קלוד קוד ועבודת אבטחה: למה הוא מחליף מודל ואיך מצטרפים ל-CVP

מאז סוף אוקטובר 2026 חוזר אותו דיווח בפורומים: ביקשו מאופוס 5.5 לפרק בינארי או להסביר איך משחק ישן עובד מבפנים, והתשובה נעצרה באמצע משפט. ב-24 באוקטובר Kotaku ציטט הודעה של קלוד שלפיה ״בדיקת בטיחות עצרה את התשובה באמצע״, וב-31 באוקטובר Tom’s Hardware הרים את הסיפור לכותרת.

אנתרופיק לא הגיבה על המקרים האלה. אבל המנגנון שמאחוריהם מתועד היטב, ומי שעושה עבודת אבטחה עם קלוד קוד ייתקל בו במוקדם או במאוחר. המדריך הזה מסביר מה מפעיל אותו, איך שולטים בו, ומה עושים כשהעבודה שלכם לגיטימית ובכל זאת נחסמת.

מה קורה כשבקשה מסומנת כסייבר?

על אופוס 5.5, פייבל 5.1, פייבל 5 וסונט 5.5 רצים מסווגים אוטומטיים שבודקים כל בקשה. ולא רק את ההודעה האחרונה: לפי עמוד העזרה של אנתרופיק, הם קוראים גם זיכרון, תוכן מקונקטורים, תוצאות חיפוש וקבצים. כלומר החלפה יכולה לקרות בגלל טקסט שלא הקלדתם בכלל.

כשמסווג סייבר מסמן בקשה, יש שתי תוצאות אפשריות:

• נפילה למודל חלש יותר: הבקשה רצה מחדש באותה שיחה. מאופוס 5.5, מפייבל 5.1 ומפייבל 5 היא עוברת לאופוס 4.8, ומסונט 5.5 לסונט 5. בתמליל מופיעה הודעה, והתשובה מסומנת בשם המודל שענה
• חסימה: אם גם המודל החלופי חוסם, או אם אין לאן ליפול, הבקשה מסתיימת בסירוב

ופרט אחד שמסביר את הדיווחים מאוקטובר: חסימה לא חייבת לקרות לפני שהתשובה מתחילה. עמוד העזרה מתאר במפורש בקשות שנחסמות באמצע הזרם, אחרי שחלק מהתשובה כבר נכתב. זה לא מוכיח מה בדיוק קרה בכל מקרה שדווח, אבל זה אומר שתשובה שנקטעת באמצע משפט היא התנהגות מוכרת של המערכת, לא באג.

מה עובד בלי שום אישור?

יותר ממה שהכותרות מרמזות. לפי עמוד התוכנית במרכז העזרה, המודלים הזמינים לכולם ממשיכים לעבוד על:

• סקירת קוד מאובטח וכתיבת קוד מאובטח מלכתחילה
• מידול איומים (threat modeling)
• תיקון בעיות מוכרות
• מציאת פרצות בקוד המקור שלכם, כחלק ממחזור הפיתוח הרגיל
• מיון התראות אבטחה

מה שעלול להיקטע: ניתוח נוזקות ואימות exploits. עמוד העזרה של אופוס 5.5 מוסיף שלוש דוגמאות לבקשות שנופלות לאופוס 4.8: כתיבת exploit, סריקת פרצות בקבצים בינאריים ובדיקת חדירות. אנתרופיק לא מסתירה את הגישה: בהודעה על התוכנית היא כותבת שלמודלים הזמינים לכולם יש הגנות סייבר שמרניות שחוסמות את רוב עבודת הסייבר.

שימו לב להבחנה: קוד מקור שלכם זה בסדר, קובץ בינארי זה כבר אזור אחר. על הנדסה לאחור של משחקים או של מכשירים ביתיים אין אף מילה בתיעוד, לא לכאן ולא לכאן. הנדסה לאחור של נוזקות מופיעה ברשימה של מה שדרגת Defense בתוכנית האימות פותחת.

למה זה קורה כבר בבקשה הראשונה?

כי הבקשה הראשונה בסשן של קלוד קוד לא ריקה. לפי תיעוד בחירת המודל, היא נושאת את הקונטקסט של סביבת העבודה: תוכן ה-CLAUDE.md, סטטוס git ושמות תיקיות. מאגר שיש בו חומרי אבטחה יכול להפעיל את המסווג על הקונטקסט הזה לבדו, עוד לפני שביקשתם משהו.

כדי לבדוק אם ההתאמות שלכם הן הטריגר, פותחים סשן במצב בטוח:

claude --safe-mode

המצב הזה מכבה CLAUDE.md, סקילים, שרתי MCP ו-hooks. סטטוס git ושמות התיקיות עדיין נשלחים, כי הם לא נחשבים התאמות. אם הנפילה נעלמה במצב בטוח, חפשו את האשם ב-CLAUDE.md או בסקיל.

התיעוד אומר גם משהו שכדאי לשמוע: עבודה על אבטחה התקפית, תרגילי CTF ומאגרים שנוגעים בביולוגיה מפעילים נפילה לעיתים קרובות, הרבה פעמים כבר בבקשה הראשונה, וזה ״ניתוב צפוי לתחומים האלה, לא סימון של החשבון״. כלומר אין צורך לחשוש שהחשבון סומן.

איך שולטים בהחלפה בקלוד קוד?

ברירת המחדל היא החלפה אוטומטית: הבקשה רצה מחדש על המודל החלופי, והסשן נשאר עליו גם בהודעות הבאות. חוזרים למודל המקורי עם ‎/model‎. אבל אם הבקשה המקורית עדיין בשיחה, אותה הגנה עלולה להפעיל נפילה שוב, ולכן עמוד העזרה ממליץ לערוך את ההודעה לפני שמנסים שוב.

מי שמעדיף להחליט בכל פעם, מריץ ‎/config‎, בוחר ״Switch models when a message is flagged״ ומסמן Ask each time. אותו דבר בקובץ ההגדרות:

{
  "switchModelsOnFlag": false
}

מעכשיו קלוד קוד עוצר בכל בקשה מסומנת ומציע שתי דרכים: לעבור למודל החלופי, או לערוך את הפרומפט ולנסות שוב. כמה מקרים מתנהגים אחרת, וכדאי להכיר אותם לפני שמריצים אוטומציה:

• מצב לא אינטראקטיבי ו-SDK: אין למי להציג את השאלה, ולכן בקשה מסומנת מסיימת את התור בסירוב. סקריפט שרץ עם ‎-p‎ על מאגר אבטחה צריך לצפות לזה
• סוכני משנה: לא שואלים. סוכן משנה שנתקל בבקשה מסומנת רץ מחדש על המודל החלופי
• ‎availableModels‎: אם הארגון חסם את אופוס 4.8 ברשימת המודלים המותרים, אין נפילה בכלל. הבקשה מסתיימת בסירוב, והמודל של הסשן לא משתנה

ועוד פרט קטן שמשפיע על איכות התשובות: אחרי נפילה, הסשן שומר על רמת המאמץ שהבקשה המסומנת רצה בה. סשן על אופוס 5.5 ברמת medium שנפל לאופוס 4.8 נשאר ב-medium, אף שברירת המחדל של אופוס 4.8 היא high. אם התשובות אחרי הנפילה נראות רדודות, ‎/effort‎ הוא המקום הראשון לבדוק. עוד על רמות מאמץ במדריך בחירת מודל ומאמץ.

ב-Bedrock, ב-Vertex וב-Foundry יש תנאי נוסף: קלוד קוד צריך לזהות את שני המודלים. בלי ‎ANTHROPIC_DEFAULT_OPUS_MODEL‎, או רשומה של אופוס 4.8 ברשימת המודלים של הספק, הנפילה כבויה לגמרי, וכל בקשה מסומנת מסתיימת בסירוב.

כמה עולה בקשה שנחסמה?

כאן דווקא יש חדשות טובות לסייבר. לפי עמוד העזרה, בקשה שנחסמת לפני שהמודל הוציא פלט מחויבת רק כשהחסימה היא בביולוגיה, בזיקוק או בפיתוח מודלים בחזית. חסימת סייבר לפני פלט לא עולה כלום. החשבון משתנה כשהחסימה מגיעה מאוחר יותר:

• חסימה באמצע התשובה: משלמים על טוקני הקלט ועל מה שכבר נכתב, לפי המחיר של המודל שכתב
• נפילה למודל אחר: התשובה מאופוס 4.8 מחויבת בנפרד לפי המחיר שלו, ואנתרופיק נותנת זיכוי על ה-cache שהלך לאיבוד בהחלפה

הפרטים המלאים, כולל איך זה נראה ב-API, בפריט סירובים שמחויבים בתשלום.

מה זו תוכנית האימות לסייבר (CVP)?

זו הדרך הרשמית לעבודת אבטחה שהמודלים הזמינים לכולם חוסמים. ב-6 באוקטובר 2026 הרחיבה אנתרופיק את התוכנית ואיחדה אותה עם Project Glasswing, שנתן עד אז גישה למיתוס לארגונים שמאבטחים תוכנה קריטית. כל הדרגות כוללות את אופוס 5.5, סונט 5.5, מיתוס 5.1 ומודלים עתידיים.

דרגה	מה היא פותחת	למי	זמן טיפול
Defense	SOC ותגובה לאירועים, הנדסה לאחור של נוזקות, ניתוח ואימות פרצות	צוותי אבטחה בחברות, עמותות, אוניברסיטאות וממשל, תשתיות קריטיות בכל גודל, חברות אבטחה קטנות, מתחזקי קוד פתוח, חוקרים עם היסטוריה של דיווחים	כמה ימים
Red Team	כל מה שב-Defense, ועוד בדיקות חדירות ו-red teaming מורשים	ארגונים בלבד: צוותים אדומים פנימיים וממשלתיים, חברות בדיקות חדירות	כמה שבועות, ובינתיים Defense
Specialized	מספר החסימות הקטן ביותר: בדיקת מערכות שפגיעה בהן מסכנת חיים או שווקים	מספר מצומצם של ארגונים, בבדיקה מעמיקה יחד עם ממשל ארה״ב	לפי בדיקה

גם ב-Red Team יש גבול: לפי ההודעה, חסימות בזמן אמת עדיין חלות על פעולות שעלולות לגרום נזק פיזי או שיבוש המוני, כמו פריסת כופרה.

הנתון המעניין ביותר בהודעה הוא המבחן שאנתרופיק הריצה על הדרגות עצמן. היא נתנה לאופוס 5.5 עשרה תרחישי תקיפה רב-שלביים מ-CyScenarioBench, חמישה ניסיונות לכל אחד:

• בלי CVP: כל משימה נחסמה כבר בפרומפט הראשון
• בדרגת Defense: 46 מתוך 50 ניסיונות נחסמו בשלב כלשהו
• בדרגת Red Team: אף חסימה, ו-34 מתוך 50 משימות הושלמו. זה בערך שיעור ההצלחה של המודל בלי הגנות בכלל

המסקנה המעשית: Defense לא נועדה לתרחישי תקיפה, והיא באמת חוסמת אותם. מי שצריך לתקוף מערכות כחלק מהעבודה צריך את Red Team.

איך מגישים בקשה?

דרך ה-Verification Portal של אנתרופיק: נכנסים עם חשבון אנתרופיק, פותחים Programs, בוחרים Cyber Verification Program ולוחצים Apply. מגישים טופס אחד, ואנתרופיק משבצת בדרגה הגבוהה ביותר שהמידע מצדיק. היעד: תשובה במייל תוך שבעה ימי עסקים.

מה צריך להכין:

• זיהוי: פרטי הארגון ושל מי שמגיש
• תיאור: מה עבודת האבטחה שלכם בפועל
• הצהרה: על אמצעי האבטחה שהדרגה דורשת

מגישים פעם אחת לכל ארגון, ומנהל הארגון מקצה מושבים לעובדים. חוקרים עצמאיים, מתחזקי קוד פתוח וציידי באגים מגישים כיחידים, רק לדרגת Defense ורק במסלול בתשלום.

ואחרי האישור, שלושה דברים שקל לפספס:

• האישור לבדו לא מפעיל כלום. ב-Console מקצים את התוכנית ל-workspace, ב-Enterprise לתפקיד מותאם. ב-Team, ב-Max וב-Pro אין צורך בפעולה: התוכנית מוצמדת ברמת הארגון
• שמירת נתונים היא חובה, כדי שאנתרופיק תוכל לנטר שימוש לרעה. ZDR אפשרי רק לארגונים שכבר יש להם פטור משמירת נתונים לפייבל או למיתוס
• בדרגת Defense יש דדליין: עד 15 בדצמבר 2026 צריך לעבור לאימות דו-שלבי שעמיד לפישינג ולהפסיק להשתמש במפתחות API. עד אז מפתחות API פגים כל שבעה ימים

גישה רגילה לעבודה על הקוד והתשתית של הארגון שלכם היא ברירת המחדל. עבודה ללקוחות דורשת בקשה נפרדת לכל שירות: שירותים מנוהלים, שבהם הצוות שלכם מפעיל את המודל והלקוח מקבל רק דוח או קוד מתוקן, כבר פתוחים לבקשות. מוצרים שהלקוח מפעיל בעצמו עוד לא, ואפשר רק להביע עניין.

מי עלול לא להתקבל?

עמוד התוכנית מונה את השיקולים בגלוי: אופי העבודה (התוכנית בנויה להגנה), היכולת לאמת מי הארגון, הסביבה המשפטית והרגולטורית שבה הוא פועל, ולמי העבודה מיועדת בסוף. בארגונים שמשרתים בעיקר לקוחות צבאיים, מודיעיניים או אכיפת חוק, אנתרופיק כותבת שהיא נוקטת ״גישה זהירה יותר״.

לתעשיית הסייבר הישראלית, שחלק גדול ממנה עובד מול לקוחות ביטחוניים, זה הסעיף ששווה לקרוא לפני שמגישים. העמוד לא אומר שארגונים כאלה נדחים. הוא אומר שהבדיקה שלהם זהירה יותר. ודרגת Specialized נבדקת היום יחד עם ממשל ארה״ב, ואנתרופיק כותבת שהיא עובדת להרחיב את מספר הארגונים הזכאים ״בארה״ב ובעולם״.

מי שנדחה, או שנחסם בעבודה שהדרגה שלו אמורה לאפשר, יכול לפנות דרך טופס הדיווח והערעור. גם בלי CVP כדאי לדווח: עמוד העזרה מבקש במפורש דיווחים על חסימות שגויות דרך Send feedback, כי הם משמשים לכיוונון המסווגים.

נקודה שחשוב לומר ביושר

התיעוד של אנתרופיק לא מסונכרן עם עצמו. עמוד העזרה על החלפת מודלים באופוס 5.5, מ-24 בספטמבר, עדיין אומר שאופוס 5.5 לא זמין בתוכנית האימות לסייבר. ההודעה מ-6 באוקטובר ועמוד התוכנית, שעודכן באוקטובר, אומרים במפורש שהוא כלול בכל הדרגות. המדריך הזה הולך לפי המקורות החדשים, אבל אם תיתקלו במשפט הישן, זו הסיבה.

והדבר השני: הדיווחים על חסימת הנדסה לאחור של משחקים לא אומתו. גם בדיווח של Kotaku יש משתמשים שאומרים שהמסווג ״קופצני״ ושאותה בקשה עוברת בניסיון אחר. בלי הודעה מאנתרופיק, אי אפשר לדעת אם משהו השתנה בסוף אוקטובר או שאנשים פשוט שמו לב למנגנון שהיה שם מההשקה של אופוס 5.5 ב-22 בספטמבר. ההשקה עצמה כבר אמרה שרוב משימות הסייבר ינותבו לאופוס 4.8.

שורה תחתונה

לעבודת אבטחה על הקוד שלכם, קלוד קוד עובד כמו שהוא: סקירה, מציאת פרצות בקוד מקור, תיקון ומיון התראות לא דורשים כלום. ברגע שהעבודה זזה לבינאריים, לנוזקות או לתקיפה, תפגשו את המסווג, וזה מכוון.

מי שזה קורה לו פעם בחודש: ‎switchModelsOnFlag‎ על false, עריכת הפרומפט, ובדיקה עם ‎—safe-mode‎ שה-CLAUDE.md לא מפעיל את המסווג. מי שזה קורה לו כל יום, כי זו העבודה שלו: להגיש ל-CVP. לרוב צוותי ההגנה Defense מספיקה, ו-Red Team נחוצה רק למי שתוקף מערכות.

ולפני שמריצים סוכן על מאגר אבטחה לא מוכר, כדאי לקרוא גם את המדריך לבידוד עם sandbox, ואת המדריך לתוסף security-guidance, שסורק את הקוד בזמן שהוא נכתב. ההבדלים בין המודלים, כולל איך ההגנות של אופוס 5.5 שינו את ההמלצה לאנשי אבטחה, במדריך אופוס מול פייבל.