Anthropic เปิด 3 ระดับให้สายไซเบอร์ แต่สิทธิ์ยังต้องผ่านการยืนยัน

Anthropic ขยาย Cyber Verification Program เป็น 3 ระดับ เมื่อวันที่ 6 ตุลาคม 2026 เพื่อให้ทีมความปลอดภัยที่ผ่านการตรวจสอบขอใช้ความสามารถด้านไซเบอร์ของ Claude Opus 5.5, Claude Sonnet 5.5 และ Claude Mythos 5.1 ตามขอบเขตงานได้ ผู้สมัครต้องยื่นข้อมูลผ่าน Verification Portal ระบุงานที่ทำและรับรองมาตรการควบคุมที่เกี่ยวข้อง การส่งคำขอจึงยังไม่ใช่การได้รับสิทธิ์ใช้งาน

การขยายครั้งนี้รวมเส้นทางสำหรับทีมป้องกันระบบเข้ากับ Project Glasswing ซึ่งเดิมให้บางองค์กรเข้าถึง Claude Mythos ตามรายงานของ SiliconANGLE องค์กรที่ดูแลระบบของตน บริษัทรับทดสอบความปลอดภัย และนักวิจัยอิสระบางกลุ่มจึงมีช่องทางสมัคร แต่ระดับที่ขอได้ต่างกัน สำหรับผู้สมัครในไทย ประเด็นสำคัญคือแยกงานที่บัญชีทั่วไปทำได้อยู่แล้วออกจากงานที่ต้องขอสิทธิ์เพิ่ม แล้วระบุให้ได้ว่าใครอนุญาตให้ทดสอบระบบใด

งานใดใช้ Claude บัญชีทั่วไปได้อยู่แล้ว

การตรวจโค้ดให้ปลอดภัย การทำแบบจำลองภัยคุกคาม การแก้ปัญหาที่ทราบแล้ว การหาช่องโหว่ในซอร์สโค้ดของตนเอง และการคัดแยกการแจ้งเตือนความปลอดภัยยังเป็นงานที่ใช้โมเดลซึ่งเปิดให้ใช้ทั่วไปได้ ผู้ดูแลโครงการโอเพนซอร์สที่ต้องการตรวจโค้ดของโครงการ หรือทีมที่กำลังจัดลำดับเหตุการณ์จากระบบที่ตนรับผิดชอบ จึงไม่จำเป็นต้องถือว่าทุกคำสั่งด้านความปลอดภัยต้องผ่านโครงการนี้ก่อน

จุดเปลี่ยนเกิดเมื่องานป้องกันต้องลงรายละเอียดที่ระบบสกัดคำสั่งอาจขัดจังหวะ เช่น การวิเคราะห์มัลแวร์หรือการตรวจสอบว่าช่องโหว่ถูกใช้ประโยชน์ได้จริง คำสั่งลักษณะเดียวกันอาจช่วยทั้งผู้ป้องกันและผู้โจมตี Anthropic จึงใช้การตรวจสอบผู้สมัครและขอบเขตงานประกอบการลดการสกัด ผู้สมัครควรอธิบายงานที่ได้รับมอบหมายอย่างเจาะจง เพราะคำว่า “ทำงานด้านไซเบอร์” เพียงอย่างเดียวไม่บอกว่าเหตุใดจึงต้องเข้าถึงความสามารถเพิ่มเติม

หากงานหยุดอยู่ที่การตรวจซอร์สโค้ดซึ่งตนมีสิทธิ์ดูแลหรือการช่วยวิเคราะห์การแจ้งเตือน สิทธิ์ทั่วไปอาจตอบโจทย์อยู่แล้ว หากต้องตรวจตัวอย่างมัลแวร์เพื่อรับมือเหตุการณ์ หรือยืนยันช่องโหว่ในระบบที่ได้รับมอบหมายให้ป้องกัน Defense Access จึงเป็นระดับที่เกี่ยวข้อง ส่วนการจำลองการโจมตีต่อระบบจริงต้องพิจารณาอำนาจในการทดสอบและระดับสิทธิ์ที่สูงขึ้น ความแตกต่างอยู่ที่ลักษณะการกระทำและระบบเป้าหมาย ไม่ใช่ชื่อตำแหน่งของผู้ใช้

ระดับสิทธิ์แยกตามงานที่ได้รับอนุญาต

Defense Access รองรับงานศูนย์ปฏิบัติการความปลอดภัย การตอบสนองเหตุการณ์ การวิเคราะห์ย้อนกลับมัลแวร์ ตลอดจนการวิเคราะห์และยืนยันช่องโหว่ ทีมของบริษัท องค์กรไม่แสวงกำไร มหาวิทยาลัย หรือหน่วยงานรัฐที่ปกป้องระบบซึ่งตนเป็นเจ้าของหรือดูแลอยู่ในกลุ่มที่อาจเข้าเกณฑ์ เช่นเดียวกับผู้ให้บริการโครงสร้างพื้นฐานสำคัญ บริษัทความปลอดภัยขนาดเล็ก และผู้ดูแลโครงการโอเพนซอร์ส นักวิจัยอิสระที่มีประวัติรายงานช่องโหว่ก็สมัครระดับนี้ได้

Red Team Access เพิ่มงานทดสอบเจาะระบบและการจำลองฝ่ายโจมตี แต่ใช้กับระบบที่องค์กรได้รับอนุญาตให้ทดสอบเท่านั้น ทีม red team ภายในหน่วยงานและบริษัทรับทดสอบความปลอดภัยเป็นตัวอย่างผู้สมัคร ระดับนี้เปิดให้สมัครในนามองค์กร ไม่เปิดให้นักวิจัยอิสระสมัครเป็นรายบุคคล องค์กรที่มีคุณสมบัติอาจได้รับ Defense Access ระหว่างรอพิจารณาคำขอระดับ Red Team จึงยังต้องแยกสิทธิ์ที่ได้รับแล้วออกจากสิทธิ์ที่กำลังรอผล

Specialized Access สำหรับองค์กรที่ได้รับอนุญาตให้ทดสอบระบบซึ่งความผิดพลาดอาจกระทบชีวิตหรือทำให้ตลาดและบริการสำคัญหยุดชะงัก ตัวอย่างที่ระบุมีระบบปฏิบัติการการบิน โครงข่ายไฟฟ้า โทรคมนาคม โครงสร้างพื้นฐานการโอนเงินระหว่างธนาคาร และเครือข่ายบริหารงานภาครัฐ การพิจารณาระดับนี้เป็นรายองค์กรอย่างละเอียดร่วมกับรัฐบาลสหรัฐฯ ส่วนสมาชิก Project Glasswing เดิมจะย้ายเข้าระดับนี้โดยไม่ต้องขออนุมัติใหม่สำหรับโมเดลที่ใช้อยู่

การทำงานในอุตสาหกรรมสำคัญไม่ได้ทำให้งานทุกอย่างกลายเป็นการทดสอบระบบเสี่ยงสูง ตัวอย่างเช่น ทีมที่คัดแยกการแจ้งเตือนของโรงพยาบาลกับทีมที่ได้รับอนุญาตให้ทดสอบระบบซึ่งเกี่ยวข้องกับความปลอดภัยของผู้ป่วย มีขอบเขตการกระทำต่างกัน การยื่นคำขอจึงต้องผูกประเภทงานเข้ากับระบบที่ดูแล ผู้มีอำนาจอนุญาต และผลกระทบที่อาจเกิดขึ้นจากการทดสอบ

สมัครผ่านพอร์ทัลและเตรียมข้อมูลอะไร

คู่มือ Cyber Verification Program ระบุให้เข้าสู่ Verification Portal เปิดเมนู Programs เลือกโครงการแล้วกด Apply โดยยื่นคำขอครั้งเดียวต่อองค์กร พร้อมข้อมูลยืนยันผู้สมัคร คำอธิบายงาน และคำรับรองมาตรการควบคุมที่ใช้ Anthropic ตั้งเป้าแจ้งผลหรือขอข้อมูลเพิ่มทางอีเมลภายใน 7 วันทำการ ซึ่งเป็นกรอบตอบกลับ ไม่ใช่กำหนดรับรองว่าจะอนุมัติทุกระดับภายในเวลานั้น

ผู้สมัครไม่จำเป็นต้องเลือกยื่นหลายคำขอเพื่อไล่ระดับสิทธิ์ บริษัทจะประเมินระดับสูงสุดที่ข้อมูลในคำขอรองรับ สำหรับองค์กร ผู้ดูแลระบบเป็นผู้จัดสรรสิทธิ์ให้สมาชิกหลังอนุมัติ พนักงานจึงควรรวมงานและผู้ใช้ที่เกี่ยวข้องไว้ในคำขอขององค์กร ส่วนนักวิจัยอิสระ ผู้ดูแลโอเพนซอร์ส และผู้เข้าร่วมโครงการค้นหาช่องโหว่สมัครในนามบุคคลได้เฉพาะ Defense Access และต้องใช้แผนแบบชำระเงิน

ข้อมูลเรื่องมาตรการควบคุมมีผลต่อการพิจารณาพอ ๆ กับคำอธิบายงาน ผู้สมัครต้องแสดงว่าบัญชีและพื้นที่ใช้งานอยู่ภายใต้การดูแลของใคร ใครจะเข้าถึงสิทธิ์ และจะรับมืออย่างไรหากพบการใช้งานผิดขอบเขต ข้อกำหนดเข้มขึ้นตามระดับการเข้าถึง เพราะงานจำลองการโจมตีและงานกับระบบที่อาจกระทบชีวิตมีความเสี่ยงต่างจากการช่วยตรวจโค้ดภายในองค์กร ผู้สมัครในไทยจึงควรระบุระบบและอำนาจที่ตนมีจริง โดยไม่ตีความการได้รับอนุญาตให้ตรวจระบบหนึ่งว่าใช้ทดสอบระบบอื่นได้ด้วย

ช่องทางใช้งานกำหนดขั้นตอนหลังอนุมัติ

ผู้ใช้ Claude.ai, Claude Code หรือ Anthropic API โดยตรงเข้าสู่พอร์ทัลด้วยบัญชี Anthropic ของตน แต่ผู้ใช้ผ่านคลาวด์ต้องเชื่อมบัญชีหรือโครงการที่ใช้งานจริงก่อนสมัคร สำหรับ Google Cloud ต้องเชื่อมโครงการคลาวด์ ส่วน Microsoft Foundry ต้องปรับใช้โมเดล Claude ก่อนแล้วจึงเชื่อมบัญชี Azure การอนุมัติที่ผูกกับบัญชีหนึ่งไม่ควรถูกเข้าใจว่าเปิดสิทธิ์ให้ทุกโครงการคลาวด์ขององค์กรโดยอัตโนมัติ

ฝั่ง AWS ต้องแยก Claude Platform on AWS ออกจาก Amazon Bedrock เพราะเงื่อนไขการเข้าร่วมต่างกัน Bedrock เปิดโครงการนี้เฉพาะลูกค้าที่เข้าเกณฑ์ Enterprise Frontier Safeguards ขณะที่ผู้ใช้ Claude Platform on AWS เชื่อมบัญชี AWS กับพอร์ทัลตามขั้นตอนของช่องทางนั้น ผู้สมัครที่ใช้หลายช่องทางจึงต้องระบุให้ตรงว่าคำสั่งจะถูกส่งจากที่ใด และตรวจการเปิดสิทธิ์บนบัญชีปลายทางหลังได้รับอนุมัติ

แอปภายนอกที่ใช้ Claude มีวิธีเชื่อมอีกแบบ ผู้สมัครต้องขอลิงก์ลงทะเบียนจากแพลตฟอร์มที่รองรับ แล้วใช้ลิงก์นั้นเชื่อมโปรไฟล์กับ Verification Portal ก่อนยื่นคำขอ ช่องทางนี้รองรับ Defense Access และ Red Team Access แต่ไม่รองรับ Specialized Access ขอบเขตที่องค์กรได้รับอนุมัติจึงอาจกว้างกว่าสิ่งที่แอปภายนอกช่องทางหนึ่งเปิดให้ใช้จริง

หลังอนุมัติ ผู้ดูแลองค์กรอาจต้องผูกสิทธิ์กับ workspace หรือบทบาทของสมาชิก ขณะที่บัญชีคลาวด์และโปรไฟล์บนแอปภายนอกมีขั้นตอนเปิดสิทธิ์ตามช่องทางของตน หากยังพบการสกัดคำสั่ง ควรตรวจทั้งระดับงานที่ได้รับอนุมัติและตำแหน่งที่สิทธิ์ถูกจัดสรร การมีอีเมลอนุมัติขององค์กรเพียงอย่างเดียวไม่ได้บอกว่าผู้ใช้ทุกคนเข้าถึงสิทธิ์จากทุกบัญชีแล้ว

สิทธิ์ที่ลดการสกัดยังมีขอบเขต

การลดตัวสกัดคำสั่งทำให้งานที่ผ่านการพิจารณาดำเนินต่อได้สะดวกขึ้น แต่ Usage Policy ยังคงใช้เต็มรูปแบบ Red Team Access ยังมีการสกัดทันทีต่อการกระทำที่อาจก่ออันตรายทางกายภาพหรือทำให้บริการหยุดชะงักในวงกว้าง เช่น การปล่อยแรนซัมแวร์หรือทำลายระบบจริง การมีสิทธิ์ใช้โมเดลจึงไม่ใช่หลักฐานว่าเจ้าของระบบอนุญาตให้ทดสอบ และไม่ขยายขอบเขตการทดสอบที่องค์กรได้รับมอบหมาย

สิทธิ์สำหรับองค์กรครอบคลุมงานความปลอดภัยกับโค้ด ผลิตภัณฑ์ และโครงสร้างพื้นฐานขององค์กรเอง หากนำสิทธิ์ไปวิเคราะห์ระบบของลูกค้า หรือสร้างบริการที่ให้ลูกค้าโต้ตอบกับโมเดลผ่านผลิตภัณฑ์ของตน ต้องขออนุมัติแยกต่างหาก การตัดสินใจว่าจะยื่นในนามทีมป้องกันระบบ ทีมทดสอบที่มีอำนาจชัดเจน หรือผู้ให้บริการแก่ลูกค้า จึงเปลี่ยนทั้งคำอธิบายงานและขอบเขตสิทธิ์ที่ใช้ได้จริง

องค์กรในโครงการต้องยอมให้เก็บข้อมูลเพื่อเฝ้าระวังการใช้งานผิดวัตถุประสงค์ โดยมีข้อยกเว้นสำหรับบางองค์กรที่มีสิทธิ์เดิมตามเงื่อนไขของ Anthropic บริษัทอาจทบทวน จำกัด หรือถอนสิทธิ์ภายหลังได้ ผลที่ผู้สมัครต้องเตรียมรับจึงไม่ได้จบที่การยืนยันตัวตนครั้งแรก แต่รวมถึงการรักษามาตรการควบคุมและการใช้สิทธิ์เฉพาะงานกับระบบที่ได้รับอนุญาตตลอดช่วงใช้งาน

อ่านเพิ่มเติม:

• DigitalOcean เปิด Managed Agents แต่ Public Preview ยังไม่มี SLA