앤트로픽 CVP 확대: Claude 보안팀 접근 3단계와 Mythos 5.1 이용 조건

클로드 CVP, 새 모델 출시와는 다릅니다

앤트로픽은 2026년 10월 6일 기존 Project Glasswing과 CVP를 하나의 확대된 사이버 검증 프로그램으로 통합한다고 발표했습니다. AI 보안 업무의 범위에 따라 Defense Access, Red Team Access, Specialized Access로 나눕니다.

세 단계 모두 Claude Opus 5.5·Claude Sonnet 5.5·Claude Mythos 5.1 등 최상위 모델 접근을 포함합니다. 새 모델 출시나 Mythos의 일반 공개가 아니라, 신청자의 자격과 작업 범위에 맞춰 접근을 검증하는 개편입니다.

Defense Access: 방어 업무와 개인 연구자

Defense Access는 보안관제센터(SOC), 사고 대응, 악성코드 역공학·분석, 취약점 분석과 검증을 위한 단계입니다.

기업·대학·정부·비영리 조직의 보안팀, 기반시설 운영자, 소규모 보안업체, 오픈소스 유지관리자 등이 대상이 될 수 있습니다. 취약점 신고 실적이 있는 개인 연구자도 신청 대상에 포함될 수 있습니다.

앤트로픽은 며칠 내 응답을 목표로 제시했습니다. 다만 응답 목표는 승인 보장이나 확정된 처리 기한을 뜻하지 않습니다.

Red Team Access: 허가받은 시스템의 모의침투

Red Team Access는 방어 업무에 허가받은 시스템의 모의침투와 레드팀 활동을 추가합니다. 사내·정부 레드팀, 보안·모의침투 업체 등이 대상이며, 현재는 조직만 신청할 수 있고 개인은 제외됩니다.

권한을 받아도 랜섬웨어 배포, 물리적 피해, 대규모 장애를 일으킬 수 있는 활동에는 실시간 차단이 유지됩니다.

심사는 몇 주가 걸릴 것으로 예상됩니다. 적격 조직은 Red Team Access 심사 중 Defense Access를 이용할 수 있습니다.

Specialized Access: 안전 시스템을 위한 심층 심사

Specialized Access는 생명이나 시장에 영향을 줄 수 있는 안전 시스템을 시험하도록 허가받은 제한된 검증 조직을 위한 단계입니다. 비행 운영 시스템, 전력망, 통신망, 은행 간 이체 기반시설 등이 예시입니다.

앤트로픽은 미국 정부와 협력해 신청 조직을 심층 심사합니다. 기존 Glasswing 참여 조직은 현재 모델에 대한 재승인 없이 이 단계로 전환됩니다.

세 단계 중 차단이 가장 적지만, 누구나 제한 없이 이용할 수 있다는 뜻은 아닙니다. 대상 조직과 시험 권한은 제한됩니다.

데이터 보관 원칙과 ZDR 예외

프로그램에서는 사이버 악용을 감시하기 위한 데이터 보관이 원칙적으로 필수입니다. 민감한 코드나 사고 대응 자료를 다룬다면 모델 접근뿐 아니라 데이터 처리 조건도 함께 살펴봐야 합니다.

Enterprise Frontier Safeguards(EFS)는 2026년 가을 후반 제공 예정입니다. 제공 이후 적격 조직은 자신이 통제하는 클라우드 인프라에 데이터를 저장할 수 있습니다.

EFS 제공 전에는 예외가 있습니다. 이미 Claude Fable 5.1 또는 Claude Mythos 5.1의 제로 데이터 보관(ZDR) 접근 권한을 가진 조직은 CVP에서도 ZDR을 이용할 수 있습니다.

이 예외가 모든 신청 조직에 자동으로 적용되는 것은 아닙니다.

제공 플랫폼과 Bedrock 이용 조건

CVP는 Claude Platform, Google Cloud Vertex AI, Microsoft Foundry에서 제공됩니다. Amazon Bedrock은 EFS 자격을 갖춘 고객만 이용할 수 있습니다.

기존 Bedrock 고객이라는 이유만으로 CVP 접근이 보장되지는 않습니다. 플랫폼 목록만으로 한국에서의 즉시 제공 여부나 가격을 확정할 수도 없습니다.

129,000개는 발견 수이지 패치 완료 수가 아닙니다

앤트로픽에 따르면 Glasswing 파트너는 2026년 4~7월 검증된 소프트웨어 취약점을 최소 129,000개 발견했습니다.

자체 오픈소스 스캔에서는 2026년 4~10월 추가로 5,500개를 발견했습니다. 이들 가운데 33,000개 초과가 critical 또는 high 등급으로 분류됐습니다.

이는 33개 파트너 보고 등을 바탕으로 한 일부 데이터입니다. 발견된 취약점 수를 패치 완료 수로 해석하면 안 됩니다.

전체 수정이 끝났다는 뜻도, 보안 산업 전반에서 같은 성능을 낸다는 뜻도 아닙니다. 이 결과만으로 안전이 완전히 보장된다고 볼 수도 없습니다.

신청 전 검토할 사항은 따로 정리하세요

공식 안내에 따르면 일반 공개 모델로도 코드 리뷰, 알려진 문제의 패치, 소유한 소스 코드의 취약점 탐색, 보안 경보 분류가 가능합니다. 모든 보안 작업에 CVP가 필요한 것은 아닙니다.

다음은 공식 승인 요건이 아닌 일반적인 실무 검토 사항입니다. 필요한 작업, 시스템 소유·시험 허가 범위, 내부 데이터 보관 정책을 먼저 정리하면 접근 단계를 비교하는 데 도움이 됩니다.

방어 업무인지, 허가받은 모의침투인지, 안전 시스템 시험인지에 따라 검토할 단계가 달라집니다.

한 줄 요약: 클로드 CVP를 검토할 때는 필요한 보안 업무, 신청 자격, 데이터 보관 조건을 함께 확인해야 합니다.

참고 출처

• 앤트로픽 공식 발표: CVP 확대 — 2026년 10월 6일 발표. 접근 단계·심사·데이터 보관 조건 확인.
• Google News RSS에서 확인하기 — Anthropic 출처명과 최근 발행일 교차 확인.