Cathedral 用 AI 智能体侵入 Anthropic 内部系统，双方对事件范围说法不一

网络安全初创公司 Cathedral 利用 AI 智能体，通过第三方商业软件渗透进 Anthropic 的内部系统，并借助这家 AI 实验室自家的漏洞赏金计划，曝光了一批重大漏洞。

《华盛顿邮报》审阅的一份报告草稿显示，Cathedral 通报了其进入内部数据和消息系统的情况。这家初创公司由美国政府效率部门 DOGE 的前员工创办，向政府机构和企业销售 AI 驱动的安全工具。

Cathedral 的研究人员是从外部的管理后台和销售系统入手的。根据他们的报告，运行先进模型的 AI 智能体在不到十二小时内就找到了通往会议记录、薪资数据、招聘信息和 Slack 消息的路径。

Anthropic 证实，研究人员访问了有限的销售、人力资源和 IT 系统，其中包括部分客户和合作伙伴的联系方式以及基础用户账户数据。公司表示，与 Claude 的对话、源代码和模型权重从未泄露。Anthropic 在发现入侵当天就关闭了受影响的访问入口，停用了相关第三方程序直至问题解决，并通知了美国联邦主管部门。

Anthropic 与 Cathedral 对入侵持续了多久、波及范围有多大各执一词

Cathedral 称事件持续不到十二小时。Anthropic 则表示，这起未遂攻击前后延续了数天。据 Anthropic 红队成员 Logan Graham 介绍，这家初创公司在探测 Anthropic 自家系统数天之后，才转向第三方软件。在那里，Cathedral 发现了两个漏洞，但只报告了其中一个。Anthropic 称第二个漏洞是它自己发现并修复的。

Anthropic 还指责 Cathedral 披露不完整，违反了漏洞赏金计划的规则。Graham 补充说，针对第三方供应商下手并提取数据，超出了该计划的安全港条款范围，不过他对漏洞被发现表示欢迎。Cathedral 则坚称自己遵循了标准的安全研究规范。

实际被访问的数据量仍存争议。前 OpenAI 员工 Will Depue 声称，Anthropic 在淡化这起事件。他说，几位他认为高度可靠的消息人士告诉他，Cathedral 获得了 Slack 工作区的完整管理员权限，可以读取每一条消息，也能登录任何用户账户。

Depue 补充说，Anthropic 和 OpenAI 两家实验室都把全部研究机密存放在 Slack 里，管理员 API 密钥也散落在各自的系统中。2026 年 9 月离职的 Anthropic 员工 Jacob Coxon 此前就曾批评 Anthropic 在 Slack 这类办公软件上开展危险的 AI 研究。

Graham 予以反驳，称 Depue 的消息来源有误。他以事情敏感为由拒绝透露细节，但确认了 Depue 的核心担忧：整个行业如今不得不每年重新构建自己的安全体系。

Depue 追问究竟哪些说法不实，并要求 Anthropic 披露 Cathedral 实际访问了什么。他还把问题归咎于 AI 竞赛的节奏——高管们把速度置于安全之上。

Alex Stamos 是 AI 初创公司 Cognition 的首席安全官，该公司使用 Anthropic 的模型。他对《华盛顿邮报》表示，他认为这些发现意义重大。他指出，集成的第三方应用是整个行业的普遍难题，而 Anthropic 本可以在保护其外部服务方面做得更好。

AI 智能体正在改变网络安全的格局

在数月来不断警告 AI 驱动的网络攻击以及自身意外发生的安全事件之后，Anthropic 如今成了被攻击的一方。AI 智能体正在改变网络攻击的方式，而这次入侵事件表明，这种转变发生得有多快。这也不是一次普通的入侵，因为 Anthropic 很可能是最有能力抵御 AI 主导攻击的公司。

Graham 借此机会警告说，攻击者已经在全天候运行 AI 智能体，专门针对外部依赖项下手。他表示，即便是比当前前沿水平落后半代甚至整整一代的模型，也足以发动这类攻击，而未来的对手必然会拥有更强大的系统。

Graham 给出的对策是持续开展内部渗透测试，以及用形式化验证重建软件——AI 如今让这种做法在经济上变得可行。Graham 写道：“你大概会希望自己一直对自己做红队测试。当前的模型非常有创造力。”

他没有谈及的是：尽管 Anthropic 拥有可以说是世界上最强大的 AI 模型可用于网络防御，Cathedral 究竟是如何渗透得如此之深的。

没有炒作的 AI 新闻——由人工精选

订阅 THE DECODER，即可享受无广告阅读、每周 AI 新闻通讯、每年六期独家“AI Radar”前沿报告、完整档案访问权限，以及评论区访问权限。