Anthropic 被 Agent“攻破”12小时：真正失守的是哪道门？
想象一下，公司给一名外部维修员一张临时门卡，只允许他检查前台。结果他从前台设备的漏洞出发，又摸到了人事、销售和 IT 房间。问题不只是门卡落到了谁手里，更在于各个房间之间有没有真正上锁。
这大致是 Cathedral 对 Anthropic 所做安全测试的现实版本。Cathedral 研究人员在 Anthropic 授权的红队测试中，利用第三方商业软件的漏洞，找到了进入部分内部系统的路径。红队测试，就是经授权模拟攻击者、寻找薄弱环节的安全演练。因此，这不是陌生黑客发动的一次无授权入侵。
标题里的“不到12小时攻破”也要谨慎理解。据 InfoQ 转述《华盛顿邮报》看到的 Cathedral 报告草稿，研究人员运行 AI Agent 不到12小时后找到访问路径。AI Agent 不只回答问题，还能规划步骤、调用工具并持续执行任务。但现有材料没有披露 Agent 的具体能力、操作过程或人工参与程度，“攻破 Anthropic”更容易让人误以为模型和生产核心系统已经失守。
进了哪些房间，双方说法不同
可以确认的是，路径经过 Anthropic 用于行政和销售工作的第三方商业软件。Anthropic 也确认，研究人员访问了销售、人力资源和 IT 系统中的“有限数据”，包括部分客户与合作伙伴的商业联系信息，以及基础用户账户记录。
争议集中在数据范围。Cathedral 的报告草稿称，研究人员还接触到会议记录、员工薪酬、工作邀请详情，以及讨论先进 AI 模型的 Slack 消息。但 Anthropic 的声明没有确认这组更敏感的内容。两种描述并不完全一致，因此目前不能把“薪酬和模型讨论遭访问”写成已经坐实的事实。
Anthropic 单方面表示，客户发给 Claude 的消息、模型回复、源代码和模型权重都没有被访问。模型权重，是训练后保存模型能力的大量数值参数，可视为模型的核心资产之一。换句话说，现有材料指向的是企业内部办公系统风险，而不是 Claude 模型本身或核心研发资产被拿走。
公司还称，其监控系统在 Cathedral 提交报告前已经发现部分活动，并在当天关闭相关访问权限；目前没有证据显示 Cathedral 之外的人利用过这些漏洞。Anthropic 随后停用了涉事软件，直到供应商确认修复才重新启用。Cathedral 没有公开供应商身份。
真正值得盯住的是权限边界
这起事件最重要的地方，不是 Agent 会不会像电影里的黑客一样独立行动，而是它能否把试错速度与过大的系统权限叠加起来。Agent 一旦接入浏览器、企业软件或账号权限，影响就不再局限于聊天窗口。它可以持续尝试路径，也可能从一个软件漏洞继续接触其他系统。
这正是权限隔离要解决的问题：每个账号、程序和数据，只获得完成任务所需的最小访问范围。第三方销售工具即使出现漏洞，也不该顺势成为通往人事、IT 或内部消息系统的走廊。Alex Stamos 在审阅 Cathedral 的发现后称，这是“一个很严重的问题”，并把它归入所有企业都面临的第三方应用接入风险。
Anthropic 既开发前沿模型，也长期以 AI 安全作为自身定位。这次授权测试因此同时检验了两层防线：传统网络安全能否堵住商业软件漏洞，以及企业能否限制 Agent 在拿到入口后横向移动。前者是门锁，后者是楼内各房间之间的隔离。
局限与未知
- “不到12小时”来自 Cathedral 报告草稿，材料没有给出测试步骤、Agent 配置和人工介入程度，无法判断时间数字能否复现。
- 会议记录、薪酬、工作邀请和 Slack 模型讨论是否确被访问，双方描述存在差异，仍待独立确认。
- 双方也在争论披露程序：Anthropic 认为 Cathedral 夸大了国家安全影响，且没有完整披露测试活动、未完全遵守漏洞奖励计划规则；Cathedral 发言人拒绝置评。