サイバー検証プログラム

この記事では、サイバー検証プログラム（CVP）とは何か、誰が参加できるか、申請方法、承認後にアクセスを有効にする方法について説明します。

サイバー検証プログラムにより、検証済みのセキュリティ専門家は、当社の最も高度なモデルを使用して、サイバーセーフガードからの中断を減らしながら高度なセキュリティ作業を実行できます。

日常的なセキュアな開発にはCVPは必要ありません。一般的に利用可能なモデルを使用して、コードをレビューし、既知の問題にパッチを適用し、セキュリティアラートをトリアージできます。

Claudeがセキュリティ作業（エクスプロイトの検証や認可されたペネトレーションテストの実行など）をブロックする場合、CVPが必要になる場合があります。組織はいずれのティアにも申請できます。独立系研究者、オープンソースメンテナー、バグバウンティハンターなどの個人は、Defense Accessに申請できます。

すべてのティアには、Claude Mythos 5.2、Claude Mythos 5.1、Claude Opus 5.5、Claude Sonnet 5.5から始まるClaude Mythos、Opus、Sonnetモデルが含まれています。CVPはティアに基づいてこれらのモデルのセーフガードを調整します。当社の利用ポリシーは引き続き完全に適用されます。

以下は、サイバー検証プログラムの3つのアクセスティア（Defense Access、Red Team Access、Specialized Access）の概要です。

すべてのティアで以下を含む一部のアクティビティを禁止しています：

Defense Accessはほとんどの重要インフラ事業者に適しています。重要インフラを運用しているだけでは、組織がSpecialized Accessの対象にはなりません。

プログラムに登録されているすべてのユーザーはデータ保持が必須です。これにより、サイバー悪用の監視と軽減を支援できます。組織がClaude FableまたはClaude Mythosモデルのデータ保持除外を持っている場合、プログラム内のすべてのモデルでゼロデータ保持（ZDR）を使用してCVPを使用できます。

Enterprise Frontier Safeguards（EFS）が一般提供されると、適格な組織は自社が管理するクラウドインフラストラクチャにデータを保存できます。EFSへの関心を登録する

デフォルトでは、CVPは内部使用のみが許可されています。外部使用には別途申請が必要です：

Defense Access

組織が以下のセキュリティ管理が実施されていることを証明できることを確認してください：多要素認証（MFA）およびAPIキーは少なくとも7日ごとに置き換えられます。

本人確認(組織の場合は事業確認)を完了し、セキュリティ対策について説明し、利用規約に同意します。

Red Team Access

組織が以下のセキュリティ管理策を実装していることを証明してください:フィッシング耐性MFA、7日ごとのAPIキー更新、企業ドメインアカウント、組織管理デバイス、アウトバウンドネットワーク制御、身元調査。

次に、状況に該当する行を見つけ、必要な情報を準備してください。行に一致しても承認が保証されるわけではありません。

Specialized Access

Specialized Accessの申請はすべて、米国政府と協力して詳細に審査します。このティアは、システム的に重要なインフラのRed Teamingに特に注力する組織向けです。防御に取り組むほとんどの重要インフラ組織はSpecialized Accessを必要としません。適格となるには、これらのタイプのシステムをテストする権限があることを示し、Red Team Accessティアでは実現できない活動の詳細を説明する必要があります。

Specialized Accessに申請する場合、組織が以下のセキュリティ管理策を実装していることを証明してください:フィッシング耐性MFA、7日ごとのAPIキー更新、企業ドメインアカウント、組織管理デバイス、アウトバウンドネットワーク制御、身元調査、およびシングルサインオンとマルウェア保護付きマネージドデバイス。

提供する各サービスまたは製品には独自の承認が必要です。組織がCVPティアで承認されたら申請できます。

検証ポータルで申請してください。ポータルは検証、階層、階層に必要な証拠、およびプログラム利用規約を案内します。

ビジネスまたは個人として検証します。検証タイプがアプリケーションに影響するため、慎重に選択してください。

Claude、Claude Code、またはClaudeAPI をAnthropicを通じて直接使用する場合は、以下の手順に従ってください。

AWS上のClaudeプラットフォーム、Google Cloud上のClaudeプラットフォーム、Google Cloud Agent Platform、Amazon Bedrock(EFSの対象の場合)、またはMicrosoft Foundryを使用する場合は、以下の手順に従ってください。

次に、クラウドプロバイダーアカウントで以下の手順に従ってください。

CVP承認済みのClaudeアカウントのオーナーまたはプライマリオーナー、またはClaude Consoleアカウントの管理者である必要があります。その後、以下のことができます：

決定またはさらに情報が必要な場合はメールでお知らせします。ステータスを確認するには、Verification Portalにサインインし、Programsを開いて、「Cyber Verification Program」を選択してください。レビューが目標期間より長くかかる場合は、再度申請したり、サポートに連絡したりする必要はありません。

Red Team AccessまたはSpecialized Accessに申請し、より低いティアの対象となる場合、アプリケーションの残りをレビューしている間、より低いティアへのアクセスを受け取ります。

一般的に利用可能なモデルと、承認されたティアを引き続き使用できます。

また、7日後に再度申請することもできます。何か変わった場合、またはアプリケーションをサポートするより強力な証拠を提供できる場合は、これが最良の選択肢です。正しいアカウントから申請していることと、ビジネスまたは個人の正しい種類の検証を完了していることを確認してください。

当社の方針に違反するアクティビティが見られた場合、当社の単独の裁量により、プログラムアクセスをレビュー、制限、または取り消す場合があります。

Claude Console

Claude ConsoleでCVPへのアクセスをオンにするには：

詳細については、assign a program to workspacesを参照してください。

Claude Enterprise

Claude EnterpriseでCVPへのアクセスをオンにするには：

詳細については、assign a program to a custom roleを参照してください。

Google Cloud Agent Platform

Google Cloud Agent PlatformでCVPへのアクセスをオンにするには、各プロジェクトについて以下の手順を繰り返します：

クラウドプロバイダー上のClaude Mythos

クラウドパートナー上のMythosへのアクセスは、CVPの承認から約5営業日後に開始されます。Anthropicとの確定契約がある場合、アカウントチームが短いフォームを送信します。それを完成させ、クラウドマーケットプレイスのプライベートオファーを受け入れます。両方のステップが完了したら、Mythosをプロビジョニングします。

複数のティアの承認を受けた場合は、各グラントを他の特権アクセスと同じように扱います。各グラントを独自のワークスペース、ロール、またはクラウドアカウントに保持します。

管理者に、アクセスが割り当てられたことを確認するよう依頼してください。Claude Consoleを使用している場合は、プログラムが適用されたワークスペースにいることを確認します。次に、作業がティアの範囲内であることを確認します。

はい、組織として申請した場合です。申請がレビューされている間、Defense Accessを保持します。

はい。各Claude組織は独自のアプリケーションが必要です。1つの組織内では、ワークスペース（Console）またはロール（Enterprise）でプログラムを割り当てることができます。チームプランはユーザー間でアクセスを分割できません。

それだけではありません。CVPティアと外部使用の承認が必要です。通常はマネージドサービスとして。

Claude Consoleではい。CVPは割り当てたワークスペースにのみ適用され、デフォルトワークスペースにすることはできません。内部作業にのみ使用されるワークスペースに割り当て、顧客トラフィックはCVPなしの別のワークスペースに保持します。顧客トラフィックにCVPを使用するには、外部使用の承認が必要です。

チームプランでは、アクセスは組織全体に適用されるため、内部作業に制限することはできません。サービスまたは製品が外部使用として承認されるまで、CVPアクセスを持つ組織から顧客にサービスを提供しないでください。

Bedrockはまだ、CVPがデフォルトで必要とする自動セーフティフラグの人間によるレビューをサポートしていません。現在のところ、Bedrock上のCVPはデータ保持除外を持つ組織のみが利用できます。Enterprise Frontier Safeguards（EFS）が利用可能になったら、EFSプログラムのBedrock組織はCVPアクセスを申請できます。EFSへの関心を登録するには、このEnterprise Frontier Safeguards formを使用してください。その間、Bedrockの顧客にCVPを拡張するために取り組んでいます。除外について質問するには、アカウントチームに連絡してください。

Mythosモデルはクロード寓話モデルと同じ使用ルールに従います。

はい。Verification Portalのプログラムページからアプリケーションと利用規約をPDFとしてダウンロードできます。

はい。再申請する必要はありません。管理者は、プログラムを持つワークスペース（Console）またはカスタムロール（Enterprise）にユーザーを追加します。ティアの上限までです。Red Team AccessおよびSpecialized Accessの場合、アプリケーションで指定されたチームのメンバーのみを追加できます。追加するすべてのユーザーはティアのセキュリティ要件を満たす必要があります。

はい。Verification Portalで新しいアカウントを同じAnthropicの組織にリンクしてください。新しいアプリケーションは必要ありません。Amazon BedrockとGoogle Cloud Agent Platformでは、新しいアカウントのティアをオンにする必要があります。

いいえ。CVPは当社のサイバーセーフガードのみを調整します。研究生物学などの他の分野からのセーフガードはすべてのティアで引き続き適用されます。当社の利用ポリシーは引き続き完全に適用されます。

いいえ。送信するまで回答を確認および編集できますが、送信後はアプリケーションを編集またはキャンセルすることはできません。承認されない場合は、7日後に再度申請できます。

CVPを使用する組織から再度申請するか、アカウントチームに支援を依頼してください。