この記事のポイント
- ClaudeのCyber Verification Programが防御・許可済み侵入テスト・重要システム向けの3段階へ拡大しました。
- Red Team Access以上は組織としての申請が必要。業務範囲に応じた審査があり、個人の申請は対象外です。
- 原則として不正利用の監視に必要なデータ保持が条件。一部組織の例外や保存先を、自社の情報管理方針と照合します。
Anthropicの2026年10月6日の発表から、専門業務向けアクセスを紹介します。必要な作業の範囲と、保存先・保持条件を分けて整理します。
防御から重要インフラの診断まで、業務に応じて3段階で審査
Anthropicは2026年10月6日の公式発表で、企業や研究者向けのCyber Verification Program(CVP)を拡大し、3段階のアクセス階層に整理したと明らかにしました。CVPは通常のClaudeより安全策を一部緩め、セキュリティの専門業務に使う認定制度です。
最も基本的な「Defense Access」は、SOC(セキュリティ監視)業務や事故への対応、不正なソフトウェアの仕組みを調べる逆解析などが対象で、企業のセキュリティチームやNPO、大学、政府機関などが申請でき、応答の目安は数日程度とされています。上位の「Red Team Access」は、許可を得たうえでの侵入テストや模擬攻撃(レッドチーム演習)まで対象を広げますが、個人は対象外で組織単位の申請に限られ、審査には数週間を見込んでいます。最上位の「Specialized Access」は、航空システムや電力網など命に関わる重要インフラ向けで、米政府と連携して厳格に審査されます。いずれの階層でもClaude Opus 5.5・Sonnet 5.5などの最新モデルが対象です。利用はClaude Platformのほか、Google Cloud Vertex AI、Microsoft Foundry、Amazon Bedrock(対象顧客のみ)からも可能です。
データ保持の原則と例外が利用条件になる
申請を検討する方にとって、機能の範囲と並ぶ判断材料がデータ保持の条件です。CVPは原則データ保持が必要ですが、Fable 5.1またはMythos 5.1のゼロデータ保持を認められた組織には例外があります。2026年秋後半に提供を予定するEnterprise Frontier Safeguards（EFS）では、対象組織が管理するクラウド基盤にデータを保存できるようにする方針です。機密性の高い脆弱性情報を扱う場合は、保存先・保持期間・契約条件を、社内の情報管理や契約の担当者と照合するとよいでしょう。また、Red Team Access以上は組織としての申請が前提になるため、個人のアカウントではなく部門として申請できる体制かも事前に整理しておく必要があります。
まとめ: 業務の範囲とデータ条件から申請を考える
申請を検討する場合は、自社の診断業務がどの階層に該当するかと、扱う情報をどこに保存できるかを整理するとよいでしょう。データ保持の例外を利用できるかによっても、選べる運用は変わります。
申請先は公式ポータルです。審査の目安は階層により数日〜数週間です（承認や日程を保証するものではありません）。専門業務での利用制限の背景は、AnthropicのAI悪用レポートの解説も参考になります。重要インフラやOSSを守る別の取り組みは、AnthropicのCyber Missionの記事でも紹介しています。
検討の軸は上位の階層を選ぶことではなく、必要な作業と社内の情報管理方針が両立するかです。保存先や保持条件を管理担当と確認したうえで、申請の必要性や優先度を判断するとよいでしょう。
評価時のリスクを抑える取り組みとしては、Claudeの「意図しない行動」を踏まえた対策も公表されており、安全性への取り組みを広く知るうえで参考になります。
一方で、AIを使った自律型ツールが攻撃側に悪用される動きも報告されており、GMOサイバーセキュリティが確認した事例の解説が参考になります。自社で申請する際も、診断を許可された対象と情報の保存条件を明確にすると、必要な利用範囲を絞りやすくなるでしょう。
※2026年10月6日の発表に基づく情報です。
