12 小时摸进 Anthropic 内网：AI 智能体找到第三方软件缺口，模型权重没丢

一家把“安全”写进公司名字的 AI 实验室，被另一家公司的 AI 智能体在不到 12 小时里找到了进入内部系统的路径。10 月 26 日，《华盛顿邮报》报道了这起事件；Anthropic 随后确认，部分销售、人力资源和 IT 系统遭到访问，但客户与 Claude 的对话、模型回复、源代码及模型权重均未受影响。

一分钟速览

• 网络安全初创公司 Cathedral 称，其研究人员利用 AI 智能体，在不到 12 小时内通过第三方商业软件漏洞进入 Anthropic 内部系统。
• 被访问的是范围有限的销售、人力资源和 IT 系统，涉及会议记录、员工薪资与录用信息，以及讨论先进 AI 模型的 Slack 消息。
• Anthropic 表示，客户对话、模型回复、源代码和模型权重未受影响。
• 公司已停用受影响的第三方软件，直到供应商确认漏洞修复，并向美国联邦政府相关部门通报。

事情是怎么发生的

根据 Cathedral 一份尚未正式发布的报告草稿，研究人员是在 Anthropic 的外部安全研究计划下开展测试的。他们利用企业销售和行政管理软件中的漏洞，接触到了会议记录、员工薪资与录用信息，以及讨论先进 AI 模型的 Slack 消息。整个过程由 AI 智能体执行，耗时不到 12 小时。

Anthropic 的回应确认了访问范围，但强调了边界：研究人员进入的是销售、人力资源和 IT 系统，而不是模型训练或推理环境；客户与 Claude 的对话、模型回复、源代码和模型权重都没有被触及。公司还表示，自身监控系统在 Cathedral 提交报告前就已发现部分相关活动，并在当天关闭了研究人员的访问权限。

Cathedral 由美国政府效率部（DOGE）前成员创办。这个背景让事件多了一层意味：一支带有政府效率改革背景的团队，用 AI 智能体去测试一家前沿 AI 公司的外部攻击面，最后触发了联邦通报。双方目前都没有公开涉事软件供应商的名称和漏洞细节。

真正值得警惕的，是“12 小时”

如果把这件事只当成一次“白帽测试翻车”，会错过重点。传统渗透测试依赖人来做信息收集、路径枚举和横向移动，速度受限于人的精力与经验。AI 智能体的优势在于可以并行尝试大量路径、快速阅读文档和配置、在失败后立刻换一种打法。12 小时不是一个精确的行业基准，但它说明攻击面的探索成本正在下降。

更关键的是入口：不是 Anthropic 自己的模型被攻破，而是它使用的第三方商业软件。企业可以把核心模型锁进隔离环境，却很难不用外部的人力资源系统、销售管理工具和协作软件。这些系统往往持有员工数据、内部沟通和业务凭证，一旦被打开，攻击者不需要碰模型，也能拿到足够多的上下文。

这也是为什么 Anthropic 的处理方式值得注意：停用受影响软件、等待供应商修复、向联邦部门通报，而不是只发一份“未受影响”的声明。对一家正在推进 IPO 的公司来说，披露节奏和措辞同样重要。招股书里写的是风险因素，现实里发生的是信任考验。

“没丢权重”不等于“没事”

Anthropic 说客户对话、模型回复、源代码和模型权重未受影响，这些是核心资产，确实应该被放在最高优先级。但员工薪资、录用信息、会议记录和 Slack 消息同样敏感。它们可以被用于社会工程、钓鱼、招聘欺诈，甚至推断公司的组织结构和产品路线。对员工来说，这些数据的泄露不会因为“模型没丢”而变得不重要。

公司称目前没有证据表明 Cathedral 以外的人员利用了这些漏洞。这是一个谨慎的表述：没有证据，不等于可以排除。第三方软件的具体漏洞尚未公开，其他使用同一供应商的客户是否也暴露，仍是未知数。

对 AI 公司的一次提醒

这起事件把两个趋势放在了一起。第一，AI 智能体正在成为安全测试的常用工具，攻防双方都在用它压缩时间。第二，AI 公司的攻击面不只在自己的机房，还在采购的每一套 SaaS 里。前者要求防御方也用 Agent 做持续探测，后者要求把第三方软件纳入同等级的安全审查。

对普通用户而言，最实际的动作不是恐慌，而是看清边界：这次没有证据显示 Claude 的对话或模型权重泄露。对行业而言，真正的问题是，当攻击者可以在半天内走完过去几周的路径，企业的监控、隔离和通报机制，是否还按“天”而不是“小时”来设计。