AI 智能体经第三方软件攻入 Anthropic

AI 安全能力强，不代表公司接入的每套办公软件都守得住。安全创业公司 Cathedral 称，它在 Anthropic 的漏洞赏金项目中，利用 AI agents 经第三方业务软件接触到了内部数据。Anthropic 承认部分系统受到影响，但双方对耗时、访问范围和研究是否越界存在分歧。

这件事值得程序员关注的，是攻击入口与防守重点的变化：模型可以帮助发现漏洞，企业的薄弱处却可能藏在销售、人事和 IT 工具之间的授权关系里。

入口在第三方软件，影响却落在内部数据

按 Cathedral 的报告，其研究人员通过外部管理和销售软件进入，运行先进模型的 AI agents 在不到 12 小时内找到了通向会议记录、薪资数据、招聘信息和 Slack 消息的路径。这些内容来自《华盛顿邮报》看过的一份报告草稿，并非公开、完整的技术复盘。

Anthropic 确认的范围更窄：研究人员访问了有限的销售、人力资源和 IT 系统，其中涉及部分客户与合作伙伴的联系信息，以及基本用户账户数据。公司表示，Claude 聊天记录、源代码和模型权重均未暴露。

Anthropic 还称，它在发现入侵的当天关闭了受影响的访问入口，停用了相关第三方程序，直到问题解决，并通知了美国联邦机构。

这里的风险不难理解。企业采购的业务软件往往需要读取内部信息，甚至替用户执行操作。一旦某个集成入口失守，影响可能顺着它已有的权限扩散。但原文没有交代具体产品、漏洞类型和授权链，不能据此判断究竟是软件缺陷、配置问题，还是多种因素叠加。

模型能力再强，也不能替代对第三方软件访问权限的治理。

「不到 12 小时」和「持续数天」分别在说什么

Cathedral 强调不到 12 小时便找到了访问内部资料的路径；Anthropic 的红队人员 Logan Graham 则称，整个攻击尝试持续数天，研究人员先探测 Anthropic 自身系统，之后才转向第三方软件。

两种表述可能采用了不同的计时起点，但原文没有提供足够证据还原时间线。因此，不能直接把这次事件概括成「AI 在 12 小时内攻破 Anthropic」。

披露过程也有争议。Anthropic 称，Cathedral 在第三方软件中发现了两个漏洞，却只报告一个，另一个由 Anthropic 自行发现并修复。Graham 认为，针对第三方供应商以及提取数据的行为，超出了漏洞赏金项目的安全港条款。这里的「安全港」，是指研究人员遵守约定范围时，可以获得的相关保护。Cathedral 则坚持，其行为符合标准安全研究实践。

访问范围的争论更大。前 OpenAI 员工 Will Depue 援引其认为可靠的消息源，声称 Cathedral 获得了 Slack 工作区的完整管理员权限，能够阅读全部消息并登录任意用户账户。他还称，两家实验室都把研究秘密存放在 Slack，系统中散落着管理员 API 密钥。

这些说法没有在原文中获得独立证实。Graham 否认消息源的准确性，但以事情敏感为由没有逐项解释。2026 年 9 月离职的 Anthropic 员工 Jacob Coxon 此前对使用 Slack 开展危险 AI 研究的批评，也不能替代本次事件的访问证据。

阅读这类报道，必须把公司确认的影响、研究团队的报告和第三方指控分开。

AI 改变的是持续探测的成本

Graham 的警告是：攻击者已经在全天候运行 AI agents，专门寻找外部依赖中的弱点；即使模型比当前最前沿水平落后半代到一代，也足以执行这类攻击。

这比「最强模型能不能打赢最强防御」更贴近工程现实。攻击者可以反复寻找一个被遗漏的入口，防守者则要持续维护大量系统及其连接关系。AI 让重复探测更容易持续下去，已有的权限问题便更容易被找到。

Graham 提出的应对方式包括持续开展内部渗透测试，以及用形式化验证重建软件。形式化验证是用数学方法检查软件是否满足明确写出的性质，但它能证明什么，仍取决于验证对象和规则是否完整。

他认为 AI 已让这条路线在经济上可行。不过，原文没有给出成本、覆盖范围或实际改造成果。持续测试是明确的行动方向，「重建软件是否划算」还需要更多工程证据。

我的判断

这篇报道最有价值的提醒，是把注意力拉回第三方集成。Cognition 首席安全官 Alex Stamos 也认为，这类应用是整个行业的共同难题，Anthropic 对外部服务的保护仍有改进空间。

但「Anthropic 可能拥有最强网络防御模型，却仍被入侵」主要是一种叙事张力。原文没有说明这些模型是否部署在相关防守环节，也没有给出使用前后的对照数据，无法据此评价模型的防御效果。

同样，Cathedral 的发现说明 AI agents 可以参与真实安全研究，却不足以量化其效率优势：没有纯人工对照，也没有完整披露人工参与程度、运行成本和操作轨迹。「低成本持续攻击」在这里仍是趋势判断，不能当成本次实验已经证明的数字结论。

能拿来做什么

• 给团队接入的第三方业务工具做一次权限盘点，记录它们能读取哪些数据、能代表谁操作，以及出现问题时如何撤销访问。
• 如果前端或 Node 服务连接了这些系统，就检查服务端凭证和集成账户的权限，确认没有因开发方便而保留过大的访问范围。
• 把第三方依赖纳入定期安全测试；使用 AI agents 辅助测试时，先明确允许探测的系统、允许读取的数据和披露要求。
• 评估 AI 安全工具时，要求提供总耗时、人工参与、实际访问范围和对照结果，避免只凭「数小时发现漏洞」判断能力。