Anthropic riorganizza il. Anthropic ha ristrutturato il suo programma di verifica della sicurezza informatica, il Cyber Verification Program, introducendo tre livelli di accesso: Defense, Red Team e Specialized. Questi livelli sbloccano l’utilizzo dei modelli più avanzati – Claude Opus 5.5, Sonnet 5.5 e Mythos 5.1 – per le aziende che operano nel settore della sicurezza.

I modelli sono disponibili tramite la piattaforma Claude Platform, Vertex AI di Google Cloud e Microsoft Foundry. Il programma integra anche i partecipanti al precedente Project Glasswing, che passeranno automaticamente al livello più alto senza necessità di una nuova candidatura per i modelli attuali.

Anthropic riorganizza il: perché è importante

Il livello Defense è dedicato ad attività difensive come il monitoraggio dei centri operativi di sicurezza, la risposta agli incidenti, l’analisi del malware e la verifica delle vulnerabilità. Red Team estende le possibilità ai penetration test e alle attività di red teaming su sistemi autorizzati, ma per ora è riservato esclusivamente a organizzazioni.

Specialized, il livello con meno restrizioni, è destinato a un gruppo selezionato di organizzazioni verificate in collaborazione con il governo degli Stati Uniti. Queste realtà testeranno sistemi critici come reti elettriche, telecomunicazioni e infrastrutture bancarie interbancarie.

Anthropic prevede che molte aziende, enti non profit, università, pubbliche amministrazioni, operatori di infrastrutture critiche, piccole società di sicurezza, maintainer open source e ricercatori con comprovate segnalazioni di vulnerabilità rientreranno nel livello Defense. L’approvazione per Red Team richiede alcune settimane di verifiche preliminari, durante le quali l’organizzazione viene inizialmente iscritta al livello Defense.

Ogni candidato deve dimostrare di possedere i controlli di sicurezza richiesti dal livello desiderato. Il livello Red Team mantiene blocchi in tempo reale su azioni potenzialmente dannose come la distribuzione di ransomware, il danneggiamento di sistemi fisici o test su infrastrutture ad alto rischio.

I modelli accessibili a tutti rimangono adatti per attività quali la revisione del codice, la correzione di problemi noti, la ricerca di vulnerabilità nel proprio codice sorgente e lo smistamento degli avvisi. Le richieste più complesse e rischiose vengono reindirizzate a un altro modello.

Per valutare l’efficacia dei diversi livelli, Anthropic ha sottoposto Opus 5.5 al test CyScenarioBench, che valuta la capacità di un modello di pianificare ed eseguire operazioni informatiche complesse in condizioni realistiche. Il test consiste in 10 sfide ripetute 5 volte per ogni livello, per un totale di 50 prove con le protezioni calibrate sul rispettivo livello.

Senza accesso al programma, ogni compito è stato bloccato già al primo tentativo. Con Opus 5.5, 46 prove su 50 sono state bloccate nel livello Defense e nessuna in Red Team. Nel livello Defense sono riuscite le restanti quattro sfide, mentre in Red Team il modello ne ha completate 34, pari al 68%, un risultato simile al 67,6% ottenuto senza protezioni, valore di riferimento per il livello Specialized.

Anthropic sottolinea che si tratta di una misurazione interna e non verificata in modo indipendente. L’azienda prevede blocchi significativi sul modello generalista e nel livello Defense, ma nessuno nei livelli Red Team e Specialized, data la complessità delle operazioni offensive testate.

Gli iscritti al programma devono accettare la conservazione dei dati, giustificata dalla necessità di monitorare usi impropri. Chi utilizza Fable 5.1 o Mythos 5.1 in modalità zero data retention può evitare questa condizione. Per gli altri è previsto un servizio Enterprise Frontier Safeguards, disponibile in autunno, che combinerà la riservatezza dello zero data retention con protezioni robuste e consentirà alle organizzazioni idonee di conservare i dati su infrastrutture cloud sotto il loro controllo.

Cosa cambia e quali sono gli effetti

Un penetration test genera log, configurazioni e potenzialmente dati personali. Conservarli presso il fornitore del modello richiede un’attenta valutazione in relazione al GDPR e agli accordi di riservatezza con il committente. Su Amazon Bedrock, il programma è disponibile solo per i clienti che possono accedere a Enterprise Frontier Safeguards.

I partner del programma lanciato ad aprile hanno identificato almeno 129.000 vulnerabilità verificate tra aprile e luglio 2026, con altre 5.500 emerse da scansioni open source condotte da Anthropic tra aprile e ottobre. Più di 33.000 sono state classificate come critiche o gravi. L’azienda definisce questo dato una stima prudente, basata su 33 rapporti provenienti da una parte dei partner, prevedendo un impatto reale almeno cinque volte superiore.

Anthropic evidenzia che la scoperta di vulnerabilità è sempre più semplice, mentre la loro verifica, classificazione e correzione rimangono processi lenti. In passato, in Glasswing potevano passare mesi tra la scoperta e la correzione. Questo problema era emerso già a maggio, quando su 1.000 progetti open source erano state corrette solo 75 vulnerabilità di elevata gravità.

Nel settore tecnologico OT (reti elettriche, impianti idrici, trasporti), l’applicazione di una patch può richiedere tempi lunghi per garantire la sicurezza dei macchinari in funzione, con attese che in rari casi possono protrarsi per decenni. L’8 ottobre Anthropic ha lanciato la Cyber Mission, con il Critical Infrastructure Defense Program e OSS Scanner.

OSS Scanner offre scansioni gratuite e periodiche ai progetti open source che aderiscono, generando report basati sul modello senza revisione umana: Anthropic stima un tasso di veri positivi superiore al 90%. Anthropic decide quali organizzazioni sono considerate difensori e a quale livello. La verifica finale è effettuata da Anthropic, con il supporto del governo degli Stati Uniti per il livello più alto.

Un fornitore di penetration test che si candida a Red Team accetta i criteri stabiliti e le condizioni relative alla conservazione dei dati. Il committente può richiedere al fornitore informazioni sull’utilizzo di questi modelli e sulla destinazione dei dati relativi all’incarico.

Fonte e approfondimento su anthropic riorganizza il: articolo originale.

Per altri aggiornamenti su anthropic riorganizza il, consulta anche le ultime news tecnologiche di HWReady.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.