強いAIを防御に使うため、入口を三つに分ける
サイバー防御では、攻撃の手順を理解しなければ弱点を確かめられないことがある。しかし同じ能力を無条件に公開すれば、悪用する側にも役立ってしまう。Anthropicが10月6日に発表したCyber Verification Program（CVP）の拡張は、この二面性を、利用者の確認と用途別の管理で扱おうとするものだ。
公式発表によると、従来のCVPとProject Glasswingを統合し、Defense Access、Red Team Access、Specialized Accessの三つの区分にした。モデルの賢さを一律に下げるのではなく、何をする組織か、どの管理策を備えるかに応じて、使える能力とブロックの設定を変える。
防御業務の入口は小さな組織にも用意する
Defense Accessは、インシデント対応、マルウェアの解析、脆弱性の分析や検証などの防御業務向けだ。公式の対象例には、企業だけでなく大学、非営利組織、地域の病院、自治体の公益事業者、OSSのメンテナー、実績を持つ個人研究者なども含まれる。申請への応答は数日以内を目指すとしている。
これは、規模の大きな企業だけに最先端のモデルを渡すという設計とは異なる。守っているシステムと仕事の内容を確認し、防御を担う組織に利用の機会を広げようとしている。ただし、対象例に似ていれば自動で承認されるわけではなく、必要な確認と条件がある。
日本の組織にとっても、少人数の情報部門がある病院や大学などは用途の例に重なる。しかし、発表された対象例だけで国ごとの適格性や個別組織の採択を確約することはできない。申請に先立って、所在地、利用する基盤、取り扱う情報の条件を確認する必要がある。
許可された攻撃試験と、高リスクの安全システムを分ける
Red Team Accessは、防御業務に加え、許可を受けたペネトレーションテストやレッドチーム演習を対象にする。組織としての確認や、より強い認証、利用者の管理などを求め、審査は数週間を見込む。現時点で個人研究者は対象ではない。
審査を通れば何でもできるという制度でもない。ランサムウェアの展開や物理的な損害につながる操作などには、リアルタイムのブロックを残す。試験対象の所有者が許可した範囲に限ることも前提だ。プログラムへの承認は、第三者のシステムを試験する許可の代わりにはならない。
Specialized Accessは、人命や市場に大きな影響を及ぼしうる安全システムを扱う、限られた組織向けだ。航空、電力網、銀行間送金などが例として示され、米国政府と協力して詳細な審査を行う。既存のGlasswing参加組織は、この区分へ移行する。
三段階の違いを、料金プランの上位・下位のように読むと本質を見失う。用途の危険性と、必要な組織側の管理を対応させる制度である。上位に進むこと自体を目標にするより、自分たちが必要な防御業務を説明できることが重要になる。
50試行の結果は、許可の効き方を見る数字
Anthropicは、Claude Opus 5.5をCyScenarioBenchで評価した結果も公表した。10課題を5回ずつ実行する計50試行で、一般向けの設定はすべて最初のプロンプトでブロックされた。Defense Accessでは46試行が途中で止まり、残り4試行が成功した。Red Team Accessではブロックがなく、34試行を完了したという。
この評価は複数段階の攻撃的なシナリオを扱うため、防御向けの区分が多くを止めること自体は、想定された動作だ。Red Team Accessの完了率68%は、制限なしの評価値67.6%と近い。許可した用途では、保護機構が性能を大きく損なわないことを示そうとしている。
ただし、これはAnthropic自身が実施して公表した特定の評価だ。現実のすべての攻撃を見つける割合でも、承認後に誤動作が起きない確率でもない。ブロックの有無、課題の完了、発見した弱点の正しさは、別々に測る必要がある。
発見件数から、そのまま修正率は計算できない
Glasswingに関しては、パートナーが4〜7月に少なくとも12万9000件の検証済み脆弱性を見つけ、AnthropicのOSS走査では4〜10月に5500件を追加したと説明する。このうち3万3000件超が高い深刻度に評価されたという。
原典は、この集計を一部のパートナーの報告に基づく下限値と位置づける。修正済み件数を開示したのは半数未満で、各社の優先順位付けの方法も異なる。したがって、示された発見件数と修正件数を単純に割って、制度全体の修正率とすることはできない。実際の影響が少なくとも5倍という説明も、提供企業の推計として読む必要がある。
編集部の考察では、AIが弱点を探す速度を上げるほど、組織のボトルネックは発見後へ移りやすい。真偽の確認、影響範囲の調査、担当への割り当て、修正、回帰確認まで回らなければ、発見の山が残る。導入効果を測るなら、件数だけでなく、重要な弱点をどれだけ早く閉じたかまで追いたい。
保存先と監視の条件が導入の前提になる
CVPでは悪用監視のため、原則としてデータの保存が必要になる。Enterprise Frontier Safeguards（EFS）が利用可能になれば、対象組織が管理するクラウドに監視用データを置けると説明されている。EFSは今秋の提供が予告された段階であり、一部のゼロデータ保持利用者には移行までの扱いもある。
提供経路としてはClaude Platform、Google CloudのVertex AI、Microsoft Foundryが示され、Amazon BedrockはEFSの対象となる顧客に限るとされる。モデルに接続できることと、必要な保存・監視条件を自社で満たせることを、一緒に確認する必要がある。
特に病院や公共インフラでは、ログにソースコード、構成情報、個人に関わるデータが含まれる可能性がある。モデルへ渡す前に匿名化すれば十分なのか、実際の解析に必要な情報は何かを決めたい。保存の条件に合わない構成で試し始め、後から整理する方式は避けたほうがよい。
申請より前に、守る範囲を説明できるようにする
以下は編集部の実務上の考察だ。防御用AIの導入では、対象システム、所有者、許可された試験範囲、実行してよい操作を文書にする。そのうえで、担当者のID、認証、ログ、緊急停止、発見後の連絡先をそろえる。こうした管理は申請のためだけでなく、AIが出した結果を現場で扱うためにも必要だ。
他社の制度と比較する際も、同じモデルの名前や単価だけでは判断しにくい。何を認め、何を止めるか、どこへデータを保存し、事故時に誰が調査できるかを比べる。強い能力へ正規の入口が用意されるほど、その入口を通った後の責任も明確にする必要がある。
CVPの拡張は、防御側へ能力を届ける順序と、利用を継続して管理する仕組みを一体で示したものだ。注目すべきは制限が少ないことだけではなく、正当な仕事を進めながら、用途を外れた操作をどこで止めるかという設計にある。
参考報道：イノベトピア。制度の詳細はClaudeの公式ヘルプも参照。確認日：2026年10月17日。運営会社：RO合同会社の公式HP。
ポッドキャスト燎RYOU課 ポッドキャスト
ポッドキャストを聴く →
