Anthropic: tre livelli di accesso cyber a Claude per chi difende

Anthropic ha riorganizzato il modo in cui i team di sicurezza possono usare i suoi modelli più avanzati per le attività cyber. Project Glasswing e il Cyber Verification Program (CVP), finora due percorsi separati, confluiscono in un unico programma con tre livelli di accesso verificato: Defense Access, Red Team Access e Specialized Access. Più alto è il livello, meno blocchi il modello applica alle richieste di tipo offensivo.

Non ci sono CVE da correggere né prodotti da aggiornare. La notizia interessa SOC, red team e gestori di infrastrutture critiche che valutano l’IA nelle attività di sicurezza, e chi deve governarne i rischi.

Cosa è successo

Secondo Cybersecurity360 l’annuncio è del 6 ottobre 2026; le altre testate ne hanno scritto il 7 ottobre. I due programmi erano partiti ad aprile 2026, insieme al modello Claude Mythos:

• Glasswing dava a organizzazioni selezionate, impegnate sul software critico, l’accesso a Mythos per cercare vulnerabilità nei propri sistemi;
• il CVP dava a team di sicurezza verificati l’accesso ai modelli Opus e Sonnet con salvaguardie ridotte.

I modelli disponibili al pubblico (Claude Opus 5.5, Fable 5.1 e Sonnet 5.5) mantengono salvaguardie cyber prudenti, che bloccano la maggior parte delle attività offensive. Secondo Cybersecurity360 restano consentiti compiti come la revisione del codice, la correzione di problemi noti, la ricerca di vulnerabilità nel proprio codice e il triage degli alert. Ogni livello del nuovo programma include invece Claude Opus 5.5, Sonnet 5.5, Mythos 5.1 e i modelli futuri, con restrizioni diverse.

I tre livelli

• Defense Access: operazioni di sicurezza, incident response, reverse engineering del malware, analisi e validazione delle vulnerabilità. È pensato per team di aziende, enti no profit, università e pubbliche amministrazioni che proteggono i propri sistemi, per gestori di infrastrutture critiche di qualsiasi dimensione (l’annuncio cita un ospedale regionale e una utility municipale), maintainer open source e ricercatori con un track record. Anthropic indica tempi di risposta di pochi giorni.
• Red Team Access: aggiunge penetration test e red teaming autorizzati, solo sui sistemi che l’organizzazione è autorizzata a testare, ed è riservato alle organizzazioni. Restano blocchi in tempo reale sulle azioni che possono causare danni fisici o interruzioni di massa, come il rilascio di ransomware o i test su sistemi di sicurezza ad alto rischio. La revisione richiede settimane; secondo Cybersecurity360, nel frattempo i richiedenti sono iscritti al livello Defense.
• Specialized Access: il livello con meno restrizioni, per poche organizzazioni verificate e autorizzate a testare sistemi come i sistemi operativi di volo, le reti elettriche, le telecomunicazioni, i trasferimenti interbancari e le reti amministrative governative. Le candidature sono esaminate insieme al governo statunitense. I membri attuali di Glasswing passano a questo livello senza una nuova approvazione per i modelli che già usano.

I numeri dichiarati da Anthropic

Anthropic ha misurato i livelli con CyScenarioBench, un suo benchmark interno su operazioni cyber in più fasi: Claude Opus 5.5, 10 sfide, 5 tentativi per sfida e per livello, quindi 50 prove ciascuno.

• Senza CVP: tutte le prove bloccate al primo prompt.
• Defense Access: 46 prove bloccate in qualche punto, 4 riuscite.
• Red Team Access: nessun blocco, 34 prove completate.

Secondo l’azienda il risultato del Red Team Access equivale al 67,6% di successo misurato senza salvaguardie, cioè al comportamento atteso per lo Specialized Access. Sakshi Grover di IDC, sentita da CSO Online, ricorda che è un test condotto dal fornitore, non una verifica indipendente.

Sui risultati di Glasswing, Anthropic dichiara che tra aprile e luglio 2026 i partner hanno trovato almeno 129.000 vulnerabilità verificate, a cui si aggiungono 5.500 vulnerabilità trovate tra aprile e ottobre dalle scansioni dell’azienda su progetti open source. Oltre 33.000 sono classificate finora come critiche o gravi. L’azienda considera la stima per difetto e prevede un impatto reale almeno cinque volte superiore.

Le fonti invitano alla cautela. Secondo Cybersecurity360 i dati vengono da 33 report di partner, con criteri di triage diversi. The Register riporta dati di Anthropic secondo cui, su 5.674 vulnerabilità confermate, quelle corrette sono 516, e cita Patrick Garrity di VulnCheck: meno dello 0,5% delle 225 vulnerabilità collegate ad Anthropic che segue risulta sfruttato in attacchi reali. Il collo di bottiglia si sposta dalla scoperta alla correzione.

Il quadro tecnico: i controlli escono dal modello

Le fonti non descrivono attacchi né indicatori, e non c’è una catena di attacco da mappare su MITRE ATT&CK. Il punto tecnico è un altro: i passaggi di un penetration test sono gli stessi di un attacco. Come osserva Grover, a renderli legittimi sono l’autorizzazione, il perimetro e le condizioni di esecuzione, non la tecnica. Quando il modello rifiuta di meno, i controlli devono stare fuori dal modello.

Per i partecipanti al CVP la conservazione dei dati è obbligatoria, perché Anthropic deve poter rilevare gli abusi. L’azienda annuncia le Enterprise Frontier Safeguards, che uniranno la conservazione zero dei dati a salvaguardie aggiuntive e permetteranno di tenere i dati su infrastrutture cloud controllate dall’organizzazione. Chi ha già la conservazione zero su Fable 5.1 o Mythos 5.1 può usare il CVP alle stesse condizioni. Secondo Cybersecurity360 il programma è disponibile su Claude Platform, Vertex AI di Google Cloud e Microsoft Foundry, mentre su Amazon Bedrock solo per i clienti idonei alle nuove salvaguardie.

Impatto per le aziende europee e italiane

• GDPR: prompt e risposte di un’attività di sicurezza possono contenere log, codice, dati personali e vulnerabilità non ancora corrette. Con la conservazione obbligatoria vanno chiariti ruoli nel trattamento, accordi con il fornitore, trasferimenti fuori dall’UE e minimizzazione. In sanità i log di un incidente possono contenere dati sanitari.
• Specialized Access: è vagliato insieme al governo statunitense e, secondo Cybersecurity360, l’annuncio non chiarisce i criteri geografici di ammissione. È un punto da verificare per chi gestisce reti elettriche, telecomunicazioni o infrastrutture finanziarie soggette a NIS2, DORA e alla direttiva sulla resilienza dei soggetti critici.
• NIS2: un accesso con salvaguardie ridotte è una fornitura critica e un privilegio elevato, da trattare nelle misure di gestione del rischio e di sicurezza della catena di fornitura dell’articolo 21.

Cosa fare subito

1. Scegli il livello che corrisponde al lavoro reale, non il più alto: SOC, incident response e analisi del malware rientrano nel Defense Access.
2. Per il Red Team Access documenta prima contratti, perimetro e regole d’ingaggio dei sistemi da testare.
3. Tratta l’accesso come un privilegio elevato: ambienti dedicati, persone identificate, utilizzo registrato e inserito nel registro dei rischi.
4. Metti i controlli attorno agli agenti: un’identità distinta per ogni agente, privilegi brevi e legati al singolo compito, verifica indipendente di bersagli e azioni, approvazione umana per le azioni ad alto impatto e un responsabile definito, come suggeriscono gli analisti sentiti da CSO Online.
5. Prima di inviare log, codice o dati di incidente, rivedi la valutazione d’impatto sulla protezione dei dati e minimizza; nei contesti più sensibili valuta la conservazione zero.
6. Dimensiona la gestione delle vulnerabilità: se la scoperta accelera, triage, priorità e patch devono reggere il volume.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto, con la loro età e quelle già sfruttate dagli attaccanti in evidenza: quando le segnalazioni aumentano, aiuta a decidere cosa correggere prima. ARX Expose aggiunge la vista da fuori, con le vulnerabilità note sui servizi pubblici, per separare ciò che è esposto da ciò che non lo è.

Ultimo aggiornamento: 8 ottobre 2026