Anthropic rozszerza CVP: trzy poziomy dostępu dla zespołów security

6 października Anthropic ogłosił rozszerzenie Cyber Verification Program. Program udostępnia zweryfikowanym specjalistom zaawansowane możliwości cyberbezpieczeństwa przy ograniczonych blokadach klasyfikatorów. Defense Access obejmuje obronę, Red Team Access autoryzowane testy, a Specialized Access wybrane organizacje badające systemy o szczególnie wysokich konsekwencjach awarii. Dwa wyższe poziomy są przeznaczone dla organizacji.

Rekomendacja Breachroad: przed rozszerzeniem dostępu przygotuj opis zastosowania, granice danych i sposób zatwierdzania działań. Decyzja dostawcy o przyznaniu poziomu dostępu nie zastępuje zgody właściciela systemu na testy ani wewnętrznych zasad organizacji.

Kogo dotyczy ta zmiana

To temat dla zespołów SOC, reagowania na incydenty, bezpieczeństwa aplikacji i osób odpowiedzialnych za firmowe wdrożenie AI. Menedżer powinien umieć powiązać dostęp konkretnego pracownika z rzeczywistym zadaniem. Hasło „security” jest zbyt szerokie, aby na jego podstawie przyznać takie same uprawnienia wszystkim członkom zespołu.

Nasza propozycja: zacznij od jednej potrzeby, na przykład pomocy w analizie oczyszczonych alertów albo przeglądzie fragmentu własnego kodu. Zapisz oczekiwany wynik, osobę oceniającą odpowiedź i warunki zatrzymania pracy. Dopiero potem rozważaj integracje, które mogą czytać repozytoria, pobierać pliki lub wykonywać operacje w innych narzędziach.

Model może wesprzeć przygotowanie analizy, ale organizacja nadal potrzebuje osoby odpowiedzialnej za decyzję. Wewnętrzna procedura powinna wskazywać, kto sprawdza dowody, kto akceptuje zmianę oraz kto reaguje, gdy odpowiedź zawiera nieuprawnioną instrukcję lub ujawnia dane wykraczające poza zadanie.

Wymagania dostawcy i granice danych

Dokumentacja programu wskazuje jeden wniosek na organizację i dalsze obowiązywanie zasad użytkowania. Dla Defense Access przewiduje termin 15 grudnia 2026 r. na phishing-resistant MFA i odejście od kluczy API. Opisuje również retencję danych w CVP oraz wyjątki ZDR dla uprawnionych organizacji z dostępem do Fable lub Mythos.

Praktyczny wniosek Breachroad: potwierdź warunki właściwe dla konkretnego konta i kanału dostępu, zanim przekażesz dane z incydentu. Właściciel informacji powinien ustalić, które materiały wolno wysłać, czy wymagają oczyszczenia i gdzie będzie przechowywany wynik. Nie traktuj ogólnego opisu produktu jako potwierdzenia warunków swojej umowy.

Dobrym punktem startowym jest tabela dopuszczonych danych: syntetyczny przykład, kod należący do organizacji, log po usunięciu sekretów oraz materiał klienta wymagający osobnej akceptacji. Dopisz do każdego typu właściciela i regułę postępowania. Taka tabela pomaga pracownikowi podjąć decyzję jeszcze przed wklejeniem zawartości do narzędzia.

Dostęp do modelu i do narzędzi oceniaj osobno

W naszej ocenie wybór poziomu CVP trzeba połączyć z kontrolą integracji. Osoba uprawniona do analizy alertu nie musi mieć prawa do odczytu całego dysku ani do zmiany konfiguracji produkcyjnej. Nadaj narzędziom tylko dostęp potrzebny do uzgodnionego zadania i ustal, które działania wymagają akceptacji człowieka.

Jeśli używasz konektorów lub serwerów MCP, omów także granice bezpieczeństwa MCP. Sprawdź konto procesu, dostępne zasoby i możliwość odłączenia integracji. Wynik modelu powinien być oceniany razem z materiałem źródłowym, szczególnie gdy prowadzi do decyzji o blokadzie konta lub zmianie aplikacji.

Przykładowa decyzja przed pilotażem

Wyobraźmy sobie firmę, która chce wspomóc analityków w porządkowaniu zgłoszeń. W tym przykładowym scenariuszu zespół zaczyna od oczyszczonych przykładów i ręcznej oceny odpowiedzi. Osoba odpowiedzialna za dane zatwierdza ich zakres, administrator przyznaje dostęp wybranym analitykom, a lider wyznacza sposób raportowania błędów. Integrację z produkcją rozpatrują dopiero po ocenie pilotażu.

To propozycja Breachroad, nie wymóg ogłoszony przez Anthropic. Jej celem jest sprawdzenie procesu pracy przed poszerzeniem uprawnień. W szkoleniu z cyberbezpieczeństwa i bezpiecznego AI dla organizacji możemy przećwiczyć ocenę danych, zatwierdzanie działań i weryfikację odpowiedzi na przykładach dopasowanych do zespołu.