Anthropic Cyber Verification Program 확장: 3단계 접근 체계 도입

핵심 요약

Anthropic이 2026년 10월 6일 Cyber Verification Program을 확장했다. 기존 프로그램을 하나로 통합하고, 접근 권한을 Defense Access, Red Team Access, Specialized Access의 3단계로 나눴다. 이 글은 Anthropic 공식 블로그를 1차 근거로 삼는다. 10월 확장판을 다룬 독립 매체 기사는 확인되지 않았다. 따라서 아래 내용은 모두 Anthropic의 공식 설명에 기반한다.

3단계 접근 구조

1. Defense Access

방어 목적의 보안팀을 위한 단계다. 대상은 다음과 같다.

• 기업, 비영리 단체, 대학, 정부의 보안팀
• 핵심 인프라 운영자
• 오픈소스 메인테이너
• 취약점 공개 이력이 있는 개인 연구자

심사에는 수일이 걸린다. 사용할 수 있는 모델은 Claude Opus 5.5, Sonnet 5.5, Mythos 5.1이다.

2. Red Team Access

조직 단위의 레드팀과 모의침투 업체를 위한 단계다. 심사에는 수 주가 걸린다. 승인되면 승인된 침투 테스트 기능이 추가된다. 다만 물리적 피해나 대규모 마비로 이어지는 행위는 승인 이후에도 실시간으로 계속 차단된다.

3. Specialized Access

항공 운영체제, 전력망, 통신망 같은 핵심 안전 시스템을 시험하는 조직을 위한 단계다. 심사는 미국 정부와 협력해 진행한다. Project Glasswing에 참여한 조직은 이 단계로 자동 전환된다.

단계별 비교

배경: Project Glasswing 성과

공식 블로그는 Project Glasswing의 결과를 함께 제시했다. 이 프로젝트는 2026년 4월부터 7월까지 진행됐다. 파트너들은 최소 129,000건의 검증된 취약점을 발견했다. 그중 33,000건 이상이 critical 또는 high 등급이다. 이 수치는 Anthropic의 공식 발표 기준이며, 독립 검증 결과는 확인되지 않았다.

사용성 분석

핵심은 신청자의 성격에 맞는 단계를 고르는 일이다. 사내 보안팀이나 오픈소스 메인테이너는 Defense Access가 맞다. 심사가 수일이면 끝나기 때문에 진입 장벽이 가장 낮다. 외주 모의침투를 수행하는 업체는 Red Team Access를 검토해야 한다. 심사가 수 주 걸리므로 프로젝트 일정에 미리 반영해야 한다. 전력망이나 통신망을 시험하는 조직은 Specialized Access 대상이다. 이 단계는 미국 정부와 협력해 심사하므로 절차가 가장 무겁다고 볼 수 있다. 구체적인 신청 양식과 승인 기준은 이 글에서 확인한 범위에 포함되지 않았다. 신청 전 공식 페이지를 직접 확인해야 한다.

장점과 한계

장점은 접근 단계가 목적별로 분리됐다는 점이다. 방어 업무는 빠르게, 공격 시뮬레이션은 더 엄격하게 심사한다. 승인된 레드팀에도 물리적 피해와 대규모 마비 행위는 실시간으로 차단한다. 한계도 있다. Red Team과 Specialized 단계는 심사 기간이 길다. 승인 기준의 세부 내용은 확인되지 않았다. Specialized Access는 미국 정부와의 협력 심사를 거치므로 미국 외 조직의 접근성은 별도로 확인해야 한다.

전망

공식 발표에는 Glasswing 참여 조직의 자동 전환이 명시됐다. 앞으로 확인할 지점은 세 가지다. 단계별 승인 규모, 심사 기간의 실제 편차, 독립 기관의 평가다. 현재는 이 지점에 대한 공개 자료가 없다.

결론

Cyber Verification Program 확장은 보안 목적의 고급 모델 사용을 심사 기반으로 체계화한 조치다. 보안팀, 오픈소스 메인테이너, 모의침투 업체, 핵심 인프라 시험 조직에게 관련이 크다. 다만 독립 매체의 검증이 없고 승인 기준의 세부 내용이 공개되지 않아 평점은 4점으로 평가한다.