Els models d'IA capaços de trobar vulnerabilitats són útils per a qui defensa un sistema i perillosos en mans d'un atacant, i per això els laboratoris els equipen amb filtres que bloquegen les peticions més sensibles. El problema és que aquests filtres també frenen la feina legítima d'analistes, investigadors i equips de resposta a incidents. Anthropic ja havia provat una sortida amb el Projecte Glasswing, entre l'abril i el juliol d'aquest any.
Ara l'empresa ha convertit aquella prova en un Programa de Verificació Cibernètica obert, anunciat el 6 d'octubre, que dona «capacitats cibernètiques avançades» i menys filtres de bloqueig a professionals que superin una revisió prèvia. Té tres nivells. L'accés de defensa és per a la feina de protecció: resposta a incidents, anàlisi de programari maliciós i validació de vulnerabilitats; s'adreça a empreses, entitats sense ànim de lucre, universitats, administracions, operadors d'infraestructures crítiques, mantenidors de codi obert i investigadors individuals, i la revisió triga uns dies. L'accés per a equips de simulació d'atacs (*red team*) hi afegeix les proves de penetració autoritzades, només per a organitzacions, i la revisió pot durar setmanes. L'accés especialitzat és per a organitzacions verificades que proven sistemes crítics per a la seguretat, com ara sistemes operatius d'avions, xarxes elèctriques o telecomunicacions, i exigeix una revisió conjunta amb el Govern dels Estats Units. El programa dona accés a Claude Opus 5.5, Claude Sonnet 5.5, Claude Mythos 5.1 i als models futurs.
Anthropic diu que, amb Glasswing, els seus socis van trobar com a mínim 129.000 vulnerabilitats de programari verificades, de les quals més de 33.000 es van classificar com a crítiques o d'alta gravetat. Són xifres de la mateixa empresa, però il·lustren per què la gestió d'aquests accessos importa: com més vulnerabilitats es detecten, més pressió hi ha perquè els equips defensors tinguin les mateixes eines que els atacants.
Cal tenir present què no s'ha explicat. La nota no detalla els criteris concrets de la revisió ni quantes sol·licituds s'han acceptat, i el nivell especialitzat depèn d'un procés amb el Govern nord-americà, cosa que pot deixar fora organitzacions d'altres països. Tampoc no hi ha cap auditoria independent de l'ús que se'n farà.