Programma di Verifica Cyber

Questo articolo spiega cos'è il Programma di Verifica Cyber (CVP), chi può partecipare, come candidarsi e come attivare l'accesso dopo l'approvazione.

Il Programma di Verifica Cyber consente ai professionisti della sicurezza verificati di utilizzare i nostri modelli più capaci per lavori di sicurezza avanzati con meno interruzioni dalle nostre protezioni cyber.

Non hai bisogno di CVP per lo sviluppo sicuro quotidiano. Puoi utilizzare i nostri modelli generalmente disponibili per rivedere il codice, correggere i problemi noti e classificare gli avvisi di sicurezza.

Potresti aver bisogno di CVP se Claude blocca il tuo lavoro di sicurezza, ad esempio la convalida di exploit o l'esecuzione di test di penetrazione autorizzati. Le organizzazioni possono candidarsi per qualsiasi livello. Gli individui, come ricercatori indipendenti, manutentori open-source e cacciatori di bug bounty, possono candidarsi per Defense Access.

Ogni livello include i modelli Claude Mythos, Opus e Sonnet a partire da Claude Mythos 5.2, Claude Mythos 5.1, Claude Opus 5.5 e Claude Sonnet 5.5. CVP regola le protezioni su questi modelli in base al tuo livello. La nostra Politica di utilizzo si applica comunque integralmente.

Di seguito condividiamo una panoramica dei tre livelli di accesso nel Programma di Verifica Cyber: Defense Access, Red Team Access e Specialized Access.

Proibiamo alcune attività in ogni livello, incluse:

Defense Access è adatto alla maggior parte degli operatori di infrastrutture critiche. L'esercizio di infrastrutture critiche non qualifica di per sé le organizzazioni per Specialized Access.

La conservazione dei dati è obbligatoria per tutti gli iscritti al programma in modo che possiamo aiutare a monitorare e mitigare l'uso improprio informatico. Se la tua organizzazione ha un'esenzione dalla conservazione dei dati per i modelli Claude Fable o Claude Mythos, puoi utilizzare CVP con conservazione dati zero (ZDR) su tutti i modelli del programma per uso interno.

Una volta che Enterprise Frontier Safeguards (EFS) sarà generalmente disponibile, le organizzazioni idonee potranno archiviare i dati nell'infrastruttura cloud che controllano. Registra il tuo interesse in EFS.

Per impostazione predefinita, CVP è consentito solo per uso interno. È richiesta una candidatura separata per l'uso esterno:

Defense Access

Assicurati che la tua organizzazione possa attestare di avere i seguenti controlli di sicurezza in atto: autenticazione a più fattori (MFA) e chiavi API sostituite almeno ogni sette giorni.

Completerai la verifica dell'identità (verifica aziendale per le organizzazioni), descriverai il tuo lavoro di sicurezza e accetterai i termini.

Accesso Red Team

Assicurati che la tua organizzazione possa attestare di avere i seguenti controlli di sicurezza in atto: autenticazione a più fattori resistente al phishing, chiavi API sostituite almeno ogni sette giorni, account con dominio aziendale, dispositivi controllati dall'organizzazione, controlli della rete in uscita e controlli dei precedenti.

Quindi, trova la riga che descrive la tua situazione e prepara le informazioni pertinenti. La corrispondenza con una riga non garantisce l'approvazione.

Accesso specializzato

Esaminiamo ogni applicazione di Accesso specializzato in profondità in collaborazione con il governo degli Stati Uniti. Questo livello è per le organizzazioni che si concentrano specificamente sul red teaming di infrastrutture di importanza sistemica. La maggior parte delle organizzazioni di infrastrutture critiche che lavorano sulla difesa non ha bisogno di Accesso specializzato. Per qualificarti, dovrai dimostrare che sei autorizzato a testare questi tipi di sistemi e dettagliare le attività che non puoi svolgere nel livello di Accesso Red Team.

Se stai facendo domanda per l'Accesso specializzato, assicurati che la tua organizzazione possa attestare di avere i seguenti controlli di sicurezza in atto: autenticazione a più fattori resistente al phishing, chiavi API sostituite almeno ogni sette giorni, account con dominio aziendale, dispositivi controllati dall'organizzazione, controlli della rete in uscita, controlli dei precedenti, più single sign-on e dispositivi gestiti con protezione da malware.

Ogni servizio o prodotto che offri ha bisogno della propria approvazione. Puoi fare domanda una volta che la tua organizzazione è approvata per un livello CVP.

Candidati nel Portale di verifica. Il portale ti guida attraverso la verifica, il tuo livello, le prove necessarie per il tuo livello e i termini del programma.

Ti verificherai come azienda o come individuo. Scegli con attenzione, perché il tipo di verifica influisce sulla tua candidatura:

Se utilizzi Claude, Claude Code o l'API Claude direttamente tramite Anthropic, segui questi passaggi:

Se utilizzi Claude Platform su AWS, Claude Platform su Google Cloud, Google Cloud Agent Platform, Amazon Bedrock (se idoneo per EFS) o Microsoft Foundry, segui questi passaggi:

Quindi, segui questi passaggi con il tuo account del provider cloud:

Devi essere un Proprietario o Proprietario Principale di un account Claude o un Admin di un account Claude Console approvato per CVP. Quindi puoi:

Ti invieremo un'email con una decisione o una richiesta di ulteriori informazioni. Per verificare il tuo stato, accedi al Portale di Verifica, apri Programmi, e scegli "Cyber Verification Program." Se la tua revisione richiede più tempo del target, non è necessario ripresentare la domanda o contattare il supporto.

Se richiedi l'Accesso Red Team o l'Accesso Specializzato e sei idoneo per un livello inferiore, riceverai l'accesso al livello inferiore mentre esaminiamo il resto della tua applicazione.

Puoi continuare a utilizzare i nostri modelli generalmente disponibili, insieme a qualsiasi livello per cui sei stato approvato.

Puoi anche ripresentare la domanda dopo sette giorni. Questa è l'opzione migliore se qualcosa è cambiato o puoi fornire prove più forti a supporto della tua applicazione. Verifica che tu stia presentando la domanda dall'account corretto e che tu abbia completato il tipo corretto di verifica, aziendale o individuale.

Potremmo esaminare, limitare o revocare l'accesso al programma in qualsiasi momento a nostra esclusiva discrezione se vediamo attività che violano le nostre politiche.

Claude Console

Per attivare l'accesso a CVP in Claude Console:

Per i dettagli, consulta assegna un programma alle aree di lavoro.

Claude Enterprise

Per attivare l'accesso a CVP in Claude Enterprise:

Per i dettagli, consulta assegna un programma a un ruolo personalizzato.

Google Cloud Agent Platform

Per attivare l'accesso a CVP in Google Cloud Agent Platform, ripeti questi passaggi per ogni progetto:

Claude Mythos su provider cloud

L'accesso a Mythos su partner cloud inizia circa cinque giorni lavorativi dopo l'approvazione per CVP. Se hai un contratto impegnativo con Anthropic, il tuo team di account ti invierà un modulo breve. Completalo, quindi accetta l'offerta privata nel tuo marketplace cloud. Effettueremo il provisioning di Mythos una volta completati entrambi i passaggi.

Se sei approvato per più di un livello, tratta ogni concessione come qualsiasi altro accesso privilegiato. Mantieni ogni concessione nella sua area di lavoro, ruolo o account cloud separato.

Chiedi al tuo amministratore di confermare che ti ha assegnato l'accesso. Se utilizzi Claude Console, verifica di essere nell'area di lavoro con il programma applicato. Quindi verifica che il lavoro rientri nel tuo livello.

Sì, se hai presentato domanda come organizzazione. Manterrai Defense Access mentre esaminiamo la tua domanda.

Sì. Ogni organizzazione Claude ha bisogno della sua propria domanda. All'interno di un'organizzazione, puoi assegnare programmi per area di lavoro (Console) o ruolo (Enterprise). I piani Team non possono dividere l'accesso tra gli utenti.

Non di per sé. Hai bisogno di un livello CVP e dell'approvazione per l'uso esterno, solitamente come servizio gestito.

In Claude Console, sì. CVP si applica solo alle aree di lavoro a cui lo assegni e non può essere l'area di lavoro predefinita. Assegnalo a un'area di lavoro utilizzata solo per il lavoro interno e mantieni il traffico dei clienti in un'area di lavoro separata senza CVP. Per utilizzare CVP per il traffico dei clienti, hai bisogno dell'approvazione per l'uso esterno.

Nei piani Team, l'accesso si applica a tutta l'organizzazione, quindi non puoi limitarlo al lavoro interno. Non servire i clienti da un'organizzazione con accesso CVP finché non avremo approvato quel servizio o prodotto per l'uso esterno.

Bedrock non supporta ancora la revisione umana dei flag di sicurezza automatizzati, che CVP richiede per impostazione predefinita. Per ora, CVP su Bedrock è disponibile solo per le organizzazioni con un'esenzione dalla conservazione dei dati. Una volta disponibili Enterprise Frontier Safeguards (EFS), l'organizzazione Bedrock nel programma EFS può richiedere l'accesso CVP. Per registrare il tuo interesse in EFS, utilizza questo modulo Enterprise Frontier Safeguards. Nel frattempo, stiamo lavorando per espandere CVP ai clienti Bedrock. Contatta il tuo team di account per chiedere un'esenzione.

I modelli Mythos seguono le stesse regole di utilizzo dei modelli Claude Fable.

Sì. Puoi scaricare la tua domanda e i termini come PDF dalla pagina del programma nel Portale di verifica.

Sì. Non hai bisogno di ripresentare la domanda. Il tuo amministratore le aggiunge all'area di lavoro (Console) o al ruolo personalizzato (Enterprise) che ha il programma, fino al limite del tuo livello. Per Red Team Access e Specialized Access, puoi aggiungere solo persone nel team indicato nella tua domanda. Tutti coloro che aggiungi devono soddisfare i requisiti di sicurezza del tuo livello.

Sì. Collega il nuovo account alla stessa organizzazione Anthropic nel Verification Portal. Non hai bisogno di una nuova applicazione. Su Amazon Bedrock e Google Cloud Agent Platform, devi anche attivare il tuo tier per il nuovo account.

No. CVP regola solo i nostri sistemi di sicurezza informatica. I nostri sistemi di sicurezza da altri domini come la ricerca biologica rimangono validi in ogni tier. La nostra Usage Policy rimane pienamente applicabile.

No. Puoi rivedere e modificare le tue risposte fino all'invio, ma non puoi modificare o annullare un'applicazione dopo. Se non sei approvato, puoi ripresentare la domanda dopo sette giorni.

Presenta una nuova domanda dall'organizzazione in cui utilizzerai CVP, oppure chiedi aiuto al tuo account team.