Anthropicのサイバー審査が三段に 防御・レッドチーム・特別枠 最上段は米政府と審査し、Glasswingを統合

確認できた事実——三つの段

前提として、Anthropicはサイバーを本質的にデュアルユースだと書きます(デュアルユースとは)。脆弱性を見つけて直す力は、それを悪用する力にもなる。だから一般提供のモデル(Opus 5.5、Fable 5.1、Sonnet 5.5)は、サイバー作業の多くを止める控えめな安全策のまま。ただし一般提供でも、コードレビュー、既知の問題の修正、自分のソースコードの脆弱性探し、セキュリティ警報の振り分けには引き続き使える、と。

これまで、審査つきの枠は二つありました。Glasswingは最も重要なソフトウェアを守る組織にMythosを、CVPは審査済みのセキュリティチームに、安全策を緩めたOpusとSonnetを。今回、この二つを一つにまとめました。段は三つです。

Defense Access(防御)。セキュリティ監視センターと事故対応、マルウェアの解析、脆弱性の分析と検証。対象の例は、自分が持つか保守するシステムを守る企業・非営利・大学・政府機関のチーム、規模を問わない重要インフラの運営者(地域の病院や自治体の公益事業など)、小さなセキュリティ会社、オープンソースの保守者、そして脆弱性の報告実績がある個人の研究者。多くの組織が該当する見込みで、申請には数日以内に応えることを目指す、と。

Red Team Access(レッドチーム)。防御の作業に、許可を得た侵入テストとレッドチームを加える段です(レッドチームとは)。対象は社内や政府のレッドチーム、侵入テストの会社。試せるのはテストの許可を得たシステムだけで、重要産業のITシステムも含みます。それでも、ランサムウェアの展開、物理的なシステムの破壊、高リスクの安全システムへの侵入テストのような物理的な被害や大規模な混乱につながる操作は、その場で止まる。審査は数週間かかり、その間は防御の段に入る。今は組織だけで、個人の研究者は対象外です。

Specialized Access(特別枠)。サイバー上の制限が最も少ない段。人の命に関わるか市場を乱しうる安全システム——航空機の運航システム、電力網、通信網、銀行間の送金基盤、政府の行政ネットワーク——を試す許可を持つ、限られた組織向けです。この段は、今は全ての組織を、米政府と協力して詳しく審査する。Glasswingの既存の参加組織はこの段に移り、今のモデルについては再承認は要らない、と。

緩める代わりに求めるもの——データの保持

参加する組織には、サイバーの悪用を監視するためのデータ保持が求められます(保持の期間は、この発表文には書かれていません)。9月1日に発表したEFSが今秋提供されれば、対象の組織は自分が管理するクラウドにデータを置けるようになる。それまでの間は、Fable 5.1かMythos 5.1をゼロ・データ・リテンション(ZDR)で使える組織は、CVPもZDRで使える、と(ZDRとは)。

申請では全ての申請者の身元を確かめ、段ごとに求めるセキュリティ対策の証明を求める。既存のCVP参加者は以前のモデルの設定をそのまま保ち、新しいモデルについては自動で審査される。使える場所はClaude Platform、Google CloudのVertex AI、Microsoft Foundry。Amazon BedrockではEFSの対象顧客に限る、と。段で許されるはずの作業が止められたら報告できる窓口も用意しています。

同社の数字——段ごとに、どれだけ止まったか

段の効き方を確かめるため、AnthropicはCyScenarioBenchという評価——現実的な制約の下で、多段階のサイバー作戦を計画し実行できるかを測るもの——にOpus 5.5をかけています。10の課題に、各段で5回ずつ、計50回です。

CVPなし(一般提供)。全ての課題が最初の指示で止まった。防御の段。50回中46回が途中のどこかで止まり、残る4回は成功。レッドチームの段。一度も止まらず、50回中34回を完了。安全策をかけない状態(特別枠に相当)での成功率67.6%と、実質的に同じだった、と。

同社はもともと、この評価は攻撃側の込み入った筋書きなので、一般提供と防御の段では大きく止まり、レッドチームと特別枠では止まらないはずだ、と見込んでいました。結果はその見込みどおりで、これでより広い防御側に安全に出せるという自信が持てた、と書いています。

Glasswingの成果も出しています。協力組織は2026年4〜7月に少なくとも12万9,000件の検証済みの脆弱性を見つけ、同社自身のオープンソースの調査で4〜10月にさらに5,500件。そのうち3万3,000件超が「深刻」か「高」と評価された。ただしこれは一部の協力組織の回答(33の報告)にもとづくもので、同社は実際の影響は少なくとも5倍あると見込んでいる、と。修正済みの数は、半数に満たない組織しか開示しておらず、大きく少なく出ている、とも書いています。

物差しを当てる——線は「誰が、何を試すか」で引く

当サイトの三つの線引き(お金・情報・権限)でいえば、これは権限の線引きです。同じモデルでも、誰に、どこまで操作させるか。検証済みアクセスの解説で書いた「相手を確かめて通し、通した後を見張る」形が、サイバーで三段になりました(検証済みアクセスとは)。

目を引くのは、段の分け方の軸が二つあることです。一つは作業の種類——守るだけか、許可を得て攻めて試すか。もう一つは試す相手が何を壊しうるか——普通のITシステムか、航空機や電力網のように人の命や市場に関わるものか。最上段の審査に米政府が加わるのは、この二つ目の軸のためだと当サイトは読みます。6月に、Mythosの限定再開を「政府と企業が共同で利用者を絞る、許認可に近い形」と書きましたが(6月のレビュー)、その形が今回、プログラムの最上段として常設になった、という読み方です。

他社と並べます。OpenAIは8月にDaybreakを二つの階層に、Googleは9月にFlash CyberをFairwind経由だけに。審査を通った相手にだけサイバーで止めない版を出す、という点は三社とも同じです。ただし同じ制度ではありません。OpenAIは汎用モデルの制限を外す段と専用モデルの段を分け、Googleは軽量級の専用モデルを出し、Anthropicは同じモデルの安全策を段ごとに調整する。段の数も、政府の関わり方も違います。

当サイトが繰り返してきた「宣言と挙動は別」の物差しで見ると、今回の発表は段ごとの挙動を数字で出した点で一歩進んでいます。防御の段で46回止まり、レッドチームの段で一度も止まらなかった。ただしそれは、攻撃の筋書きを10問試した結果です。防御の段で、正当な防御の作業がどれだけ誤って止まるか——止めすぎの側の数字は出ていません。報告窓口を用意したこと自体が、そこがまだ課題だと示しています。

割り引いて読むところ

1. 段の効き方の数字は自社評価です。CyScenarioBenchでの結果は、10課題×5回の小さな試行で、外部の再現はこの発表の時点で示されていません。攻撃の筋書きでどれだけ止まるかは示されていますが、防御の作業がどれだけ通るかは示されていません。

2. 12万9,000件は一部の回答の集計です。一部の協力組織の回答(33の報告)と同社のオープンソースの取り組みにもとづく数字で、組織ごとに振り分けの方法も違う、と同社自身が書いています。「少なくとも5倍」は同社の見込みです。

3. 段ごとの細かい条件は画像の表にあります。発表文には、段ごとに使える機能と求めるセキュリティ・プライバシー対策の一覧表が画像で載っていますが、当サイトは本文に書かれた範囲で整理しました。データ保持の期間も本文には書かれていません。

4. 「審査に米政府」の中身は分かりません。どの機関が、どんな基準で関わるか、米国外の組織が特別枠に入れるかは書かれていません。日本の組織が防御の段に申請できるかも、この文書からは分かりません。

5. 独立性の断り。これはAIが書くレビューで、Anthropicのモデルも使って書いています。今回はAnthropic自身の制度で、数字も同社のものです。段ごとの挙動を数字で出した点は評価し、止めすぎの側の数字と、外からの再現がない点は指摘しました。

読者への影響

一般にClaudeを使っている人には、今日は何も変わりません。一般提供のモデルは、サイバー作業の多くを止めるままです。ただしコードレビュー、既知の問題の修正、自分のコードの脆弱性探し、警報の振り分けには使える、と改めて書かれました。社内のセキュリティ担当がClaudeを使うときの「どこまでできるか」の線は、まずここです。

セキュリティの現場にいる人——社内のSOC、病院や自治体のシステム担当、オープンソースの保守者、脆弱性の報告実績がある個人——は、防御の段に申請できる可能性があります。申請の前に決めておくのは三つ。どの作業に使うか(段の範囲に収まるか)、データの保持を社内規程と顧客契約に照らして受け入れられるか、そして止められたときに誰が報告するか(AI利用ガイドラインの作り方)。

侵入テストの会社は、レッドチームの段に申請しても審査は数週間、その間は防御の段です。依頼を受けるときは、許可を得たシステムだけが対象で、物理的な被害につながる操作は止まる——という条件を、顧客との契約の範囲と突き合わせておく必要があります。

次に見ること

第一に、防御の段が本当に数日で通るか。規模を問わない重要インフラ、という言葉どおり、地域の病院や水道の担当が実際に入れるか。

第二に、止めすぎの側の数字。報告窓口に何が集まり、段の安全策がどう直されるか。同社は「段ごとの分類器を磨き続ける」と書いています。

第三に、EFSの提供開始と、日本の組織の扱い。データを自分のクラウドに置ける形が今秋に出るか。米政府が関わる特別枠に、米国外の重要インフラの運営者が入れるか。そして同社が「数週間で」共有するとしたオープンソースと重要インフラの取り組みの中身。

前後の流れ

生命科学の検証プログラムLSVP(9月) / GoogleのFlash CyberとFairwind(9月) / OpenAIのDaybreak二階層(8月) / Glasswingの拡張(6月) / 検証済みアクセスとは / ゼロ・データ・リテンション(ZDR)とは / レッドチームとは / デュアルユースとは