引言：当AI变强了，怎么让好人用上它？
AI模型的网络安全能力越来越强，这就带来一个问题：怎么让专业的安全团队用上这些先进能力，同时又不让坏人钻空子？
2026年10月6日，Anthropic宣布扩大网络安全验证计划（CVP），把之前的Project Glasswing整合进来，建立了一套三级访问机制。简单说就是根据你做什么安全工作，给你匹配相应的模型能力，同时调整安全拦截的限制。
这次调整背后有个重要数据支撑：从2026年4月到10月，Project Glasswing的合作伙伴加上Anthropic自己，累计发现了至少13.5万个已验证的软件漏洞，其中关键和高危漏洞超过3.3万个。
这个成果让Anthropic有底气进一步开放先进模型，同时也在思考：怎么建立合适的准入机制，让更多防御者能用上这些能力。
一、实际案例：Project Glasswing发现了多少漏洞？
1. 为什么要设门槛？
网络安全能力是把双刃剑。同一个功能，既能帮安全团队找漏洞修补，也可能被坏人用来找攻击机会。
所以Anthropic在公开的Claude模型里设了比较保守的安全防护，防止恶意使用，但这也可能误伤一些正常的安全工作。
另一方面，那些负责保护重要软件和基础设施的安全团队，确实需要强大工具来识别复杂漏洞、分析威胁。
于是Anthropic过去半年通过两个计划向可信用户开放能力：Project Glasswing面向保护关键软件的特定组织，提供Claude Mythos模型；原有CVP则让审查过的安全团队在Claude Opus和Sonnet上享受更少的拦截限制。
这不是对所有人放宽限制，而是通过筛选可信组织，为明确的防御任务提供相应能力。
2. 发现了13.5万个真实漏洞
Anthropic公布的数据基于33份合作伙伴报告，加上自己做的开源代码扫描。
三类扫描对象：
第一类：合作伙伴扫描自己的专有代码
候选问题：55.4万项
完成分析：19.6万项
确认真实漏洞：12.7万个
高危漏洞：2.5万个，关键漏洞：4088个
已报告修复：8580个
第二类：合作伙伴扫描开源代码
候选问题：1.2万项
完成分析：6044项
确认真实漏洞：3013个
高危漏洞：266个，关键漏洞：70个
已报告修复：237个
第三类：Anthropic自己扫描开源代码
候选问题：2.9万项
完成分析：6123项
确认真实漏洞：5674个
高危漏洞：3014个，关键漏洞：1522个
已报告修复：516个
汇总数据：
候选发现：59.6万项
已研判发现：20.8万项
确认真实漏洞：13.5万个
高危及关键漏洞：3.37万个
已报告修复：9333个
3. 几点说明
第一，候选发现不等于真实漏洞。59.6万项候选里，最终确认的真实漏洞是13.5万个。
第二，已修复数量被低估了。因为只有不到一半的合作伙伴报告了修复进度，很多修复工作还在进行中。
第三，实际影响可能更大。这些数据只来自部分合作伙伴的报告，Anthropic估计实际影响至少是已统计结果的五倍。当然这是估计，不是确切数字。
4. 用户反馈：效率提升明显
Anthropic问合作伙伴："如果不用Claude Mythos，找到同样数量的漏洞要多久？"
多家机构表示，模型帮他们把原本可能需要数月甚至数年的工作大大提前了。
这说明先进AI不只是能做安全分析，还可能改变大规模漏洞发现的效率。
二、能力验证：不同等级的防护真的有用吗？
模型要向更多安全团队开放，就得确认不同访问等级的防护措施靠不靠谱。
Anthropic用CyScenarioBench做了专项测试。
1. 怎么测？
CyScenarioBench用来衡量AI能不能在真实约束下规划和执行多阶段网络操作。
测试用Claude Opus 5.5，给不同CVP等级配上相应的安全防护。
设置10项挑战，每个等级做5次，每个等级共50次测试。
这些挑战涉及复杂的进攻性操作，预期一般版本和Defense Access应该会大量拦截，而Red Team Access和Specialized Access应该减少拦截。
2. 测试结果
一般可用模型： 50次测试全在第一个提示阶段就被拦截了。
Defense Access： 50次测试里，46次在执行过程中被拦截，4次成功完成。
这符合预期，因为Defense Access主要用于防御工作，对复杂进攻操作保持限制。
Red Team Access： 50次测试没出现拦截，成功完成34次任务，成功率68%。
这个成功率跟不加安全防护时的67.6%基本一样。说明在这个测试场景里，Red Team Access的防护配置没影响模型完成任务的能力。
3. 测试意义
这组测试关注两个点：
第一，安全防护要对不同场景产生有区别的限制。一般模型和Defense Access拦截复杂进攻行为是对的；面向授权测试的等级就不能过度拦截。
第二，评估防护不能只看拦截了多少，还要看该完成的任务能不能完成。
不过要注意，Red Team Access在这个测试里没拦截，不代表它没限制。Anthropic明确规定，可能造成物理伤害或大规模破坏的行为（比如部署勒索软件、损坏物理系统）仍然会被实时拦截。
三、三级准入机制：不同工作匹配不同能力
整合后的CVP分三个等级：Defense Access、Red Team Access和Specialized Access。
一般日常安全开发工作（代码审查、已知漏洞修补、安全告警分析等）用常规模型就够了，不需要申请特殊权限。
1. Defense Access：防御性安全工作
适用任务：安全运营、事件响应、恶意软件逆向分析、漏洞分析验证等。
谁能申请：企业、非营利机构、高校、政府机构的安全团队，关键基础设施运营方，小型安全公司，开源软件维护者，有漏洞报告记录的个人研究人员。
特别提到区域医院、市政公用事业这类规模不大的组织也可以申请。
安全要求：身份验证及相应的安全声明或证明材料。
审核时间：预计数日内回复。
支持账户： Consumer Pro、Max、Team、Enterprise及API用户。
2. Red Team Access：授权渗透测试
适用任务：在Defense Access基础上，进一步支持授权渗透测试、红队测试、对抗模拟、进攻性工具开发、漏洞利用验证等。
谁能申请：企业内部红队、政府红队、安全和渗透测试服务公司。
核心要求：只能针对已获授权的系统开展测试，即使涉及重要行业IT系统也必须有授权。
可能造成物理伤害或大规模中断的行为仍然会被拦截。
安全要求：组织资格验证、抗网络钓鱼身份认证、受控凭据管理、基于席位的访问权限管理。
审核时间：需要数周。审核期间可以先纳入Defense Access。
支持账户：仅面向组织，不接受个人申请。支持Team、Enterprise和API。
3. Specialized Access：高风险关键系统测试
适用系统：可能影响人员生命安全或造成市场运行中断的安全关键系统。
比如飞行运行系统、电网、电信网络、银行间转账基础设施、政府行政管理网络。
核心特点：网络安全拦截限制最少，但准入审查最严格。
目前与美国政府合作，对每家申请组织深入审查。
安全要求：短期有效访问凭据、抗网络钓鱼身份认证、终端与网络控制、背景审查、席位数量限制。
支持账户： Team、Enterprise和API。
原Project Glasswing成员转入此等级，当前模型不需要重新批准。
4. 核心逻辑：任务越敏感，门槛越高
Anthropic没搞一刀切，而是根据任务性质分级管理：
一般安全开发 → 常规模型
防御性安全工作 → Defense Access
授权进攻性测试 → Red Team Access
高风险关键系统测试 → Specialized Access
不同工作类型匹配不同安全控制，这是CVP最核心的管理逻辑
四、值得借鉴的实践经验
实践一：根据任务确定能力开放范围
代码审查和高风险关键系统测试风险特征完全不同。
CVP保留常规任务的常规能力，通过分级准入为专业工作提供额外能力。
启示：开放AI能力要跟实际任务对应，先明确要做什么，再判断需要什么权限和控制。
实践二：明确测试授权和高风险行为边界
Red Team Access要求测试对象必须已授权，同时保留对勒索软件、物理系统损坏等行为的拦截。
Specialized Access虽然允许更敏感测试，但只向严格审核的有限组织开放。
启示：开放先进能力和限定使用边界不矛盾。不能因为用户有安全背景，就把所有进攻操作都当允许行为。
实践三：安全控制随风险等级提升
Defense Access侧重身份验证；Red Team Access增加组织验证、抗钓鱼认证、凭据管理；Specialized Access还要求短期凭据、终端控制、背景审查。
启示：高风险AI能力不能只靠模型拦截，还要从使用者资格和访问方式入手建立保障。
实践四：同时衡量防护和可用性
CyScenarioBench不只看拦截了多少，还看任务能不能完成。
一般模型全拦截没问题，Defense Access大量拦截符合预期，Red Team Access能正常完成授权任务也符合预期。
启示：防御性任务需要防止能力滥用；授权专业测试需要避免误拦截。防护效果和任务可用性要结合具体等级评估。
实践五：区分不同阶段的统计指标
Project Glasswing分别列出候选发现、已研判发现、真实漏洞、高危漏洞、关键漏洞、已修复漏洞。
启示：不能把未确认的候选问题直接当成果。尤其在大规模扫描中，初步发现和最终验证的数量可能差很大。展示AI辅助成果时，要明确不同指标的含义和边界。
实践六：考虑数据保护需求
参与CVP的组织原则上需要数据留存，便于监测能力滥用。
同时Anthropic计划提供Enterprise Frontier Safeguards（EFS），让组织能把数据存在自己控制的云基础设施中，兼顾隐私保护。
启示：对于处理敏感代码、内部系统信息的组织，数据留存方式也是重要考虑因素。
五、从项目到规模化应用
Project Glasswing最初面向特定组织，扩展后的CVP希望覆盖更广泛的安全防御者。
这不是简单扩大名单，而是把能力整合到统一的分级准入体系。
申请流程：
Anthropic审核所有申请者，要求提供相应安全控制证明
已加入CVP的成员保留原有设置，同时自动评估新模型资格
管理员需将访问权限分配到具体工作空间
平台支持：Claude Platform、Google Cloud Vertex AI、Microsoft Foundry。
Amazon Bedrock目前仅向符合EFS资格的客户提供。
反馈机制：如果在应该允许的工作中遇到拦截，可以通过专门渠道反馈。
从申请、审核、授权到反馈，CVP正在把可信访问转变为有明确管理要求的机制。
总结：成果与机制缺一不可
Anthropic这次披露展示了两条主线：
第一条：实际成果Project Glasswing发现13.5万个已确认真实漏洞，其中高危及关键漏洞3.37万个，已报告修复9333个。合作伙伴反馈模型大幅缩短了工作时间。
第二条：管理机制三级准入让不同安全工作获得匹配的能力。CyScenarioBench评测显示差异化防护有效：一般模型和Defense Access保持强拦截，Red Team Access能正常完成授权任务。访问等级越高，安全控制要求越严格。
这两条主线说明，先进AI在网络安全领域的应用，不只涉及能发现多少漏洞、完成多少任务，还涉及由谁使用、用于哪些系统、在什么授权范围内、如何衡量成果和控制风险。
核心方向：让防御者获得更强能力，同时保持清晰的授权边界与安全控制。
对于关注AI安全应用的组织，这个案例的参考价值很明确：先进能力的有效利用，既需要真实场景的成果验证，也需要与任务范围和风险程度匹配的管理机制。
合作电话：18610811242
合作微信：aqniu001
联系邮箱：bd@aqniu.com
热门跟贴