Anthropic mở rộng quyền truy cập Claude cho đội an ninh được xác minh
"Anthropic expanded its Cyber Verification Program to give vetted cybersecurity teams tiered access to Claude models with reduced safeguards for defensive testing, red teaming, and limited safety-system evaluation. The company said Project Glasswing and related open-source scanning identified at least 129,000 verified software vulnerabilities between April and July 2026, plus 5,500 more through October, with over 33,000 rated critical or high severity; no CVE fix is described in the article."
Tăng khả năng phát hiện lỗ hổng và hỗ trợ kiểm thử phòng thủ, nhưng cũng làm nổi bật rủi ro lạm dụng AI cho mục đích tấn công và nhu cầu kiểm soát truy cập chặt chẽ.
Có thể cải thiện hiệu quả đánh giá bảo mật và red teaming, nhưng đòi hỏi thêm quy trình quản trị, kiểm soát rủi ro và nguồn lực để xác minh kết quả trước khi đưa vào vận hành.
Anthropic cho biết hãng đang mở rộng Cyber Verification Program (CVP) để cho phép các đội an ninh mạng đã được xác minh truy cập theo nhiều cấp độ vào các mô hình Claude, với giảm bớt cơ chế chặn cho các hoạt động như kiểm thử phòng thủ, red teaming và đánh giá giới hạn hệ thống an toàn. Chương trình mới gồm ba mức: Defense Access, Red Team Access và Specialized Access, tương ứng với các nhu cầu từ phân tích lỗ hổng đến kiểm thử an toàn có kiểm soát.
Cùng lúc, Anthropic cho biết Project Glasswing và các hoạt động quét mã nguồn mở đã phát hiện ít nhất 129.000 lỗ hổng phần mềm đã xác minh trong giai đoạn tháng 4 đến tháng 7/2026, cộng thêm 5.500 lỗ hổng khác đến tháng 10/2026. Trong số này, hơn 33.000 được xếp loại critical hoặc high severity. Công ty lưu ý đây có thể là con số thấp hơn thực tế do dữ liệu khảo sát mới chỉ đến từ một phần đối tác.
Về mặt kỹ thuật, các đánh giá cho thấy mức bảo vệ khác nhau giữa các tầng truy cập: ở Defense Access, hệ thống chặn phần lớn tác vụ; trong khi ở Red Team Access, nhiều tác vụ được hoàn thành hơn. Điều này phản ánh bài toán lưỡng dụng của AI trong an ninh mạng.
Khuyến nghị cho đội kỹ thuật: chỉ triển khai các mô hình AI trong quy trình bảo mật khi có kiểm soát truy cập, phạm vi sử dụng rõ ràng và giám sát đầu ra. Đồng thời, cần tiếp tục xác minh thủ công các phát hiện từ AI và ưu tiên xử lý các lỗ hổng có dấu hiệu bị khai thác thực tế, như CVE-2026-26980 và CVE-2026-61500.