Mniej zabezpieczeń, więcej weryfikacji: dwa październikowe ruchy Anthropic

Anthropic ogłosił w październiku 2026 roku dwie decyzje, które razem wiele mówią o kierunku, w jakim zmierzają produkty bezpieczeństwa oparte na AI.

6 października firma połączyła Project Glasswing z rozszerzonym, trzypoziomowym Cyber Verification Program (CVP), dając zweryfikowanym specjalistom bezpieczeństwa dostęp do modeli Claude ze stopniowo łagodniejszymi zabezpieczeniami w obszarze cyber.

Około 13 października zawarł umowę z Opaque Systems, startupem zajmującym się poufnym przetwarzaniem danych, licencjonując jego technologię i zatrudniając jego prezesa oraz dyrektora technicznego, podczas gdy Opaque kończy działalność.

Pierwszy ruch rozluźnia ograniczenia dotyczące możliwości modeli. Drugi wprowadza do firmy narzędzia służące do udowadniania, co system AI faktycznie zrobił. Żaden z nich z osobna nie jest niczym niezwykłym. Zestawienie obu wymaga uważnej analizy.

Co się wydarzyło: Cyber Verification Program

Problem, który Anthropic deklaruje rozwiązywać

Ogólnodostępne modele Anthropic, w tym Claude Opus 5.5, Sonnet 5.5 i Fable 5.1, mają wbudowane zabezpieczenia blokujące większość pracy z zakresu cyberbezpieczeństwa. Firma tłumaczy to tym, że te same zdolności, które pomagają obrońcom znajdować i naprawiać błędy, pomagają też napastnikom je wykorzystywać.

Dla legalnych zespołów bezpieczeństwa to jednak problem. Stanowisko Anthropic brzmi tak, że „obrońcy również potrzebują dostępu do najlepszych narzędzi i najpotężniejszych możliwości, by zabezpieczać swoje systemy".

Trzy poziomy dostępu

Rozszerzony program łączy dwie inicjatywy prowadzone osobno przez około pół roku: pierwotny CVP, który obniżał zabezpieczenia w modelach Opus i Sonnet dla zweryfikowanych zespołów, oraz Project Glasswing, dający organizacjom zabezpieczającym krytyczne oprogramowanie dostęp do Claude Mythos.

Specialized Access ma najmniej blokad. Jest zarezerwowany dla organizacji dopuszczonych do testowania systemów, których awaria mogłaby zaszkodzić ludziom lub zaburzyć rynki: sieci energetycznych, systemów operacyjnych statków powietrznych, sieci telekomunikacyjnych, infrastruktury przelewów międzybankowych i rządowych sieci administracyjnych.

Dotychczasowi członkowie Project Glasswing przechodzą na ten najwyższy poziom bez ponownego zatwierdzania dla obecnych modeli. Na wszystkich poziomach uczestnicy mogą testować wyłącznie systemy, do których oceny są uprawnieni.

Program obejmuje modele Claude Opus 5.5, Sonnet 5.5 i Mythos 5.1.

Co dał Glasswing

Argumentacja Anthropic opiera się na wynikach. Firma podaje, że partnerzy Project Glasswing zidentyfikowali co najmniej 129 000 zweryfikowanych podatności w oprogramowaniu między kwietniem a lipcem 2026 roku, a własne skany Anthropic w projektach open source wykryły kolejne 5500. Ponad 33 000 z nich oceniono jako krytyczne lub o wysokiej istotności.

Glasswing obejmował ściśle zweryfikowaną grupę ponad 40 firm, wśród których wymieniano Amazon, Apple, Microsoft, Google, Linux Foundation, JPMorganChase i Nvidię.

Liczba, którą Anthropic opublikował, a którą wykorzystają krytycy

Trzeba firmie oddać, że opublikowała dane z ewaluacji pokazujące, co obniżone zabezpieczenia oznaczają w praktyce. W jednej z ewaluacji na poziomie Red Team Access nie wystąpiły żadne blokady, a Claude Opus 5.5 wykonał 34 z 50 zadań. Anthropic opisuje to jako wynik odpowiadający skuteczności 67,6 procent osiąganej przez ten model w tej samej ewaluacji bez jakichkolwiek zabezpieczeń.

To ujawnienie jest przejrzyste i jednocześnie stanowi ustępstwo. W tej ewaluacji środkowy poziom zachowywał się tak, jakby zabezpieczenia były po prostu wyłączone. Mechanizm kontrolny leży więc w weryfikacji tego, kto zostaje wpuszczony, a nie w jakimkolwiek resztkowym ograniczeniu technicznym tego, co można zrobić po wejściu.

Co się wydarzyło: umowa z Opaque Systems

Struktura transakcji

Sprawa jest szeroko relacjonowana jako przejęcie, a sposób jej opisania ma znaczenie.

Kilka redakcji, w tym Constellation Research, określa ją jako acquihire: Anthropic licencjonuje technologię Opaque i zatrudnia część zespołu, przy nieujawnionych warunkach finansowych. Własna strona Opaque informuje, że zespół dołącza do Anthropic, a firma kończy działalność.

Doniesienia różnią się co do tego, jak duża część zespołu przeszła. Część relacji mówi o dołączeniu zespołu, co najmniej jedna podaje, że zatrudniono prezesa Aarona Fulkersona, dyrektora technicznego Rishabha Poddara oraz części inżynierów, natomiast większość pozostałych pracowników nie została objęta umową. Ta rozbieżność nie została publicznie wyjaśniona.

Co zbudował Opaque

Opaque powstał jako projekt badawczy w RISELab na Uniwersytecie Kalifornijskim w Berkeley. Wśród założycieli są Ion Stoica, współzałożyciel Databricks i Anyscale, oraz Raluca Ada Popa, badaczka kryptografii i bezpieczeństwa systemów, obecnie pracująca w Google DeepMind.

Technologia firmy pozwala systemom AI korzystać z wrażliwych danych przy jednoczesnej ich ochronie na poziomie sprzętu, w podejściu zwanym poufnym przetwarzaniem danych. Opaque pozyskał 24 miliony dolarów w rundzie Series B przy wycenie 300 milionów dolarów i współpracował z Nvidią, Intelem, Microsoftem i Google.

W ostatnim czasie rozszerzył działalność z poufnej AI na weryfikowalną AI, czyli wykorzystanie dowodów kryptograficznych do ustalania, jak systemy się wykonały i czy przestrzegano zasad. Jego projekty to Agent Governance Toolkit, TRACE, Confidential MCP oraz Weight Custody Manifest.

Anthropic był już wcześniej klientem Opaque, obok ServiceNow i Accenture.

Oczywisty zarzut

Wartość narzędzi do atestacji bierze się z ich niezależności. Są użyteczne właśnie dlatego, że mogą sprawdzać dostawców.

Jeśli dostawca modelu kontroluje narzędzia weryfikujące zachowanie jego własnych modeli, niezależność nadająca tej weryfikacji sens zostaje osłabiona. Ten zarzut pojawił się wprost w komentarzach do transakcji i nie da się go łatwo oddalić.

Jest też drugie otwarte pytanie. Prace Opaque obejmowały otwarte standardy, takie jak TRACE i Agent Governance Toolkit, przyjmowane w Europie i Zjednoczonych Emiratach Arabskich. Kwestia, czy Anthropic będzie je dalej utrzymywał, czy pozwoli im obumrzeć po zakończeniu integracji, nie została poruszona.

Dlaczego to ma znaczenie

Problem podwójnego zastosowania jest dziś zarządzany przez kontrolę dostępu, a nie przez ograniczanie możliwości. Własna ewaluacja Anthropic pokazuje poziom Red Team zachowujący się jak model bez zabezpieczeń w co najmniej jednym teście. Bezpieczeństwo tego rozwiązania zależy więc od weryfikacji, zakresu upoważnień i uczciwości uczestników, a nie od tego, czy model czegoś odmówi.

Weryfikacja na dużą skalę jest tu najtrudniejsza. Wnioski o Defense Access rozpatrywane są w kilka dni. Deklarowanym celem jest rozszerzenie efektu Glasswing na znacznie większą liczbę obrońców. Skala i rygor ciągną w przeciwne strony, a wiarygodność programu opiera się na elemencie najmniej widocznym z zewnątrz.

Badacze indywidualni mieszczą się w tej strukturze niezręcznie. Mogą uzyskać Defense Access, ale są wprost wykluczeni z Red Team Access, przeznaczonego wyłącznie dla organizacji. Bardzo wiele wartościowych badań nad bezpieczeństwem prowadzą pojedyncze osoby.

Udział rządu w najwyższym poziomie jest godny odnotowania. Wnioski o Specialized Access są weryfikowane we współpracy z rządem USA. Dla produktu komercyjnego to istotny stopień udziału państwa w decydowaniu, kto może korzystać z danej zdolności, a organizacje spoza Stanów Zjednoczonych mogą zasadnie pytać, co to dla nich oznacza.

Poufne przetwarzanie danych staje się standardem rynkowym. Przeniesienie tej kompetencji do wewnątrz zamiast polegania na dostawcy sygnalizuje, że atestacja i izolacja danych stają się oczekiwanymi cechami produktu w branżach regulowanych i przy wdrożeniach suwerennych, a nie dodatkiem.

Oba ruchy na siebie oddziałują. Rozluźnienie ograniczeń w obszarze cyber zwiększa potrzebę wiarygodnych dowodów na to, jak modele były używane. Przejęcie firmy dostarczającej te dowody samo w sobie tej potrzeby nie zmniejsza. Zmienia natomiast to, kto poświadcza.

Kogo to dotyczy

• Zespołów bezpieczeństwa, SOC i reagowania na incydenty, które wcześniej napotykały odmowy modelu przy legalnej pracy.

• Firm pentesterskich i zespołów red team, które jako organizacje stają się uprawnione do wnioskowania.

• Indywidualnych badaczy bezpieczeństwa, którzy zyskują Defense Access, ale pozostają wykluczeni z poziomu red team.

• Operatorów infrastruktury krytycznej w energetyce, lotnictwie, telekomunikacji, finansach i administracji, będących docelową grupą Specialized Access.

• Przedsiębiorstw z branż regulowanych oceniających wdrożenia poufnej AI, dla których istotna jest część dotycząca Opaque.

• Dotychczasowych klientów Opaque, w tym ServiceNow i Accenture, oraz użytkowników jego otwartych standardów.

• Wszystkich pozostałych, pośrednio, skoro przesłanką programu jest to, że podatności będą znajdowane i naprawiane szybciej, niż wykorzystywane.

Co powinny zrobić organizacje

Jeśli rozważasz złożenie wniosku

1. Wybierz poziom odpowiadający faktycznej pracy, a nie najbardziej liberalny, do którego mógłbyś się zakwalifikować. Red Team Access wymaga wykazania upoważnienia do testowania wskazanych systemów.

2. Udokumentuj zakres upoważnień przed złożeniem wniosku. Na wszystkich poziomach można testować wyłącznie systemy, do których oceny masz prawo, i to będzie podstawą weryfikacji.

3. Licz się z podawanymi terminami, czyli kilkoma dniami dla Defense Access i kilkoma tygodniami dla Red Team Access, i zaplanuj prace odpowiednio.

4. Pamiętaj, że zatwierdzenie dotyczy konkretnych modeli. Członkowie Glasswing przechodzą bez ponownej weryfikacji dla obecnych modeli, co sugeruje, że kolejne mogą wymagać nowego wniosku.

Jeśli uzyskasz obniżone zabezpieczenia

5. Zbuduj własne mechanizmy kontrolne, skoro zabezpieczenia modelu są obniżone. Rejestrowanie zdarzeń, procesy akceptacji i egzekwowanie zakresu spoczywają teraz wyłącznie na Tobie.

6. Prowadź audytowalny zapis tego, co testowano i na czyje upoważnienie. To materiał dowodowy, którego będziesz potrzebować, jeśli test zostanie kiedykolwiek zakwestionowany.

7. Traktuj taki dostęp jak poświadczenie uprzywilejowane. Konto z obniżonymi zabezpieczeniami jest cennym celem i wymaga ochrony na poziomie konta administracyjnego.

Jeśli oceniasz poufną AI

8. Pytaj, kto poświadcza i wobec kogo. Tam, gdzie dostawca dostarcza zarówno model, jak i narzędzia weryfikacyjne, ustal, jaką niezależną pewność faktycznie posiadasz.

9. Sprawdź status otwartych standardów, na których polegasz, w tym TRACE i Agent Governance Toolkit, zanim zbudujesz na nich rozwiązania.

Podsumowanie

Argument Anthropic jest prosty i nie jest nierozsądny: całościowe blokady w obszarze cyber zatrzymują obrońców razem z napastnikami, a to obrońcy zidentyfikowali 129 000 zweryfikowanych podatności w cztery miesiące. Zniesienie ograniczeń wobec osób, które potrafią udowodnić, kim są i co mają prawo testować, jest obroną uzasadnioną wobec realnego problemu.

Lekcja dla każdego, kto buduje na tych modelach: zabezpieczeniem jest dziś proces weryfikacji, a nie model. Opublikowana przez Anthropic ewaluacja pokazała poziom zachowujący się jak model bez ochrony. To uczciwe raportowanie, które przenosi całe pytanie o bezpieczeństwo gdzie indziej. Nie brzmi już ono, czego model odmówi. Brzmi, jak dobry jest proces zatwierdzania, kto w nim zasiada i co się dzieje, gdy ktoś zatwierdzony okaże się na to niezasługiwać.

Druga lekcja dotyczy weryfikacji. Niezależna atestacja ma wartość dlatego, że jest niezależna. Gdy organizacja poddawana weryfikacji przejmuje weryfikatora, coś realnego zostaje utracone, nawet jeśli wszyscy uczestnicy działają w dobrej wierze. To nie jest oskarżenie, tylko obserwacja strukturalna, a właściwą reakcją jest zadawanie przez nabywców poufnej AI trudniejszych pytań o to, kto za co ręczy.

Dwa pytania warte zadania: jeśli masz dostęp z obniżonymi zabezpieczeniami, co powstrzyma przejęte konto w Twojej organizacji przed jego wykorzystaniem, oraz jeśli polegasz na narzędziach atestacji, kto weryfikuje weryfikatora?