Claudeの高度なサイバー機能、申請できる区分と組織側の条件
Anthropicは2026年10月6日、検証済みのセキュリティ専門家・組織向けCyber Verification Program（CVP）を3段階に拡張したと発表しました。Defense AccessはSOC・インシデント対応や脆弱性分析等の防御業務、Red Team Accessは許可された侵入テスト等を対象とし、現時点で組織限定です。Specialized Accessは人命や市場に影響し得るシステムの試験を行う限定組織向けで、Anthropicは米国政府と連携した詳細審査を行うとしています。参加組織には不正利用監視のためデータ保持が必要です。これは一般利用者向けモデルの一律変更ではなく、対象業務・資格確認・安全管理に応じた限定プログラムです。セキュリティチームは、申請前に自組織の防御対象、許可範囲、管理者によるワークスペース割当、データ保持条件を確認します。
- 脆弱性調査を行う企業・団体のセキュリティ担当者
- AIを使うセキュリティ業務の権限とデータ管理を決める管理者
CVPは検証・審査を伴う専門プログラムです。発表内容だけで申請資格や現在の提供条件を断定せず、最新の公式申請・ヘルプ情報を確認してください。
身近な事例を知る
脆弱性調査に強いAIを使いたいが、通常利用と専門プログラムの違いが分からない
企業や団体のセキュリティ担当が、脆弱性の検証や侵入テストにAIを使うため、どのアクセス区分が必要かを検討する場面です。
あなたならどうする？
まず一つ以上選んでから確認してみてください。
推奨される行動- 業務の防御・許可範囲と組織の適格性を確認し、該当区分の管理・データ保持条件を審査する
選んだカードの表示を見ながら、今回はどの行動が安心につながるか確認できます。
まず対象システムを自組織が所有・保守しているか、侵入テストの明示的許可があるか、重要インフラ等の特別な安全系統かを整理します。次に組織の確認書類、管理者割当、監視・データ保持条件を確認します。
確認ポイント
Defense Accessは防御業務向け
AnthropicはSOC・インシデント対応、マルウェアのリバースエンジニアリング、脆弱性の分析・検証等を例示しています。自社・保守対象の防御業務と、他者システムへの無許可操作を混同しません。
Red Team Accessは許可済み試験
Red Team Accessは防御用途に加え、許可を得たペネトレーションテストやレッドチーム業務を対象とします。現在は組織限定で、個人研究者は対象外と説明されています。
Specialized Accessは限定組織向け
航空運航システム、電力網、通信網、銀行間送金、政府行政ネットワーク等の安全系統を試験する、検証済みの限られた組織向け区分です。Anthropicは各組織を米国政府と連携して詳細審査するとしています。
アクセスは組織内の特定ワークスペースへ割当
Anthropicは管理者が該当アクセスを特定のワークスペースへ割り当てる手順を示しています。組織内で誰でも使える状態にせず、担当者・対象業務・認可済み環境を決めます。
不正利用監視のデータ保持条件
CVP参加組織はサイバー不正利用の監視を目的にデータ保持が必要とされています。ゼロデータ保持を利用している顧客向けの例外・Enterprise Frontier Safeguardsの提供時期も、申請前に最新説明を確認します。
現時点での見立て
防御、許可済み侵入テスト、重要システムの試験で対象者・審査・監督が異なります。専門アクセスでも所有権や認可のない対象を試験してよいわけではありません。
安全な対処方法
安心につながる行動
- 試験対象が自組織の所有・保守対象か、文書化された許可があるかを確認するRed Team Accessは許可されたシステムへの試験を前提としています。
- 業務を防御、認可済みレッドチーム、重要安全系統の試験に分けて申請区分を検討するCVPは業務の範囲に応じて3つのアクセス区分を設けています。
- 応募に必要な組織・セキュリティ管理の証明と審査条件を確認するAnthropicは応募者を検証し、区分に必要な安全管理の証拠を求めると説明しています。
- 管理者がアクセスを割り当てるワークスペース、利用者、対象環境を限定する管理者が特定ワークスペースへ割り当てる運用が案内されています。
- データ保持・監視条件と、現在使えるゼロデータ保持の選択肢を契約前に確認する不正利用監視のためCVP参加組織にはデータ保持条件があります。
- 一般提供モデルで対応できるコードレビューや既知脆弱性の修正と、専門アクセスが必要な仕事を切り分けるAnthropicは一般提供モデルでも一部の防御的タスクは継続できるとしています。
避けたい行動
- CVP参加を、許可のない第三者システムを試験する許可と解釈するRed Team Accessは試験対象への明示的な認可を条件とします。
- 高度なサイバー機能が通常のClaude利用者にも一律に開放されたと紹介するCVPは資格確認と段階別アクセスを伴う限定プログラムです。
- ゼロデータ保持を利用中ならCVPでも保持・監視条件が一切ないと決めつける参加者には不正利用監視に伴う条件があり、例外や提供状態を個別確認する必要があります。
AIの前向きな活用
防御作業に合わせてAIアクセスを管理する
対象システムへの権限と業務区分を先に定義し、必要な機能だけを審査済み担当者へ割り当てます。
- 社内SOCのアラート調査に必要なアクセスを整理する
- 侵入テストの契約・許可範囲とAIの作業範囲を照合する
- ワークスペース単位で利用者・ログ・保持条件を確認する
今回、覚えておきたいこと
Claudeのサイバー専門アクセスは、対象業務・明示的許可・組織管理・データ保持条件を確認して申請する。
情報源
- Expanding the Cyber Verification Program（外部リンク） Anthropic 公式発表
誠主任からひとこと