Claude opnar öflugri netvörn — en aðeins eftir sannprófun

Anthropic kynnti útvíkkun Cyber Verification Program 6. október 2026. Netöryggisfólk getur nú sótt um þrjú aðgangsstig með færri sjálfvirkum hömlum á tvínota verkefni í Claude Opus 5.5, Claude Sonnet 5.5 og Claude Mythos 5.1. Umsókn veitir ekki sjálfkrafa aðgang: umfang vinnunnar, auðkenni umsækjanda og öryggisráðstafanir ráða því hvort og á hvaða stigi aðgangur er veittur.

Í umfjöllun SecurityWeek kemur fram að breytingin sameinar eldri Cyber Verification Program og Project Glasswing í eina aðgangsleið. Fyrir íslenskt öryggisteymi getur hún opnað leið að vinnu við spilliforrit eða staðfestingu veikleika sem almennar öryggishömlur Claude kunna að stöðva. Sjálfstæðir rannsakendur og villuveiðarar geta einnig sótt um, en aðeins um Defense Access; víðari aðgangsstig eru ætluð stofnunum.

Verkefnið ræður aðgangsstiginu

Sömu aðferðir geta hjálpað varnaraðila að finna veikleika og árásaraðila að nýta hann. Þess vegna heldur Anthropic almennum hömlum í Claude en metur sérstaklega umsóknir um vinnu sem þarf meira svigrúm. Örugg yfirferð á eigin kóða, lagfæring þekktra galla og flokkun öryggisviðvarana geta áfram farið fram án aðildar að kerfinu. Greining spilliforrita, staðfesting veikleika og heimiluð innbrotspróf eru dæmi um vinnu þar sem aðgangsstigið getur skipt máli.

• Defense Access nær til varnarstarfs á borð við atvikaviðbrögð, greiningu spilliforrita og mat og staðfestingu veikleika. Öryggisteymi sem verja kerfi sem þau eiga eða reka, minni öryggisfyrirtæki, umsjónaraðilar opins hugbúnaðar og rannsakendur með feril í tilkynningum um veikleika geta komið til greina. Umsækjandi þarf að lýsa raunverulegu varnarverkefni sínu; starfstitill einn segir ekki til um hæfi.
• Red Team Access bætir við heimiluðum innbrotsprófunum og rauðliðsæfingum. Stigið er fyrir fyrirtæki og stofnanir sem geta sýnt að þau megi prófa viðkomandi kerfi, svo sem innri prófunarteymi og öryggisráðgjafa. Rauntímahömlur gilda áfram um aðgerðir sem gætu valdið líkamlegu tjóni eða víðtækri röskun, meðal annars árásir með lausnargjaldsforritum og prófanir á áhættusömum öryggiskerfum.
• Specialized Access er ætlað takmörkuðum hópi staðfestra stofnana með heimild til að prófa öryggiskerfi þar sem bilun gæti ógnað lífi fólks eða raskað mörkuðum. Anthropic nefnir meðal annars raforkukerfi, fjarskiptanet, flugrekstrarkerfi og innviði millibankagreiðslna. Umsóknir á þessu stigi fara í ítarlega yfirferð í samstarfi við bandarísk stjórnvöld.

Aðgangsstigin fela í sér mismunandi verksvið og mismiklar sjálfvirkar hömlur. Þau leysa umsækjanda ekki undan notkunarreglum Claude eða kröfunni um heimild til prófana. Stofnun sem sækir um Red Team Access getur fengið Defense Access meðan víðari umsókn hennar er til yfirferðar.

Hver getur sótt um frá Íslandi?

Fyrirtæki, sjálfstæður rannsakandi og villuveiðari þurfa ekki sömu heimild, jafnvel þótt öll vinni að því að finna veikleika. Eftirfarandi hæfnisyfirlit tengir ábyrgð á verkefninu við það stig sem kemur til greina. Það lýsir umsóknarleiðum, ekki fyrirfram samþykki fyrir umsækjendur á Íslandi.

• Íslenskt fyrirtæki með eigið öryggisteymi: Defense Access á við þegar teymið ver eigin kerfi, bregst við atvikum eða staðfestir veikleika. Ef það framkvæmir skjalfest, heimiluð innbrotspróf getur Red Team Access komið til greina. Fyrirtækið sækir um fyrir stofnunina og þarf að geta afmarkað kerfin sem unnið er með, ábyrgðaraðila og þá starfsmenn sem þurfa aðgang.
• Sjálfstæður öryggisrannsakandi: Einstaklingsumsókn getur aðeins leitt til Defense Access og krefst greiddrar Claude-áætlunar. Ferill í ábyrgum tilkynningum um veikleika getur stutt lýsingu á starfinu. Persónuleg heimild rannsakandans nær ekki sjálfkrafa til innbrotsprófana sem krefjast Red Team Access hjá stofnun.
• Villuveiðari: Hann eða hún sækir einnig um sem einstaklingur fyrir Defense Access og lýsir öryggisvinnunni og heimildum innan þeirra verkefna sem prófuð eru. Ef umfangið kallar á Red Team Access þarf stofnun sem ber ábyrgð á prófuninni að sækja um það stig. Aðgangur í gegnum forrit þriðja aðila er aðeins mögulegur ef sá vettvangur styður sannprófunarkerfið.

Umsókn og skýjavettvangur þurfa að passa saman

Samkvæmt leiðbeiningum Claude um umsóknina er sótt um í Verification Portal, einu sinni fyrir hverja stofnun; sjálfstætt starfandi fólk sækir um sem einstaklingar. Umsækjandi leggur fram upplýsingar til auðkenningar, lýsir öryggisvinnunni og staðfestir að viðeigandi öryggiskröfur séu uppfylltar. Anthropic stefnir að því að svara eða óska eftir frekari upplýsingum innan sjö virkra daga, en yfirferð vegna Red Team Access getur tekið nokkrar vikur.

Fyrirtæki sem notar Claude í eigin þjónustu Anthropic skráir sig inn í gáttina með Anthropic-aðgangi. Fyrir Google Cloud þarf að tengja rétt verkefnisauðkenni, og fyrir Microsoft Foundry þarf að tengja auðkenni áskriftar og auðkennisskrár eftir að Claude-líkan hefur verið sett þar upp. Við notkun á AWS þarf að tengja viðeigandi reikning. Þessi tenging skiptir máli vegna þess að samþykkt heimild þarf að ná til þess reiknings eða vinnusvæðis þar sem verkefnið fer fram.

Kerfið er í boði á Claude Platform, Google Cloud Vertex AI og Microsoft Foundry. Amazon Bedrock er sérstakt tilvik: þar er aðgangur bundinn við viðskiptavini sem uppfylla skilyrði Enterprise Frontier Safeguards. Stjórnandi Claude-vinnusvæðis gæti einnig þurft að úthluta samþykktri heimild til þeirra sem vinna verkefnið. Því þarf umsóknin að tengja saman lýsingu á verkinu, þann vettvang sem á að nota og raunverulega umsjón með aðgangi.

Minni hömlum fylgja strangari aðgangsstýringar

Defense Access krefst fjölþáttaauðkenningar frá upphafi. Fyrir 15. desember 2026 þarf að taka upp fjölþáttaauðkenningu sem stenst vefveiðar og hætta notkun langlífra API-lykla. Fram að þeim tíma eru API-lyklar aðeins tímabundin leið með reglulegri endurnýjun. Fyrir sjálfvirk verkefni bendir Anthropic á Workload Identity Federation svo aðgangur byggist á staðfestri auðkenningu vinnuálags í stað varanlegs lykils.

Hærri stigin gera strangari kröfur strax við veitingu aðgangs. Þar þarf að takmarka aðgang við fólk sem vinnur verkefnið eða hefur beina umsjón með því og nota skammlíf aðgangsskilríki. Fyrirtæki sem vill sinna heimiluðum innbrotsprófunum þarf því bæði að sýna prófunarheimild og hafa stjórn á því hver getur kallað á líkanið. Með því verður hægt að rekja notkun samþykktrar heimildar til ábyrgðaraðila.

Varðveisla gagna er almennt hluti af eftirliti Anthropic með mögulegri misnotkun innan kerfisins. Fyrirtæki með fyrirliggjandi undanþágu frá gagnavarðveislu fyrir tiltekin Claude-líkön geta þó haldið henni við notkun kerfisins. Fyrir önnur hæf fyrirtæki er Enterprise Frontier Safeguards fyrirhuguð leið til að varðveita gögn í eigin skýjaumhverfi þegar sú lausn verður tiltæk. Fyrir teymi sem hyggst nýta Defense Access er næsti skýri áfanginn að ljúka breytingum á auðkenningu og API-aðgangi fyrir desemberfrestinn.

Lestu einnig:

• 62% fjármálastjóra leiða nú tæknistefnu — innleiðingin situr eftir
• Claude leysti níu lykkjur — en full staðfesting niðurstöðunnar bíður
• AlloyDB einangrar gagnagrunn fyrir hvern fulltrúa — en aðeins í forskoðun