2026年10月8日 · 公告 · 推出 Anthropic Cyber Mission 计划

# 推出 Anthropic Cyber Mission Source: https://www.anthropic.com/news/anthropic-cyber-mission 今天，我们正式启动 Anthropic Cyber Mission——一项长期致力于保障所有人所依赖的系统的安全的承诺。Cyber Mission 是一项全新举措，旨在通过工具、研究和资源来支持防御者保护其软件和系统。我们从以下两个领域着手： - **关键基础设施：**从保障电网、供水系统和交通网络背后的运营技术（OT）安全，以及保护政府系统开始。今天，我们推出**关键基础设施防御计划（CIDP）**，将前沿模型、现场工程师和威胁研究带给守护运营技术的防御者。 - **开源软件：**在大多数软件所依赖的自由共享代码中发现漏洞并提出补丁，同时加固底层代码。今天，我们推出 [OSS Scanner](http://anthropic.com/research/launching-opt-in-vuln-finding-service-for开源)，为开源项目提供由我们最强模型执行的免费定期安全扫描。 前沿模型可能被滥用来利用漏洞和实施网络攻击。尽管付出了最大努力，许多技术领域仍然面临严重暴露。国家级对手多年来持续在各行业系统中植入立足点，以便伺机实施破坏。关键基础设施的防御者和开源社区拥有数十年的安全经验，但一直面临严重的资源短缺，而当前局势使这一问题更加严峻。我们认可他们在这些领域的专业能力，并愿意提供支持。我们还将扩展 Cyber Mission，在新领域发布工具、研究和资源，助力全球安全。 作为 [Project Glasswing](https://www.anthropic.com/glasswing) 的一部分，合作伙伴发现了许多漏洞，但尚未实现网络安全风险的充分降低。发现漏洞比以往任何时候都更加容易，但对这些发现进行验证、优先排序和修复仍然充满挑战。基于 Project Glasswing 的经验教训，我们启动了这些新举措来支持防御者。本周早些时候，我们已将 Project Glasswing 合并至扩展后的 [Cyber Verification Program](https://www.anthropic.com/news/cyber-verification-program)，使更多防御者能够使用我们最强大的模型。通过 Anthropic Cyber Mission，我们将部署 Anthropic 工程人才，并为保护关键基础设施和开源软件的团队提供工具和资金支持。 ## 保卫关键基础设施 电网、水厂、工厂和交通网络依靠控制器、控制软件和工业网络运行，这些系统设计使用寿命长达数十年。这些系统被称为"运营技术"（OT），通常无法停机来打补丁，因此已知漏洞可能数年未被修复。保护它们是一项专业工作：设备是专有的，进行更改存在风险，一个失误就可能导致工厂瘫痪。各种规模的运营方都依赖少数几家受信任的服务商来完成这项工作——由他们判断哪些系统存在暴露，以及在运行中的系统上应该实施哪些修复。 今天，我们推出**关键基础设施防御计划（CIDP）**，将前沿 Claude 模型、现场工程师和我们的威胁研究带给这些受信任的服务商。创始合作伙伴包括：Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC 和 Rockwell Automation。 这些机构代表了运营方所依赖的安全服务商：负责运营安全项目的咨询与先进技术公司、守护业务和工业网络安全的网络安全公司，以及制造和修补设备本身的厂商。 这项工作正在进行中。目前，多家合作伙伴正在与 Claude 合作修复漏洞，并帮助客户完成同样的工作。关键基础设施的防御在许多方面面临 AI 无法解决的挑战，但我们相信前沿模型可以帮助发现并修复弱点——在这些弱点被利用来切断电力或污染水源之前。我们的第一步是与一小批服务商合作，学习哪些策略最为有效和实用。 如果你的公司为关键基础设施构建安全产品或服务，[可以在此登记意向](http://claude.com/form/critical-infrastructure-defense-program-interest)。 Rockwell Automation > 随着 AI 持续发展，只要我们以负责任的方式应用、严格验证，并始终将安全性和可靠性放在首位，AI 就为加强关键基础设施的网络安全带来了重要机遇。我们很高兴贡献我们在运营技术和工业网络安全方面的专业知识，帮助开发将 AI 用于增强社会日常所依赖的基础设施韧性的实用方法。 PwC > 通过与关键基础设施机构的合作，PwC 的网络运营技术团队亲眼见证了网络入侵在这些环境中可能造成的严重后果。我坚信，有必要开展全行业协调一致的行动，以识别漏洞、降低风险，并增强关键系统的韧性。 Palo Alto Networks > 威胁行为者正在利用 AI 以机器速度发现并利用暴露面。通过将 Unit 42 的威胁情报和运营专业知识与 Anthropic 的前沿模型相结合，我们正在帮助运营者防御试图攻击和破坏关键服务的对手。我们共同为防御者提供了在暴露转化为实际影响之前关闭攻击路径所需的速度和精度。 Nozomi Networks > 前沿 AI 的发展速度超出任何单一组织独立追踪的能力。这就是关键基础设施防御计划的重要性所在。它将了解这些环境的人与现在可用于防御的前沿能力汇聚在一起。我们很荣幸贡献自己的经验，并与其他致力于保护全球所依赖系统的合作伙伴一起学习和成长。 Insane Cyber > 最需要保护的场所——如远程变电站、海上平台和空气隔离的工厂——恰恰是传统工具无法触及、专业人员无法抵达的地方。没有人解决的问题是工时：数据量超出任何团队的处理能力，站点数量超出任何团队的人力配备。Claude 填补了这一差距，让我们的分析师和客户运营人员将时间投入到确保关键系统安全运行所需的判断决策上。 Dragos > 当供应商社区共享他们关于 AI 给运营环境带来的机遇和挑战的见解，而非将这些知识封锁在各自的信息孤岛中时，关键基础设施及其所依赖的人们都将受益。加入 Anthropic 的关键基础设施防御计划，是我们帮助将前沿 AI 对齐到集体防御战略的方式之一——该战略建立在运营技术（OT）的现实基础之上，OT 维持着电力供应、用水安全和交通运行。 CrowdStrike > 关键基础设施是网络风险转化为现实世界风险的地方。随着对手利用 AI 更快地行动、以更大规模运作，面对机器速度威胁的关键基础设施需要机器速度的防御。将 CrowdStrike 深厚的安全上下文和专业知识与 Anthropic 的前沿 AI 专业知识相结合，我们可以将更大的优势交到关键基础设施防御者的手中。 Hitachi, Ltd. > 在 AI 快速演进和网络威胁日益复杂、速度不断提升的背景下，确保支撑社会基础设施的运营技术环境的网络安全已成为当今社会面临的最高优先事项之一。通过参与该计划，我们期待与 Anthropic 及各合作伙伴携手，进一步增强关键基础设施的网络韧性。 Deloitte & Touche LLP > 随着 AI 加速发展，关键基础设施运营者需要以机器速度解决安全漏洞的方案。Deloitte 与 Anthropic 合作，正在为这些企业提供弥合安全缺口、增强韧性所需的能力，以与前沿 AI 的发展步伐保持一致。 Booz Allen > 运营技术是自主 AI 驱动攻击的下一个前沿。问题不再是 AI 是否能影响工业流程，而是它能获得多大的控制权，以及能有多快。关键基础设施防御计划正在汇聚私营部门最优秀的创新和投资，以增强联邦和商业任务中运营技术与工业控制系统（ICS）的韧性。 Accenture > 维持电力供应、药品安全、食品供应保障和通信运行的机构面临着世界上影响最为深远的网络安全风险。Accenture 致力于将我们在运营技术安全方面的深厚专业知识带给那些守护社区每天所依赖的关键基础设施的机构。这一合作将帮助把 AI 驱动的防御交到最需要的人手中。 今年六月，我们[为州、地方、部落和领地政府推出了一项网络安全防御计划](https://statescoop.com/anthropic-launches-15m-cyber-defense-program-for-state-local-tribal-and-territorial-governments/)。自那时起，我们已为超过半数的美国各州以及国内一些最大的公共关键基础设施运营方提供了前沿 Claude 模型和技术支持，加速了代码扫描与补丁修复、事件响应、红队演练和其他安全工作流程。 我们正在倾听和学习最了解这一领域的人士的意见。我们的做法是与了解这一领域、且运营方所信任的公司、联盟、政府和非营利组织合作，在最需要的地方提供支持。 ## 保障开源软件安全 几乎所有软件都依赖开源代码，其中许多由小型志愿者团队维护。在 Project Glasswing 项目下，我们扫描了数百个广泛使用的开源项目，由人工对许多发现的潜在漏洞进行了分类和审查，并通过我们的[协调漏洞披露流程](https://red.anthropic.com/2026/cvd/)将发现的问题私下报告给维护者。 一些有能力进行大规模分类处理的维护者要求我们提供模型在其项目中发现的所有内容，无论是否经过审查。为此，我们推出了 [OSS Scanner](https://red.anthropic.com/oss-scanner)——一项受 [Google OSS-Fuzz](https://github.com/google/oss-fuzz) 启发的自主选择加入服务。注册的项目将定期收到我们最强大模型执行的免费扫描。每份报告包含漏洞利用的概念验证、详细解释以及可行时的修复建议。报告由模型生成并直接发送，未经人工审核。这意味着维护者能更快收到报告，但也意味着其中一些会包含不准确之处，例如错误的严重性评级。我们预计真实阳性率将超过 90%，并将持续努力提升真实阳性和修复质量。[团队的博文](http://anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source)解释了该服务的工作原理和注册方式。 该服务面向有能力跟上所发现问题的项目。对于其他项目，我们将继续根据 CVD 政策共享经人工验证的漏洞披露。 OSS Scanner 是第一步。在此基础上，我们的开源工作目标是： - **更快地将发现结果送达维护者。** 在更多项目中推广 OSS Scanner，同时为需要的项目保留经人工验证的漏洞披露。 - **加速修复。** 为有需要的项目自动化分类和补丁流程，这些工作目前仍以手动为主。 - **探索新的安全架构和编码实践。** 研究并分享加固或重写代码的方法，供那些希望超越打补丁阶段的项目参考。 我们将根据开源维护者和基金会的指导意见来推进这些工作，并分享有效做法，以便其他项目复制。我们资助了广泛使用的开源代码背后的组织，包括 Python Software Foundation、通过 Linux Foundation 的 Alpha-Omega 和 OpenSSF，以及 Apache Software Foundation，同时还支持了 Akrites 和 Gold Eagle——它们从多个来源收集和协调漏洞报告，以避免使维护者不堪重负。我们于[八月推出的 Defender Advantage Fund（0xDAF）](https://claude.com/resources/articles/bringing-claude-mythos-5-to-more-defenders)支持这些领域的试点项目，并使 OSS Scanner 保持免费。 维护者还可以申请 [Claude for Open Source](https://claude.com/contact-sales/claude-for-oss) 的免费 Claude Max 订阅，以及 [Cyber Verification Program](https://portal.anthropic.com/login) 以获得 Claude 网络防御能力的扩展使用权限，用于防御工作。 ## 我们为什么要做这件事 高度网络作战能力的 AI 模型现已广泛面向攻击者。但防御工具——包括我们自己的——尚未覆盖足够多有需要的防御者。[OSS Scanner](https://red.anthropic.com/oss-scanner)、我们的 [Cyber Verification Program](https://portal.anthropic.com/login)、合作伙伴基于我们平台构建的防御产品以及 [Claude Security](https://claude.com/product/claude-security) 是我们在这一领域的一些努力，我们还会尽快推出更多措施。 我们的预测是，两年内 AI 将更有利于防御方：在软件发布前发现漏洞将变得更容易，从根本上编写安全的软件将更加可行，利用模型主动防御系统也将成为现实。但在短期内，情况可能并非如此。[利用漏洞的成本已经下降](https://www.anthropic.com/news/expanding-project-glasswing)，而验证、披露和修复漏洞的过程仍然缓慢，且依赖于人工。在 Glasswing 中，我们经常看到从发现漏洞到完成修复之间间隔数月。对于运营技术，修复可能需要等到能够安全地应用于运行中的设备——在极少数情况下，这可能需要数十年。 成功意味着水、电、交通和通信等关键基础设施在面对强大对手的攻击时仍能持续运行，可利用的攻击路径更少，并且在攻击突破防线后能够更快恢复。这需要数年时间，我们预计 Anthropic Cyber Mission 将随着我们与公共和私营部门共同学习到有效方法而不断演进。 ## 未来之路 在接下来的几个月中，我们将把关键基础设施防御计划推广到更多合作伙伴和更多行业，并将分享我们在此过程中学到的经验——包括哪些做法没有奏效。我们还期待其他 AI 开发者、安全公司和政府开展自己的行动，并愿意在有助于防御者的地方与他们合作。 我们还将扩展工作范围，帮助保障开源和更广泛供应链的安全。这包括研究编写软件的新方法和防御系统的新方法。我们计划分享前沿研究、工具和资源，帮助其他人为其软件和供应链提供安全保障。 如果你想与我们合作： - 为关键基础设施构建安全产品或服务的公司（包括安全供应商、系统集成商和设备制造商），可以在我们扩展 [关键基础设施防御计划](http://claude.com/form/critical-infrastructure-defense-program-interest)时登记意向。 - 关键开源项目的核心维护者可以[注册加入 OSS Scanner](https://red.anthropic.com/oss-scanner)。