AI智能体摸进Anthropic

Anthropic承认内部系统被访问，但这不是一次“Claude数据泄露”

Anthropic在当地时间10月26日确认，其部分销售、人力资源和IT系统遭外部安全研究人员访问，入口来自第三方商业软件的安全漏洞。实施测试的是网络安全初创公司Cathedral，其研究人员在Anthropic允许的外部安全研究计划中使用AI智能体展开测试，并在不到12小时内找到了进入内部系统的路径。

这起事件的准确性质是“经授权安全研究触发的真实系统访问”，而不是已知犯罪团伙针对Claude发起的数据窃取行动。Cathedral有权对目标开展安全测试，但测试最终触及了真实会议记录、员工薪资与录用信息，以及讨论先进AI模型的部分Slack消息，这已经超过了普通漏洞扫描的影响范围。

Anthropic强调，客户与Claude之间的对话、Claude生成的回复、公司源代码和模型权重均未受到影响。公司还表示，目前没有证据显示Cathedral以外的其他人员利用了相关漏洞，受影响的第三方软件也已被停用，恢复使用需要等待供应商确认漏洞已经修复。

截至北京时间2026年10月27日，涉事软件供应商名称、漏洞编号、具体利用链和Cathedral完整报告均未公开。因此，外界目前可以确认的是访问结果与大致入口，但还无法独立判断漏洞属于零日漏洞、已知漏洞未及时修补，还是身份认证与权限配置错误。

不到12小时，AI Agent压缩了渗透测试的时间成本

AI智能体是能够围绕目标自主拆解任务、调用工具、观察结果并持续调整行动的软件系统。在网络安全场景中，它不只是回答“这个漏洞怎么利用”，而是可以连续完成资产发现、页面分析、凭据验证、权限探测和结果整理，把原本需要安全工程师频繁切换工具的流程串成一个循环。

Cathedral声称，其研究人员在不到12小时内找到了进入Anthropic内部系统的路径。这个数字值得重视，但不能被简单理解为“AI独立攻破顶级AI公司”：现有披露没有说明使用了多少个智能体、人工参与程度、计算资源投入、扫描范围和漏洞是否已经存在公开线索，因而无法据此计算人与AI之间的效率差距。

真正确定的变化是，AI正在显著降低多步骤渗透工作的组织成本。传统自动化扫描器擅长批量检查已知特征，却不擅长理解业务页面、追踪身份关系和根据返回结果改变策略；智能体则能够像一名不知疲倦的初级安全工程师，把多个看似低风险的问题连接起来。

这类连接能力比单点漏洞更加危险。一个配置不严的企业软件入口、一枚权限过大的身份令牌、一套缺少网络隔离的内部应用，单独看可能都不是“灾难级漏洞”，但智能体可以高速尝试它们之间的组合，最终形成从外部SaaS到内部数据的完整路径。

核心模型资产没有失守，外围系统也绝非无关紧要

模型权重是神经网络训练完成后保存的大规模参数集合，它决定模型在推理时如何处理输入并生成结果。对于前沿模型公司而言，权重与训练代码、数据处理流程共同构成最敏感的技术资产，一旦权重被完整窃取，攻击者可能绕过官方服务直接部署、微调或分析模型。

Anthropic明确否认模型权重、源代码和Claude客户对话受到影响，这意味着目前没有证据支持“Claude模型被盗”或“用户聊天记录泄露”的说法。把此次事件描述成Anthropic核心模型遭攻破并不准确，也会混淆企业办公系统与模型生产环境之间的重要边界。

不过，销售、HR和IT系统同样承载高价值信息。员工薪酬与录用资料可以用于定向诈骗或人才情报分析，会议记录可能暴露项目安排与决策过程，Slack讨论则可能包含尚未公开的产品方向、模型能力判断以及内部安全问题。

部分内部信息被访问和模型权重被盗不是同一个严重等级，但前者不能因为后者没有发生就被淡化。对攻击者而言，员工身份、组织结构、合作伙伴联系人和内部讨论经常是下一阶段社会工程攻击的素材，也是获得更高权限的跳板。

| 资产或系统 | 当前披露状态 | 风险判断 | |---|---|---| | 销售系统 | 部分范围遭访问 | 可能涉及商业联系信息和客户关系数据 | | 人力资源系统 | 部分范围遭访问 | 可能涉及薪资、录用和员工身份信息 | | IT系统 | 部分范围遭访问 | 具体数据与权限边界尚未公开 | | 会议记录 | Cathedral报告草稿称可访问 | 可能暴露内部决策和项目背景 | | Slack内部消息 | 部分讨论被接触 | 包括与先进AI模型有关的讨论，但不等于模型权重泄露 | | 客户与Claude的对话 | Anthropic称未受影响 | 暂无对话数据泄露证据 | | Claude模型回复 | Anthropic称未受影响 | 暂无相关数据泄露证据 | | 源代码 | Anthropic称未受影响 | 暂无代码仓库被访问证据 | | 模型权重 | Anthropic称未受影响 | 核心模型资产未被触及 |

真正薄弱的环节，是企业软件供应链

第三方软件供应链风险是指企业因外部软件、云服务、更新组件或服务商权限而继承的安全风险。企业可以把模型集群和代码仓库保护得非常严密，但只要销售、招聘、工单、会议或身份管理工具拥有内部数据访问权，攻击者就可能绕过正面防线，从可信供应商一侧进入。

这起事件再次说明，AI公司的“攻击面”远大于模型接口本身。Anthropic需要运行客户关系管理、招聘、薪酬、工单、办公协作和设备管理系统，这些软件通常来自不同供应商，并通过单点登录、OAuth授权、网页钩子和数据同步接口连接在一起。

问题往往不在某一个软件绝对不安全，而在企业对软件授予的权限超过了实际需要。一个销售工具原本只需读取联系人，如果同时拥有会议记录、员工目录或跨系统搜索权限，那么它一旦失守，影响就会沿着权限关系迅速扩散。

此次事件尚未公开供应商和技术细节，因此不能提前把责任全部归给某个未知厂商。Anthropic需要回答的关键问题包括：第三方软件为何能够触及这些内部信息、身份权限是否遵循最小化原则、不同业务系统之间是否充分隔离，以及异常访问为何没有在产生影响前被自动阻断。

Anthropic提前发现异常，说明监控有效但预防不足

Anthropic表示，公司监控系统在Cathedral提交报告前就发现了部分相关活动，并于当天关闭研究人员的访问权限。这一点说明其检测与响应机制并非完全失效，但“发现异常”与“阻止访问”是两件不同的事：前者降低事件持续时间，后者才决定敏感数据能否被看到。

Cathedral则表示，研究人员遵循安全研究最佳实践，将实际访问的数据量控制在最低水平。由于完整报告尚未发布，外界目前无法验证研究人员究竟读取了多少内容、是否下载或复制数据，以及哪些操作由AI智能体自动执行。

双方的叙事差异集中在事件严重性，而不是访问是否发生。Anthropic认为Cathedral夸大了事件所暗示的国家安全风险，Cathedral则强调发现的问题严重且具有代表性；更可靠的判断需要等待漏洞修复、技术时间线和独立复核结果，而不是根据任何一方的公关措辞下结论。

| 关键问题 | Anthropic披露 | 目前仍未知的信息 | |---|---|---| | 访问入口 | 第三方商业软件漏洞 | 供应商名称、漏洞类型及编号 | | 所需时间 | Cathedral称不到12小时 | 计时起点、智能体数量和人工投入 | | 发现方式 | Anthropic监控系统发现部分活动 | 具体告警规则与首次发现时间 | | 处置措施 | 当天关闭访问权限并停用受影响软件 | 完整取证结论与恢复时间 | | 外部利用 | 暂无Cathedral以外人员利用的证据 | 漏洞此前是否被未知攻击者发现 | | 数据规模 | Anthropic称范围有限 | 具体记录数量、读取范围与留存情况 |

这不是Anthropic第一次面对“AI参与真实入侵”的边界问题

2026年7月，Anthropic曾披露Claude模型在网络安全评估期间因测试环境配置错误连接到公共互联网，并未经授权访问真实机构的系统。那次事件的主体是被测试的Claude模型，问题来自隔离环境错误；本次事件的主体则是Cathedral用于安全研究的AI智能体，入口是Anthropic所使用的第三方企业软件。

两起事件的共同点是，AI把安全测试与真实生产环境之间的薄弱边界迅速放大。模型未必需要发现复杂漏洞，只要测试环境、身份权限或企业软件存在基础缺陷，它就可能以机器速度持续尝试，直到进入本不该进入的系统。

两起事件也不能混为一谈。本次披露没有证据表明Claude攻击了Anthropic自身，更没有证据显示Claude产生自主攻击意图；准确说法是外部研究人员使用AI智能体，借第三方软件漏洞访问了Anthropic的部分系统。

| 对比维度 | 2026年7月评估事故 | 2026年10月Cathedral事件 | |---|---|---| | AI角色 | Claude是接受网络能力评估的执行者 | Cathedral使用AI智能体辅助安全研究 | | 直接原因 | 测试环境错误连接公共互联网 | 第三方商业软件存在可利用漏洞 | | 被访问对象 | 外部机构的真实系统 | Anthropic部分内部系统 | | 主要教训 | 安全评估环境必须强隔离 | 企业SaaS与身份供应链必须最小权限化 | | 核心模型资产 | 不涉及权重泄露 | Anthropic称权重、源码未受影响 |

对AI公司的警告：保护权重不等于保护公司

这起事件最值得行业警惕的地方，是“皇冠上的宝石”可能隔离良好，而通往它周边的组织系统仍然过度互联。模型公司往往把最高等级的防护资源投入训练集群、权重存储和代码仓库，但员工每天使用的SaaS工具数量更多、变化更快，也更难统一审计。

AI智能体还会让传统漏洞披露窗口进一步缩短。过去，一个复杂权限链可能需要研究人员花数天梳理；现在，智能体可以同时检查多个入口、保留长上下文并自动调整路径，使“低危漏洞组合成高危事件”的速度显著提高。

企业的防御重点需要从单个漏洞转向完整攻击路径。仅修复某个网页入口不够，安全团队还要检查该入口关联了哪些身份、能够调用哪些内部服务、可以读取多少历史数据，以及异常查询是否会触发自动冻结。

对AI公司和大量使用AI Agent的开发团队而言，至少有六项措施应当成为默认配置：

1. 建立第三方SaaS资产清单。 企业需要持续记录每个软件的负责人、数据范围、登录方式、OAuth权限和停用流程，而不是在事故后临时排查。
2. 执行最小权限与即时授权。 销售、招聘和办公软件不应默认获得跨部门数据权限，高敏感访问应限时开放并要求二次审批。
3. 隔离模型核心区与企业办公区。 权重存储、训练环境、代码仓库和办公SaaS之间应使用不同身份域、网络边界和审计策略。
4. 针对智能体速度设计检测规则。 短时间内的页面遍历、权限枚举、批量搜索和跨系统访问，应被视为机器化攻击信号，而不是普通员工行为。
5. 为外部研究设置可验证边界。 安全测试计划需要提供专用账户、数据脱敏环境、速率限制和紧急停止机制，避免研究授权被无意扩大。
6. 使用蜜标与数据访问告警。 在敏感系统中部署可追踪的虚假凭据或文档，可以更早发现自动化工具是否越过预期范围。

事件严重，但“12小时攻破Anthropic”仍是过度简化

这次访问事件不能证明Anthropic的模型安全体系整体失守，因为被触及的是部分企业运营系统，而不是Claude服务、源代码仓库或模型权重环境。核心资产与办公系统之间的隔离至少在此次事件中发挥了作用，这是判断影响边界时必须保留的事实。

这次访问事件同样不能被降格为无关紧要的外围漏洞，因为会议、薪酬、录用和Slack信息足以支持更精准的后续攻击。对于一家处于前沿模型竞争核心位置的公司，内部沟通和人员信息本身就是高价值情报。

Cathedral使用AI智能体不到12小时找到路径，真正释放的信号不是“AI已经成为超级黑客”，而是攻击链的搜索和组合成本正在下降。未来的企业安全差距，很可能不再取决于有没有某个漏洞，而取决于组织能否在智能体找到完整路径之前发现并切断它。

Anthropic目前的处置方向是合理的，包括停用受影响软件、等待供应商完成修复、关闭研究访问并通知美国联邦政府相关部门。但在供应商名称、漏洞细节、数据访问规模和完整时间线公开前，这起事件还不能算完成复盘。

参考来源

• IT之家：Anthropic确认其内部系统遭访问，客户对话、模型权重未受影响 —— 汇总Anthropic回应、《华盛顿邮报》报道及Cathedral报告草稿中的主要事实。