Anthropic이 CVP를 Defense·Red Team·Specialized 세 등급으로 재편했다. Defense Access에서도 다단계 시나리오 50개 중 46개가 중간에 막혔다. 신청 전에 맡길 작업의 단계 수와 Bedrock 사용 여부부터 확인한다.
Claude로 보안 업무를 자동화하려는 팀이 먼저 부딪히는 것은 모델 성능이 아니라 거절이다. Anthropic도 10월 6일 CVP 확대 발표에서 일반 공급 모델의 사이버 안전장치가 "대부분의 사이버 작업을 막는다"고 적었다.
그래서 보안팀의 질문은 "CVP에 들어가면 풀리느냐"로 모인다. 이번 발표는 숫자로 답했다. 등급에 따라, 그리고 작업이 몇 단계로 이어지는지에 따라 다르다.
Defense Access는 첫 프롬프트를 열고 시나리오 중간에서 멈춘다
Anthropic은 Project Glasswing과 기존 CVP를 하나로 합쳤다. 모델은 세 등급 모두 Claude Opus 5.5·Sonnet 5.5·Mythos 5.1이고, 차이는 차단을 얼마나 푸느냐다.
| 등급 | 허용 작업 | 신청 대상 | 심사 기간 |
|---|---|---|---|
| Defense Access | SOC·침해 대응, 악성코드 리버스 엔지니어링, 취약점 분석·검증 | 기업 보안팀, 대학, 정부, 오픈소스 메인테이너, 제보 이력이 있는 개인 연구자 등 | 며칠 |
| Red Team Access | 위 작업 + 승인된 모의해킹·레드팀 | 조직만 (개인 연구자 불가) | 몇 주 |
| Specialized Access | 항공 운항 시스템·전력망·통신망·은행 간 이체망 같은 안전 시스템 테스트 | 검증된 일부 조직, 미국 정부와 공동 심사 | 심층 심사 |
숫자는 현실적 제약 아래 다단계 사이버 작전을 계획·실행하는지 재는 Anthropic 평가 CyScenarioBench에서 나왔다. CVP 없이 돌리면 과제 50개가 전부 첫 프롬프트에서 막혔다. Defense Access에서는 46개가 실행 도중 어느 시점에 막혔고 4개만 끝까지 갔다. Red Team Access에서는 차단이 한 번도 없었고 Opus 5.5가 34개를 완료했다.
Defense Access는 차단을 없애지 않고 위치를 옮긴다.
에이전트 파이프라인에서는 이 차이가 크다. 첫 프롬프트 거절은 바로 보이지만, 중간에 끊긴 실행은 반쯤 만든 산출물을 남기고 따로 기록하지 않으면 일반 오류와 섞인다. Red Team Access의 34개 완료는 거꾸로 16개 미완료라는 뜻이다. 차단을 풀어도 남는 실패는 모델 능력의 한계다.
작업 이름으로는 등급이 정해지지 않는다
악성코드 리버스 엔지니어링은 Anthropic 표에서 Defense Access에 들어 있다. OpenAI의 현행 Daybreak 도움말은 같은 작업을 Daybreak Red가 필요할 수 있는 고위험 작업으로 분류한다. 벤더가 붙인 "방어" 라벨은 서로 맞지 않는다. 두 회사가 모델을 심사 뒤에 두는 구조는 Mythos 5.1과 Daybreak Red은 결제창이 아니라 심사 뒤에 있다에서 다뤘다. 이번 발표는 등급 안에서 어디까지 가는지를 숫자로 보여 줬다.
더 쓸모 있는 기준은 단계 수다. 샘플 하나를 정적 분석하고 보고서를 쓰는 일은 한두 단계로 끝난다. 취약점을 찾고, 재현하고, 공격 가능성까지 검증하는 일은 CyScenarioBench가 재는 다단계 작전에 가깝다. 앞의 일은 Defense Access로 시작할 수 있고, 뒤의 일은 거기서 중간에 끊길 위험이 크다.
등급에는 조건이 따라온다. 가입 조직은 오남용 감시를 위해 데이터를 보존해야 한다. 예외는 Fable 5.1·Mythos 5.1을 무보존(ZDR)으로 쓰는 조직뿐이고, 고객 클라우드에 데이터를 두는 Enterprise Frontier Safeguards(EFS)는 "올가을 늦게" 나온다. 플랫폼도 갈린다. Claude Platform·Vertex AI·Microsoft Foundry에서는 CVP를 쓸 수 있지만, Amazon Bedrock에서는 EFS 대상 고객만 쓴다.
체인의 마지막 단계는 모델 밖, GitHub 제보 양식에 있다
오픈소스에서 찾은 취약점은 메인테이너에게 알려야 끝나는데, 이 출구가 좁아졌다. GitHub 10월 1일 구조화 제보 양식 공지에 따라 비공개 취약점 제보는 요약·상세·개념 증명(150자 이상)·영향을 필수로 채워야 하고, "AI 도움을 받아 찾거나 썼다"는 체크박스가 붙었다. GitHub은 자유 입력란이 저품질·AI 생성 제보를 쉽게 만들었다고 밝혔다.
같은 날 GitHub 제보 한도 공지로 사용자별 일일 한도가 저장소 단위와 GitHub 전체에 걸렸다. 저장소 관리자는 한도를 조정하거나 신뢰 제보자를 허용 목록에 올린다. Anthropic은 4월부터 10월까지 자체 오픈소스 스캔으로 검증된 취약점 5,500건을 찾았다고 밝혔다. 다단계 작업의 마지막 단계는 모델이 아니라 메인테이너의 한도에 걸린다.
가져갈 것
- Claude에 맡길 보안 작업 목록에 '단계 수' 열을 두고, 재현·검증까지 이어지는 작업을 따로 표시했는가?
- 다단계 작업이 있다면 신청 주체가 개인이 아닌 조직이고, Red Team Access 심사 기간(몇 주)을 일정에 넣었는가?
- Claude를 Amazon Bedrock으로만 쓴다면 EFS 대상인지 확인했는가?
- Opus 5.5·Sonnet 5.5를 무보존 조건으로 쓰고 있다면, CVP 가입으로 데이터 보존이 생기는 것을 법무·보안이 승인했는가?
- 에이전트 로그가 안전장치 차단을 일반 오류와 다른 코드로 남기고, 등급 범위 안인데 막힌 건을 Anthropic에 신고할 담당자가 있는가?
- 오픈소스 취약점 제보 템플릿에 150자 이상 개념 증명과 AI 사용 여부 칸이 들어 있는가?
안 되는 경우
- CyScenarioBench는 Anthropic 자체 평가다. 시나리오 구성과 46개가 어느 단계에서 막혔는지는 공개되지 않아, 우리 작업의 차단 시점을 이 숫자로 예측할 수 없다.
- 등급별 보안 통제 요구 목록은 발표 본문 문장으로 확인되지 않아, 신청 준비 기간은 이 글로 산정하지 못한다.
- 개인 연구자에게는 Red Team Access가 열리지 않고, EFS 대상이 아닌 Bedrock 전용 조직은 CVP 자체를 쓸 수 없다. 이들에게는 단계 수로 고를 등급 선택지가 없다.
- GitHub은 일일 제보 한도의 기본 수치를 밝히지 않았다.
이번 주에 바꿀 것은 신청서가 아니라 작업 목록이다. 보안팀이 Claude에 넘기려는 업무마다 몇 단계로 이어지는지, 마지막 단계가 회사 밖 누구에게 닿는지를 한 줄씩 적으면 Defense Access로 시작할지 Red Team Access 심사를 기다릴지가 정해진다. 모델 접근 권한은 업무 설계와 같은 회의에서 다루길 권한다. 사업영역 →