległości poważnych, nierozwiązanych problemów sugerowałyby, że automatyczne wykrywanie ujawnia wąskie gardło organizacyjne, zamiast je usuwać.

Trzecim sygnałem będzie sposób, w jaki Anthropic poradzi sobie z pierwszą poważną awarią dostępu. Żaden system weryfikacji nie powinien być oceniany wyłącznie podczas normalnego działania.

Przejęte konto, nieautoryzowany cel, obejście klasyfikatora lub przypadkowa interakcja z działającym systemem przetestowałyby reakcję programu. Ważne wskaźniki obejmowałyby czas wykrycia, ograniczenie skutków, powiadomienie, cofnięcie dostępu oraz później wprowadzone zmiany.

Przejrzyste raportowanie incydentów budowałoby zaufanie, nawet jeśli część szczegółów technicznych pozostałaby poufna. Milczenie utrudniłoby zewnętrznym organizacjom ocenę rzeczywistych zagrożeń związanych z dołączeniem do programu.

Enterprise Frontier Safeguards również wpłyną na ten sygnał. Anthropic twierdzi, że planowany system połączy prywatność z ochroną przed nadużyciami, jednocześnie pozwalając uprawnionym organizacjom przechowywać informacje we własnych środowiskach chmurowych.

Takie rozwiązanie mogłoby rozwiać obawy dotyczące przesyłania wrażliwego kodu i danych o incydentach do dostawcy modelu. Mogłoby również utrudnić scentralizowane monitorowanie, jeśli mechanizmy kontrolne będą działały inaczej w środowiskach zarządzanych przez klientów.

Działania konkurentów należą do tła, lecz będą kształtować wybory Anthropic. Kontrolowane wdrożenia cybernetyczne OpenAI zapewnią nabywcom i regulatorom kolejny model do porównywania dostępu, nadzoru i reagowania na incydenty.

Szerszy dostęp oferowany przez konkurenta wywarłby presję na Anthropic, by przyspieszyło zatwierdzanie wniosków. Poważne zdarzenie związane z nadużyciem w innym miejscu mogłoby skłonić firmę do zaostrzenia wymogów.

Czytelnicy nie powinni traktować Anthropic Cyber Verification Program jako dowodu, że cybernetyczne możliwości modeli frontier są już bezpieczne. To działający eksperyment w zakresie zarządzania, oparty na trudnym założeniu: znane instytucje mogą otrzymać mniej ograniczeń, ponieważ ich tożsamość i mechanizmy kontrolne zmniejszają ryzyko.

To założenie można przetestować. Anthropic opublikowało wyniki benchmarków pokazujące, że poziomy dostępu zmieniają zachowanie Claude. Firma poinformowała również o dużej liczbie zweryfikowanych ustaleń z kontrolowanych wdrożeń.

Brakujące dowody dotyczą działania na dużą skalę. Nadal nie wiemy, jak często blokowane są uzasadnione wnioski, ile zatwierdzonych organizacji łamie zasady ani jak skutecznie Anthropic wykrywa konto używane poza jego zamierzonym zakresem.

Deweloperzy i liderzy ds. bezpieczeństwa powinni obserwować ten program, ponieważ podobne systemy dostępu mogą rozprzestrzenić się poza cyberbezpieczeństwo. Modele frontier dysponujące możliwościami w badaniach biologicznych, finansowych lub autonomicznych również mogą wymagać uprawnień powiązanych ze zweryfikowanymi użytkownikami i zatwierdzonymi środowiskami.

Nabywcy korporacyjni powinni pytać, co poziom dostępu zmienia pod względem technicznym. Powinni też analizować retencję danych, monitorowanie, ujawnianie incydentów, autoryzację pracowników oraz odpowiedzialność za działania generowane przez model.

Dla pracowników umysłowych szersza lekcja jest taka, że dostęp do zaawansowanej AI nie zawsze będzie pojawiał się jako jednolita aktualizacja produktu. Najbardziej zaawansowane zachowania mogą coraz częściej zależeć od tego, kim jest użytkownik, jaka instytucja go wspiera i które systemy ma uprawnienie testować.

Anthropic przybliżyło tę przyszłość. Program zapewnia większej liczbie obrońców dostęp do zaawansowanych cybernetycznych możliwości Claude, jednocześnie zachowując silniejsze ograniczenia dla wszystkich pozostałych.

Wynik będzie zależał mniej od nagłówkowych liczb podatności niż od zdyscyplinowanego usuwania problemów i rozliczalnego nadzoru. Czy Anthropic opublikuje wystarczające dowody, by wykazać, że zweryfikowany dostęp tworzy bezpieczniejszą infrastrukturę, czy też pierwsza poważna porażka ujawni weryfikację jako najsłabsze zabezpieczenie?