Cathedral 用 AI 智能体攻入 Anthropic 第三方系统，双方就泄漏范围各执一词

网络安全初创公司Cathedral利用AI智能体，通过第三方商业软件侵入Anthropic的内部系统，并借助这家AI实验室自家的漏洞赏金计划，曝光了多项重大漏洞。

Cathedral在一份由《华盛顿邮报》审阅的草稿报告中，披露了其进入内部数据和消息系统的过程。这家初创公司由美国政府效率机构DOGE的前员工创立，向政府机构和企业销售AI驱动的安全工具。

Cathedral的研究人员通过外部的管理员和销售程序进入系统。根据其报告，运行先进模型的AI智能体在不到十二小时内就找到了通往会议记录、薪资数据、招聘信息和Slack消息的路径。

Anthropic证实，研究人员访问了有限的销售、人力资源和IT系统，包括部分客户和合作伙伴的联系信息以及基本的用户账户数据。该公司表示，与Claude的对话、源代码和模型权重从未被泄露。Anthropic在发现入侵当天就关闭了受影响的访问点，在问题解决前停用了这些第三方程序，并通知了美国联邦当局。

Anthropic与Cathedral就入侵持续的时间以及波及范围各执一词

Cathedral称事件持续不到十二小时。Anthropic则表示，这次未遂攻击持续了数天。据Anthropic红队成员Logan Graham所述，这家初创公司在探测Anthropic自身系统数天之后，才转向第三方软件。在那里，Cathedral发现了两个漏洞，但只报告了其中一个。Anthropic称第二个漏洞是其自行发现并修复的。

Anthropic还指控Cathedral因披露不完整而违反了漏洞赏金计划的规则。Graham补充说，针对第三方供应商并提取数据的行为超出了该计划的安全港条款，不过他对漏洞的发现表示欢迎。Cathedral则坚称自己遵循了标准的安全研究规范。

实际访问了多少数据仍存在争议。前OpenAI员工Will Depue声称，Anthropic在淡化此次事件，称其认为高度可靠的多个消息源告诉他，Cathedral获得了Slack工作区的完整管理员权限，可以读取每一条消息，并能登录任何用户账户。

Depue补充说，Anthropic和OpenAI两家实验室都将全部研究机密存储在Slack中，管理员API密钥散落在各自的系统里。于2026年9月离职的Anthropic员工Jacob Coxon此前曾批评Anthropic在Slack这类办公软件上开展危险的AI研究。

Graham予以反驳，称Depue的消息源有误。他以事项敏感为由拒绝透露细节，但证实了Depue的核心担忧：整个行业如今必须每年重塑自身的安全体系。

Depue追问究竟哪些说法不实，并要求Anthropic披露Cathedral实际访问了什么。他还将问题归咎于AI竞赛的节奏，在这种节奏下，高管们将速度置于安全之上。

AI 初创公司 Cognition 的首席安全官 Alex Stamos 对《华盛顿邮报》表示，他认为这些发现意义重大。他指出，集成的第三方应用是整个行业的重大问题，Anthropic 本可以在保护其外部服务方面做得更好。Cognition 使用了 Anthropic 的模型。

AI 智能体正在改变网络安全格局

在数月来对 AI 驱动网络攻击的警告以及其自身意外安全事件之后，Anthropic 如今成了被攻击的一方。AI 智能体正在改变网络攻击的运作方式，而这次入侵表明这一转变发生得有多快。这也不是一次普通的入侵，因为 Anthropic 很可能是最有能力防御 AI 主导攻击的公司。

Graham 借此时机警告说，攻击者已经在全天候运行 AI 智能体，专门针对外部依赖项。他说，即便是落后当前前沿半代到一整代的模型，也足以发动这些攻击，而未来的对手必将拥有更强大的系统。

Graham 的答案是持续进行内部渗透测试，以及用形式化验证重建软件，而 AI 如今让这在经济上变得可行。“你可能需要一直对自己进行红队测试。当前的模型非常有创造力，”Graham 写道。

他没有回应的是：尽管 Anthropic 可以使用堪称全球最强大的 AI 模型来进行网络防御，Cathedral 究竟是如何实现如此深度的渗透的。

没有炒作的 AI 新闻——由人类精选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六期独家“AI Radar”前沿报告、完整档案访问权限以及评论区访问权限。