Anthropic دسترسی برنامه امنیت سایبری Claude را گسترش داد

برنامه امنیتی Claude با گسترش Cyber Verification Program، دسترسی متخصصان و پژوهشگران بیشتری را به مدل‌های قدرتمند Anthropic فراهم می‌کند؛ دسترسی‌ای که برای کارهای امنیت سایبری با محدودیت‌های ایمنی کمتری همراه است. این تغییر، ابزارهایی را که در نسخه‌های عمومی Claude برای جلوگیری از سوءاستفاده محدود می‌شوند، در اختیار متقاضیان تأییدشده قرار می‌دهد تا از آن‌ها در پژوهش آسیب‌پذیری، تحلیل بدافزار، پاسخ به رخدادهای امنیتی و آزمون نفوذ استفاده کنند.

Anthropic می‌گوید گسترش برنامه به معنای دسترسی بی‌قیدوشرط نیست: متقاضیان باید بررسی و تأیید شوند و میزان دسترسی با نوع فعالیت و حساسیت آن تغییر می‌کند. اهمیت این رویکرد از دوگانگی ابزارهای هوش مصنوعی در امنیت سایبری ناشی می‌شود؛ توانایی‌هایی که می‌توانند یافتن و رفع ضعف‌های نرم‌افزاری را سرعت دهند، در صورت استفاده نادرست ممکن است به مهاجمان نیز کمک کنند.

برنامه امنیتی Claude و دسترسی در سه سطح

Cyber Verification Program یا CVP سه سطح دسترسی دارد. گسترده‌ترین سطح، Defense Access، برای تیم‌های امنیتی شرکت‌ها، نهادهای دولتی، دانشگاه‌ها، اپراتورهای زیرساخت حیاتی، توسعه‌دهندگان پروژه‌های متن‌باز و پژوهشگران مستقل در نظر گرفته شده است. این گروه‌ها در صورت تأیید می‌توانند از Claude برای فعالیت‌های دفاعی و بررسی امنیتی بهره بگیرند.

سطح دوم، Red Team Access، به سازمان‌هایی اختصاص دارد که مجاز به انجام شبیه‌سازی حمله هستند. «ردتیم» در امنیت سایبری به گروهی گفته می‌شود که با مجوز، روش‌های حمله را بازسازی می‌کند تا ضعف‌های یک سامانه پیش از سوءاستفاده واقعی شناسایی شوند. محدودکردن این سطح به سازمان‌ها نشان می‌دهد این نوع فعالیت در چارچوبی متفاوت از پژوهش‌های عمومی دفاعی قرار می‌گیرد.

Specialized Access محدودترین سطح است و برای آزمودن سامانه‌هایی مانند کنترل پرواز، شبکه برق یا زیرساخت بانکی در نظر گرفته شده است. Anthropic می‌گوید درخواست‌های این گروه را همراه با دولت ایالات متحده بررسی می‌کند. در نتیجه، دسترسی به مدل برای آزمون سامانه‌های حساس تنها به تأیید شرکت وابسته نیست و بررسی مشترک نیز در فرایند آن دخیل است.

چرا محدودیت‌های ایمنی کاهش می‌یابد؟

مدل‌های Claude که به‌صورت عمومی در دسترس‌اند، بیشتر کارهای مرتبط با امنیت سایبری را مسدود می‌کنند؛ دلیل اعلام‌شده این است که قابلیت‌های مورد نیاز برای تحلیل و آزمون می‌توانند برای مهاجمان هم مفید باشند. بااین‌حال، وظایف پایه‌ای مانند بازبینی کد یا اصلاح ضعف‌هایی که از قبل شناخته شده‌اند، بدون دسترسی ویژه نیز ممکن است.

در CVP، سازمان‌ها و پژوهشگران تأییدشده برای برخی فعالیت‌های تخصصی به مدل‌هایی با فیلترهای ایمنی کاهش‌یافته دسترسی پیدا می‌کنند. فیلتر ایمنی سازوکاری است که می‌تواند درخواست‌های پرخطر یا پاسخ‌های قابل‌سوءاستفاده را محدود کند. کاهش این محدودیت‌ها در این برنامه به‌معنای حذف آن‌ها برای همه کاربران نیست؛ دسترسی در چارچوب متقاضیان بررسی‌شده و سطح کاری که انجام می‌دهند تعریف شده است.

از جمله کاربردهای مورد اشاره Anthropic می‌توان به جست‌وجوی آسیب‌پذیری‌ها، تحلیل بدافزار، رسیدگی به رخدادهای امنیتی و آزمون نفوذ اشاره کرد. آزمون نفوذ روشی مجاز برای بررسی امنیت یک سامانه از راه شبیه‌سازی تلاش برای نفوذ است. چنین کارهایی ممکن است به بررسی عمیق‌تر کد یا رفتار سامانه نیاز داشته باشند؛ همان نوع استفاده‌ای که مدل‌های عمومی به‌دلیل خطر دوگانه آن محدود می‌کنند.

آمار Project Glasswing و ادعای اثرگذاری

Anthropic برای توضیح ظرفیت این رویکرد به تجربه برنامه پیشین خود، Project Glasswing، استناد کرده است. به گفته شرکت، شرکای آن برنامه از آوریل تا ژوئیه ۲۰۲۶ دست‌کم ۱۲۹ هزار آسیب‌پذیری تأییدشده پیدا کردند. بیش از ۳۳ هزار مورد در دسته شدید یا بحرانی قرار گرفتند؛ دسته‌بندی‌هایی که به سطح بالاتر خطر برای سامانه‌های آسیب‌پذیر اشاره دارند.

این ارقام بر پایه نظرسنجی از بخشی از شرکای برنامه به دست آمده‌اند، نه بررسی کامل همه فعالیت‌ها. Anthropic همچنین می‌گوید اثر واقعی دست‌کم پنج برابر بیشتر است. این برآورد، ادعای شرکت درباره گستره نتایج است و نباید با شمارش تأییدشده آسیب‌پذیری‌ها یکی دانسته شود.

برخی شرکای Project Glasswing نیز گزارش کرده‌اند که استفاده از هوش مصنوعی کارشان را چند ماه یا حتی چند سال جلو انداخته است. این گفته‌ها نشان می‌دهد از دید این شرکا، ارزش مدل‌ها تنها در یافتن ضعف‌ها نیست و می‌تواند در سرعت انجام فرایندهای امنیتی هم نمود پیدا کند. بااین‌حال، منبع این ارزیابی‌ها خود شرکای برنامه‌اند و داده‌های نقل‌شده به زیرمجموعه‌ای از آن‌ها مربوط می‌شود.

گسترش CVP در عمل تلاشی برای جمع‌کردن دو ملاحظه است: فراهم‌کردن ابزارهای قوی‌تر برای کسانی که از سامانه‌ها دفاع می‌کنند و محدودنگه‌داشتن دسترسی‌هایی که ممکن است در فعالیت تهاجمی به کار روند. سه سطح برنامه، مسیرهای متفاوتی برای پژوهش دفاعی، شبیه‌سازی حمله سازمانی و آزمون زیرساخت حساس تعیین می‌کند؛ اما جزئیات اعلام‌شده درباره میزان محدودیت‌ها و معیارهای تأیید متقاضیان را به‌طور کامل تشریح نمی‌کند.

این خبر برای چه کسانی اهمیت دارد

این تغییر برای تیم‌های امنیتی سازمان‌ها، دانشگاه‌ها، پژوهشگران مستقل و توسعه‌دهندگان متن‌باز اهمیت دارد، زیرا می‌تواند امکان استفاده از مدل‌های قدرتمند Claude را برای بررسی‌هایی فراهم کند که در دسترسی عمومی محدود هستند. نهادهای دولتی و اپراتورهای زیرساخت حیاتی نیز در گروه‌های واجد شرایط Defense Access قرار دارند؛ درحالی‌که سازمان‌هایی که شبیه‌سازی حمله انجام می‌دهند یا سامانه‌های حساسی مانند شبکه برق و کنترل پرواز را می‌آزمایند، باید سراغ سطح‌های محدودتر بروند. برای فعالان امنیت سایبری، پیام اصلی این است که Anthropic می‌خواهد دسترسی به توانایی‌های دوگانه هوش مصنوعی را نه به‌صورت عمومی، بلکه بر پایه نوع کار و بررسی متقاضی گسترش دهد.