离谱！承包商员工的 AI 代理，竟在五角大楼网络里运行了两个月

原创

骨哥说事
骨哥说事

骨哥说事

2026年10月30日 14:27
上海

去阅读

防走失：https://gugesay.com/

不想错过任何消息？设置星标↓ ↓ ↓

导语： 当\"提高工作效率\"遇上\"国家信息安全\"，会碰撞出怎样戏剧性的场景？2026年10月，WIRED 独家披露了一个令人震惊的案例：一名埃森哲（Accenture）员工为了\"自动化编码部署\"，竟将个人 Claude Code AI 代理接入了国防部（DOD）的敏感生产环境 。

这个AI代理在五角大楼网络上默默运行了将近两个月，期间似乎已将登录凭证、密码乃至网络拓扑图发送至被标记为高风险的第三方网站——而这一切，直到漏洞被发现并被修补。

一、AI 代理如何\"溜进\"五角大楼？

1. 简单粗暴的\"捷径\"

据多位知情人士透露，一名埃森哲承包商（全球咨询公司埃森哲的员工）为了自动化编写代码和部署云服务器的流程，采取了最直接却也最危险的方式：\"将登录凭证直接交给了 Claude 代理\"。

这不仅仅是普通访问。这位员工连接的是一个安全的、由多个情报机构共享的中央化生产环境。该环境运行在 NIPRNet（非机密互联网协议路由器网络）上——这是国防部用于处理未分类信息的网络，与互联网有连接但高度安全。

2. 长达两个月的\"潜伏\"

最关键的是时间差，这个 AI 编码代理在国防部网络上运行了足足两个月（约 2026 年 7-8 月），直到问题被识别且漏洞被修补。

在 WIRED 询问此事时，国防部发言人的回应是：\"国防部不会评论其网络或系统的状态\"。埃森哲发言人的声明则耐人寻味：\"我们认真对待所有关切。这些指控已得到彻底且独立的调查，并发现没有任何根据。我们完全遵守了法律和合同义务。\"

当被追问\"谁进行的调查\"或\"是否发生过可定性为事件的任何事情\"时，埃森哲没有再提供澄清。

3. 最危险的环节：机密信息流向第三方高危网站

WIRED 的描述勾勒出让人不安的画面：为了执行任务，AI 代理需要连接到互联网。在此过程中，它似乎已将承包商登录凭证、密码以及一张 NIPRNet 环境地图，发送到了一个第三方网站。

WIRED 选择不公开该第三方网站名称，以免进一步暴露系统漏洞，但指出美国国家标准与技术研究院（NIST）此前已将其标记为高风险——因其存在漏洞，可能允许黑客向 AI 编码代理注入指令以窃取凭证。

一位了解情况的消息人士匿名表示：\"这令其中的所有数据都面临风险。如果第三方软件被入侵，可能存在某人能够登录安全环境而无人知晓的情形。这 100% 是一个国家安全威胁，可能导致不可挽回的伤害。\"

二、为什么这不仅是\"未报告事件\"那么简单？

1. CUI：一个经常被低估的安全层级

该系统中包含的是\"受控未分类信息\"（Controlled Unclassified Information, CUI）——这是一个美国政府对待非常敏感的层级，要求在未经审查前不得向公众发布。

CUI 具体可以包含什么？根据美国国防部网站描述，范围涉及：

• 关键基础设施信息
• 核潜艇推进系统相关数据
• 化学和生物恐怖主义脆弱性评估
• 有关\"爆炸物、危险化学品或管道安全和保障\"的信息
• 与\"军事或太空设备技术\"设计相关的文档
• 放射性材料的精确位置和数量

Jake Williams（前 NSA 黑客、安全顾问）指出，当未分类信息被聚合时，\"可能本身就变成机密\"。例如，某种危险材料的位置信息可能是 CUI，存放设施的脆弱性信息也可能是 CUI，但两者结合可能揭示会被归类为机密的讯息。

2. 更深层的链式风险：通往机密网络的跳板

这才是真正可怕的部分：NIPRNet 通常是工具和代码部署到更敏感系统之前的测试环境。

更敏感的系统包括：

• SIPRNet：军方的机密信息安全网络
• JWICS：用于最高机密信息的内部网络

这两者都是\"隔离型\"（air-gapped），即不连接任何外部网络，远程访问极其困难。

但 Williams 警告，如果黑客通过 AI 代理获取的凭证登录 NIPRNet，在工具或系统中插入后门或恶意代码，这些代码经过测试后可能被部署到隔离的网络中。

\"代码可能在 NIPR 中完全正常运行，却在 SIPR 网络中执行恶意且未公开的操作，这是 100% 可能发生的，\"Williams 说。

3. 地图的价值：攻击者的路线图

Hunter Strategy 创始人 Matt Triner 强调，即使没有直接数据泄露，网络拓扑图本身也具极高价值。

\"一旦攻击者理解这些组件如何组合，即使组件是公开信息，敏感之处也在于我们如何将这些组件整合并转化为可行动的情报。地图可能无法让黑客进入系统，但能帮助对手在获得访问后更快行动，'帮攻击者了解王冠上的宝石在哪里'。\"

三、谁没遵守规则？报告窗口与责任缺失

1. 72小时报告义务的\"绕行\"

根据 2026年6月23日发布的联邦法规（联邦采购条例变革），国防部员工和联邦承包商被要求在发现任何网络安全事件后72小时内报告。

但消息人士表示，埃森哲最初并没有向政府报告这一事件。

2. 合同压力的\"系统性矛盾\"

Triner 点出了政府承包商面临的普遍矛盾：\"组织经常因报告此类事件而受到惩罚，尽管这是正确且合法的事情。\"

在很多情况下，公司可能因承认发生过安全入侵而失去政府合同。Triner 说，这种压力加上\"以更快速度、更低价格交付项目\"的要求，与优先考虑安全性天然冲突。

\"不幸的是，每个人都在一个有竞争规则和激励机制的系统下运作，这早在 AI 之前就已存在，但现在这是相同问题在加速。\"

3. 危险的时机与心态

Claude 目前被禁止由国防部工作人员使用。Anthropic 在指导方针中明确要求用户不要使用其产品来\"干扰军事基地及相关基础设施的运作\"或\"未经授权绕过身份验证系统、端点防护或监控工具等安全控制\" 。

四、企业 AI 治理的致命盲区

1. 身份与访问管理（IAM）的失效

CDO Magazine 点评这一事件时深刻指出：这彰显了控制 AI 代理可以访问什么以及进入企业环境后能够做什么的重要性。

\"将管理凭证授予 AI 代理，可能将一个编码或生产力工具转化为一个具有对数据、基础设施和连接资源广泛访问权的系统。\"

这使 AI 治理日益依赖于围绕自主系统的身份和访问控制。组织需要确立哪些代理被授权进入敏感环境、它们获得什么权限以及如何撤销这些权限。

2. \"Vibe Coding\"带来的代码审查挑战

随着\"氛围编码\"（vibe coding，即开发人员提示 AI 助手写代码）变得普遍，代码审查成为新挑战。AI 能以远超人类生产力的规模生成代码，使审查工作变得耗时困难。

Williams 指出：\"当你使用代理时，你对供应链甚至最终生成了什么代码的推理链一无所知。许多 LLM 训练所用的代码本身就存在漏洞，它们可能再现我们在其他代码中看到的相同架构和架构问题。\"

3. 合规框架的 AI 代沟

Cryptobriefing 分析道，AI 代理使得传统合规规则面临适应性挑战。

NIST 800-171 和 CMMC 2.0 等框架已经要求可审计的访问记录和人员认证。开放性问题是：当'用户'是代表某人运行的软件而非坐在键盘前的人类时，这些要求如何适用？

六、埃森哲与国防部的复杂关系

1. 巨大的合同绑定

埃森哲目前持有与联邦政府价值超过 35 亿美元的合同，其中近 6.05 亿美元是与国防部的。

就在 2026年7月，埃森哲刚获得一项价值高达 8.21 亿美元的任务订单，用于支持国防部的战争数据平台。

2. 近期的安全\"失分\"记录

仅仅今年10月初，联邦调查局发现，一名埃森哲承包商未能修补一个漏洞，导致黑客组织 ShinyHunters 获取了数千名 FBI 员工的个人信息。

五角大楼遭遇重大数据泄露：人力资源中心文件服务器被非法访问长达9个月，超300万人个人信息曝光

七、思考

1. AI 代理不是\"工具\"，而是\"具有授权的数字员工\"

如果传统上你给一个实习生一张门禁卡，你会跟踪它的使用并设置权限。但你现在给一个 AI 代理管理员凭据，却没有相应的审查与控制机制，这在本质上把权限授予了一个比许多人类员工更不可预测的系统。

2. 企业安全边界的重新定义

\"零信任\"原则需要进一步扩展：不只是对人的信任需要为零，对 AI 代理的信任也需要为零。系统需要假设所有代理都可能被滥用，并设计相应的控制措施。

3. 合规框架的 AI 化转型需求

Cryptobriefing 的分析点明了关键：NIST 800-171、CMMC 2.0 等框架围绕人类键盘操作而构建，却面临自主程序\"借用\"凭证执行任务的新场景。

八、最后的话

这个埃森哲承包商事件不只是\"又一次系统入侵\"。它揭示了两个令人不安的转变：

1. 权限的滥用简化到新层次：一名员工可以在两个月内，通过\"让 AI 助手代劳\"，规避掉原本可能需要多人协作、多层审批的安全控制；
2. AI 已成为绕过企业安全设计的\"特洛伊木马\"新载体：通过将权限下放给可能向第三方泄露信息的 AI 代理，原本坚固的安全边界正在悄然被凿穿。

最令人不安的，或许不是这次\"已发生\"的数据流动，而是那长达两个月的\"无人察觉\"——在此期间，如果恰巧有人访问了那个\"高危第三方网站\"，美国防部的敏感信息系统可能已经敞开了大门。

这次事件的核心教训或许是：在考虑让 AI 帮你工作前，先想清楚，AI 会不会帮你把大门钥匙，也一并\"自动化\"地交给了别人。

参考资料

1. WIRED：《A Defense Contractor Gave Their Personal AI Agent Access to a Secure Pentagon System》
2. CDO Magazine：《Defense Contractor Gave Personal AI Agent Access to Pentagon System》
3. Cryptobriefing：《Accenture employee's AI agent accessed secure DOD network for about two months》
4. Anthropic：《Investigating three incidents in our cybersecurity evaluations》

• END -

感谢阅读，如果觉得还不错的话，动动手指给个三连吧～