一直把网络防御挂在嘴边的 Anthropic，自家后院被 AI 智能体撬开了。《华盛顿邮报》在 2026 年 10 月 26 日发表题为《How an AI start-up founded by ex-DOGE staffers broke into Anthropic》的报道披露，由前美国政府效率部（DOGE）员工创立的网络安全初创公司 Cathedral，利用 AI 智能体顺着第三方商业软件漏洞，渗透进了 Anthropic 的内部系统。造盾的人被自己的矛扎穿，真正让人后背发凉的不是大模型多聪明，而是顶尖 AI 实验室的日常办公防线居然如此脆弱。
12 小时闪电战还是数日试探
这起入侵的入口不在 Anthropic 固若金汤的模型服务器，而在外部的管理与销售程序。Cathedral 专门向政府机构和企业售卖 AI 安全工具。他们在交给《华盛顿邮报》审阅的报告草案里宣称，运行先进模型的 AI 智能体在不到 12 小时内，就打通了前往会议记录、薪资数据、招聘信息和 Slack 消息的路径，甚至在 Slack 消息里看到了关于先进 AI 模型的内部讨论。截至 2026 年 10 月 28 日，涉事的第三方软件供应商名称和具体技术漏洞细节仍未对外公开。
Anthropic 承认研究人员访问了有限的销售、人力资源和 IT 系统，拿到了部分客户与合作伙伴的联系方式及基本账户数据，并在发现当天关闭了访问点、停用涉事第三方程序，同时通报了美国联邦机构。但双方的账本根本对不上。
Anthropic 红队成员 Logan Graham 在 10 月 26 日直接拆台，指出对方先对 Anthropic 自有系统进行了数日不成功的探测，碰壁后才转向第三方软件。而且内部监控系统在 Cathedral 正式提交报告之前，就已经检测到部分异常活动，目前也没有证据表明除 Cathedral 外有其他方利用了这些漏洞。更让 Anthropic 光火的是，对方发现了 2 个漏洞却只报告了 1 个，第 2 个是 Anthropic 自己排查并打上补丁的。
这里藏着很深的商业算计。Cathedral 急着把事件渲染成国家安全问题，虽辩称已将实际数据访问量降至最低，但拿着不到 12 小时攻破顶级实验室的战绩去给政府客户做路演，简直是最好的活广告。Anthropic 对这种国家安全叙事框架提出明确异议，并指责对方违反了漏洞赏金计划。翻看 Anthropic 最后更新于 2025 年 2 月 14 日的《负责任披露政策》，里面白纸黑字将第三方系统（包括服务提供商和承包商，即使运行在 Anthropic 域名下）排除在测试范围之外，且要求仅限证明漏洞存在、禁止访问或留存数据。Cathedral 顺着第三方藤蔓摸进内网拉数据，确实踩穿了安全港规则的红线。
保住了模型权重，保得住 Slack 里的配方吗
在这场口水战里，我不太买账的是 Anthropic 的危机公关话术。官方反复强调 Claude 聊天记录、源代码和模型权重从未暴露，听起来像是守住了命根子。但内行人都清楚，模型权重未丢，根本不等于核心机密安全。
前 OpenAI 员工 Will Depue 站出来爆料，称据他认为高度可靠的消息源，Cathedral 拿到了 Slack 工作区的完整管理员权限，不仅能读取每一条消息，还能登录任意用户账户。他直接捅破了行业窗户纸，指出 Anthropic 和 OpenAI 都把所有研究机密存在 Slack 里，系统各处还散落着管理员 API 密钥。2026 年 9 月刚从 Anthropic 离职的前员工 Jacob Coxon 此前也公开批评过，公司居然在 Slack 这类普通办公软件上运行危险的 AI 研究。
静态的权重只是烤好的面包，聊天记录里的踩坑记录才是配方。
对于 Depue 的指控，Logan Graham 公开予以否认，称其消息源有误。但耐人寻味的是，Graham 以事情敏感为由拒绝透露具体细节，只承认整个行业现在必须每年重塑一次安全体系。这种留白根本无法打消外界的疑虑。在算力竞赛狂飙的今天，高管们把研发速度排在安全前面，研究员们图省事在办公群里直接发数据配比、贴实验参数。如果攻击者真能翻阅关于先进 AI 模型的内部讨论，拿走这些动态的研发思路，杀伤力一点不比丢几个静态权重小。
- 风险.前沿 AI 实验室将核心研发讨论与办公协同软件混用，一旦第三方 SaaS 权限失守，算法思路与实验机密将面临裸奔。
落后一代的模型，足够全天候爆破供应链
韩非子讲“千丈之堤，以蝼蚁之穴溃”。以前黑客找蚁穴靠人眼盯，成本高、覆盖窄；现在找蚁穴的是不知疲倦的 AI 智能体。
这件事最黑色幽默的地方在于，Anthropic 之前刚警告过自家的 Claude Mythos 预览版寻找漏洞的速度快于开发者打补丁的速度，转头自己就成了教学案例。使用 Anthropic 模型的 AI 初创公司 Cognition 首席安全官 Alex Stamos 评价此事意义重大，直言集成第三方应用是全行业的痛点，Anthropic 本应更好地保护其外部服务。
这不仅是办公软件配置不当的问题，更是攻防规则的彻底改变。Graham 承认了一个残酷的现实，攻击者已经在全天候运行 AI 智能体，专门盯着外部依赖项打；哪怕是落后前沿半代到一代的模型，也完全有能力胜任这类攻击。
道理很简单。企业安全边界早就模糊了，一家现代科技公司外挂着几十个 SaaS 服务商。白帽黑客受制于 2025 年那种不准碰第三方的披露政策，束手束脚；而野路子或者带着商业目的的智能体根本不管纸面规则，顺着销售软件、HR 系统的接口7×24小时自动试错。Graham 给出的药方是开展持续的内部红队渗透测试，并用 AI 实现经济可行的代码形式化验证（自动编写代码并证明其安全）。
- 建议.安全团队不能只靠一纸安全港协议把第三方软件划出测试范围，必须将外部 SaaS 接入点纳入日常自动化红队演练。
药方是对的，但远水救不了近火。连手里握着顶尖防御模型的 Anthropic，都没能在 Cathedral 的智能体摸进 HR 和 IT 系统前把第三方漏洞堵死。其他还在用老办法管权限的公司，更该去查查自家的办公软件后台了。