安全公司 Cathedral 用 AI 智能体渗透 Anthropic 内部系统，双方就波及范围各执一词

网络安全初创公司 Cathedral 利用 AI 智能体通过第三方商业软件渗透进 Anthropic 的内部系统，并借助这家 AI 实验室自己的漏洞赏金计划来曝光重大漏洞。

Cathedral 在一份由《华盛顿邮报》审阅的草稿报告中披露了其对内部数据和消息系统的访问。这家初创公司由前美国政府效率机构 DOGE 的员工创立，向政府机构和企业出售 AI 驱动的安全工具。

Cathedral 的研究人员是通过外部的行政和销售程序进入的。据其报告，运行先进模型的 AI 智能体在不到十二小时内就找到了通往会议记录、薪资数据、招聘信息和 Slack 消息的路径。

Anthropic 证实，研究人员访问了有限的销售、人力资源和 IT 系统，包括部分客户和合作伙伴的联系信息以及基本用户账户数据。该公司表示，与 Claude 的对话、源代码和模型权重从未被泄露。Anthropic 在发现漏洞的当天就关闭了受影响的访问点，在问题解决前禁用了第三方程序，并通知了美国联邦当局。

Anthropic 和 Cathedral 在漏洞持续时长和影响范围上存在分歧

Cathedral 称整个事件耗时不到十二小时。Anthropic 则称这次未遂攻击持续了好几天。据 Anthropic 红队成员 Logan Graham 称，这家初创公司在试探 Anthropic 自家系统数天之后，才转向第三方软件。在那里，Cathedral 发现了两个漏洞，但只报告了一个。Anthropic 表示，第二个漏洞是他们自己发现并修复的。

Anthropic 还指责 Cathedral 通过不完全披露违反了漏洞赏金计划的规定。Graham 补充说，针对第三方供应商并获取数据的行为超出了该计划的安全港条款范围，不过他对漏洞的发现表示欢迎。Cathedral 坚称自己遵循了标准的安全研究规范。

实际被访问的数据量仍存在争议。前 OpenAI 员工 Will Depue 声称，Anthropic 在淡化此次事件，他说几位他认为非常可靠的消息人士告诉他，Cathedral 获得了 Slack 工作区的完整管理员权限，可以阅读每一条消息，并能登录任何用户账户。

Depue 补充说，Anthropic 和 OpenAI 两家实验室都把所有研究机密存放在 Slack 中，管理员 API 密钥散布在各自的系统里。于 2026 年 9 月离开 Anthropic 的员工 Jacob Coxon 此前曾批评 Anthropic 在 Slack 等办公软件上运行危险的 AI 研究。

Graham 予以反驳，称 Depue 的消息来源有误。他以事件敏感性为由拒绝透露细节，但确认了 Depue 的核心担忧：如今整个行业每年都必须重新打造其安全体系。

Depue 追问究竟哪些说法是错误的，并呼吁 Anthropic 披露 Cathedral 实际访问了什么。他还将问题归咎于 AI 竞赛的速度，即高管们把速度置于安全之上。

Alex Stamos 是 AI 初创公司 Cognition 的首席安全官，该公司使用 Anthropic 的模型，他告诉《华盛顿邮报》，他认为这些发现意义重大。他指出，第三方应用的集成问题是全行业面临的重大难题，Anthropic 本可以更好地保护其外部服务。

AI 智能体正在改变网络安全格局

在连续数月警告 AI 驱动的网络攻击并经历其自身意外的安全事件之后，Anthropic 现在成了受害者。AI 智能体正在改变网络攻击的运作方式，此次入侵事件表明这一转变来得有多快。而且这并非一次普通的入侵，因为 Anthropic 可能是全世界最有能力抵御 AI 主导攻击的公司。

Graham 借此机会警告说，攻击者已经在全天候运行 AI 智能体，专门针对外部依赖。他表示，即使是比当前前沿落后半代到一代的模型，也足以实施这类攻击，而未来的对手将不可避免地掌握更强大的系统。

Graham 给出的答案是持续进行内部渗透测试，并使用形式化验证重建软件——如今 AI 让这在经济上变得可行。“你可能需要时刻对自己的系统进行红队测试。当前的模型非常有创造力，”Graham 写道。

他没有回答的是：尽管 Anthropic 拥有可以说是世界上最强大的用于网络防御的 AI 模型，Cathedral 是如何深入渗透成功的。

无炒作的 AI 新闻 – 由人工精选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六期独家"AI Radar"前沿报告、完整档案访问权限以及评论区的发言权限。