Anthropic 遭入侵：Cathedral 的 AI 智能体不到 12 小时进入内部系统

10 月 26 日，《华盛顿邮报》报道，初创公司 Cathedral 的 AI 智能体在不到 12 小时内找到了进入 Anthropic 内部系统的途径。不是通过 Claude，而是通过该公司使用的外部销售、人事和 IT 软件。Cathedral 对 Anthropic 的这次入侵是在 Anthropic 漏洞报告计划框架内进行的测试，如今双方正在争论智能体究竟走了多远。

Cathedral 的智能体是怎么进入 Anthropic 的？

据 Decrypt 的报道（依据《华盛顿邮报》获得的 Cathedral 报告草稿），过程如下：

1. 智能体花了好几天尝试直接攻入 Anthropic 的软件，但没有成功。
2. 随后它们把目标换成第三方工具：许多其他公司也在用的管理类和销售类应用。
3. 通过这条路，它们在不到 12 小时内找到了通往敏感数据的路径。

Cathedral 的智能体可以执行多步骤任务，不需要人类逐步批准。它们借道的系统属于哪些供应商，目前尚未公开。

它们找到了什么，而 Anthropic 说什么没有发生？

这里双方的说法出现分歧。Cathedral 的报告列出了通往会议记录、薪资数据和录用通知的路径，以及关于 Anthropic 最先进模型的 Slack 消息。

Anthropic 确认，有人访问了其销售、人事和 IT 系统中“有限的”一部分（原文为“limited set”），其中包含部分客户和合作伙伴的联系方式，以及用户账户的基本数据。据该公司称，研究人员没有接触到客户与 Claude 的对话、源代码或模型权重。

据 Anthropic 称，在 Cathedral 报告之前，其监控就已发现了部分活动，公司当天就切断了访问。受影响的应用被下线，直到供应商确认修复。据该公司称，没有迹象表明 Cathedral 以外的任何人利用过这些漏洞。

争议在哪里？

有两点。第一是计划的规则。据 Anthropic 称，Cathedral 没有披露其在公司系统中的全部活动，因此没有完全遵守规则。而报告草稿则写道，数据访问被控制在“绝对最低限度，符合安全研究的最佳实践”（原文为“kept to the absolute minimum in accordance with security research best practices”）。

第二是威胁的严重程度。这份报告已经在美国政府内部流传。一位匿名高级官员对《华盛顿邮报》表示，如果“一群刚创业的孩子”都能做到，那么“中国人可能也不会落后太多”（原文为“If a bunch of kids who have just started a company can do this… then potentially, the Chinese aren’t far behind”）。据 Anthropic 称，Cathedral 夸大了这些发现对国家安全的意义。

Cathedral 是谁？

一家非常年轻的公司，几个月前由四名前 DOGE 成员创立。7 月，它以 14 亿美元估值融资 1.6 亿美元（数据来自 Decrypt 的报道）。据 Digital Trends 报道，它已与联邦机构签有网络安全合同。

这在 AI 领域算新鲜事吗？

通过漏洞百出的第三方工具进入系统，是老套路了。新的是：干活的是 AI 智能体，只用了几个小时，而且对象是一家自己打造顶尖模型、并且大谈权重安全的公司。我们知道，Anthropic 在 10 月 26 日公开的 S-1 招股书中写道，公司正是为了加强权重保护，把一个新模型的 pre-training 推迟了一个多月（我写过招股书和 Anthropic 股票）。

这也是与借助 Cairn 平台的 AI 网络攻击同一系列的又一个例子：智能体找到最薄弱环节的速度，比人把供应商名单看一遍还快。

对这一切要保持审慎。Cathedral 的报告尚未公开，我们只是间接了解其内容。而 Anthropic 的版本，则来自有理由淡化事件的一方——所以才会有两份如此不同的清单，列出智能体“看到”了什么。

今后需要注意什么？

1. 最薄弱的环节不是模型，而是普通的 SaaS。 保护智能体和 API 密钥的人，也应该同样认真地检查人事、CRM 和 IT 工具中的权限。
2. 监控只部分奏效。 据 Anthropic 称，监控发现了 Cathedral 的部分活动，而不是全部。
3. 智能体缩短了攻击所需的时间。 如果一家年轻的初创公司 12 小时就能做到，不那么友好的团体很可能也能做到。

关于自己的智能体可以采取的实际措施，我在 AI 智能体安全指南中做了介绍。

FAQ

Cathedral 攻破了 Claude 吗？

没有。据 Anthropic 和媒体报道，智能体是通过外部业务应用进入的，与 Claude 的对话、源代码和模型权重均未受到影响。

这是一次黑客攻击吗？

不是，这是 Anthropic 漏洞报告计划框架内获得授权的安全研究。争议在于 Cathedral 是否遵守了其全部规则。

Claude 用户的数据泄露了吗？

据 Anthropic 称，研究人员接触到了部分客户和合作伙伴的联系方式以及账户基本数据，但没有接触到对话内容。该公司没有证据表明有其他人利用了同样的漏洞。