想讓 Claude 協助資安工作，先釐清測試授權與資料保留，再申請對應的 CVP 資格。 Anthropic 在 10 月 6 日公告擴大 Cyber Verification Program（CVP），將原有計畫與 Project Glasswing 整合，分成防禦、紅隊及特殊用途三層。這讓更多合格防禦者有機會使用較少誤擋的模型，但不是買更高階訂閱就能取得所有能力。
對台灣企業的資安團隊，先要回答的是「這次處理誰的系統、案件內容能否交給供應商保留」。公司自己的程式碼檢查、受客戶委託的滲透測試，以及關鍵基礎設施的安全測試，可能走不同資格；同一家公司也不該讓全部員工共用一個已核准帳號。
三層資格怎麼分？先看工作，再看身分
依官方公告，各層主要差別如下。中文名稱是用途說明，申請入口仍使用英文名稱。
| 資格 | 主要涵蓋工作 | 申請界線 |
|---|---|---|
| Defense Access（防禦） | 安全營運、事件應變、惡意程式分析與漏洞驗證 | 保護自己擁有或維護的系統；組織、開源維護者及具紀錄的個人研究者可申請 |
| Red Team Access（紅隊） | 增加經授權的滲透測試與紅隊演練 | 目前限組織；不能拿核准資格去測未授權的系統 |
| Specialized Access（特殊用途） | 涉及人身安全或市場運作的高風險安全系統測試 | 限少數經深入查核的組織，審查由 Anthropic 與美國政府合作進行 |
Specialized 不是一般紅隊測試的必經升級，「攔截較少」也不代表用途不受限制。Red Team 仍會攔截可能造成實體傷害、大規模中斷等工作。若任務只是檢查自己程式碼、修補已知問題或整理安全警報，一般公開模型仍可處理這些用途，不建議為了追求「限制最少」先投入更高層申請。
申請說明要求組織統一送件，說明安全工作並提出相應控制措施；組織內成員不應各自重複申請。獨立研究者可用個人身分申請防禦層，但須使用付費方案。這是資格條件，不是付費即可核准，公告也沒有保證台灣申請者一定通過。
這次計畫涵蓋 Claude Opus 5.5、Sonnet 5.5 與 Mythos 5.1。原有 CVP 與 Glasswing 成員不必重新申請加入，既有模型仍按原條件使用；新模型權限則依更新後計畫處理。已有舊資格的人應先確認實際取得哪些權限，不能把過渡安排當成所有新模型都已開放。
資料保留與工作區管理，要在送件前談清楚
CVP 原則上需要保留使用資料，以便監測資安濫用。若案件包含客戶程式碼、事件紀錄或尚未公開的漏洞細節，台灣承接資安服務的團隊應先確認委託範圍與公司資料政策是否允許這種處理。能不能做測試，與能不能把案件資料交給模型服務保留，是兩個要分別取得同意的問題。
CVP 說明保留了一項過渡例外：已有 Claude Fable 或 Mythos 零資料保留資格的組織，在 Enterprise Frontier Safeguards（EFS）可用前，可以沿用零保留安排使用 CVP。新申請者不能自行套用；個人防禦資格的安全要求更明列流量會保留與監測，不提供零保留。
EFS 的原始公告描述由客戶控制的雲端環境保存監測資料，並由客戶處理需要人工審查的警示。截至本次查核，CVP 公告仍將它列為今年秋季稍後可用的方案。它不等於「完全不留資料」，也不能當作今天新申請者已能取得的隱私保障；必須零保留的專案，不建議先上傳案件再等例外核准。
管理要求也會影響導入時間。依安全要求，防禦層從取得資格時就須啟用多因素驗證，並在 2026 年 12 月 15 日前採用可抵抗網路釣魚的驗證方式、停止使用長期靜態憑證。過渡期的 API 金鑰也有個別保存與定期更換要求。紅隊層則在取得資格時就有更嚴格的身分、裝置與憑證控制，不能照搬一般開發帳號的做法。
核准後仍被擋，先請管理員確認使用者、工作區及任務是否符合授權。在 Claude Console，可依工作區說明查看 Programs 與 Qualifications，處理未滿足的條件；其他雲端入口的授權方式須看各平台說明，不能把 Console 步驟一概套用。
我的判斷是：CVP 的價值在於讓合格安全工作取得較合適的通道，但導入成敗仍取決於團隊能否承擔資料與權限管理。既有 Glasswing 背景可幫助理解這次整合；真正找到問題後，還是得接回修補與驗證流程。送件前先由安全主管與資料負責人確認處理範圍，敏感資料的界線可對照企業 AI 隱私與隱私基本概念。
常見問題 FAQ
個人研究者能申請紅隊資格嗎？
目前不能。個人僅可申請 Defense Access，且須符合驗證及付費方案等條件；Red Team Access 與 Specialized Access 限組織。
已經是 Claude 付費用戶，還需要申請 CVP 嗎？
付費不會自動帶來 CVP 資格。一般程式碼檢查可先用公開模型；工作確實需要計畫涵蓋的能力時，再依任務與管理條件申請。
CVP 核准後，就能使用零資料保留嗎？
不能這樣推論。一般要求保留資料，既有特定組織有過渡例外；個人防禦資格不提供零保留。EFS 也涉及在客戶控制的環境保存監測資料。
參考來源
- Expanding the Cyber Verification Program — Anthropic，2026-10-06。
- Cyber Verification Program — Claude Help Center，持續更新文件，查閱日期：2026-10-08。
- Cyber Verification Program Security Requirements — Claude Help Center，持續更新文件，查閱日期：2026-10-08。
- Developing Enterprise Frontier Safeguards with our customers — Anthropic，2026-09-01。
- Assign a program to workspaces in Claude Console — Claude Help Center，持續更新文件，查閱日期：2026-10-08。