2026-11-02 15:00:48 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

不是黑客，却更棘手：Claude Agent在五角大楼网络潜伏两月，凭证与网络地图疑外泄

原创

网空闲话
网空闲话

网空闲话plus

2026年11月2日 07:15
北京

去阅读

据WIRED 10月29日报道、TNW 10月31日转述，美国国防承包商埃森哲（Accenture）一名员工将个人Claude Code账户接入一个供多家情报机构使用的敏感国防系统，其AI代理在五角大楼非密网络NIPRNet上运行约两个月，直到被识别并修补漏洞。报道援引消息人士称，该代理疑将登录凭证、密码和NIPRNet网络地图发送至一个高风险第三方网站。埃森哲称相关指控经“彻底、独立调查”后被认定“毫无根据”，美国国防部则表示不评论其网络或系统状态。TNW明确称未独立核实WIRED报道。所谓“潜入”，材料显示并非外部黑客成功突破，而是个人AI代理在敏感环境中长时间非受控运行[1][2]。

一、事件经过：个人账户接入敏感系统，代理运行约两个月

事件核心是一个含“受控非密信息”（CUI）的集中式系统。CUI虽属非密，但被视为敏感信息，未经审查不得公开，可能涉及关键基础设施、核潜艇推进、化学与生物恐怖主义脆弱性等内容；国防部网站还列举爆炸物、危险化学品或管道防护，军事或太空设备技术设计，以及放射性物质确切位置和数量等。该系统由多家情报机构使用，运行在NIPRNet上。NIPRNet用于国防部非密信息，虽连接互联网、可供用户收发邮件和浏览网页，但安全防护严格。WIRED称，访问该系统可能为进一步利用更敏感系统提供条件[1]。

据消息人士，涉事埃森哲员工为自动化写代码和启动云服务器，将自己的登录凭证交给Claude代理。代理因此获得管理员权限，绕过正常登录流程中的安全控制；它不仅编写代码，还代表员工将代码提交或保存进系统。由于执行任务需要连接互联网，代理似乎把员工登录凭证、口令以及NIPRNet网络地图发送到了一个第三方网站。WIRED拒绝披露该网站名称，以保护系统免遭进一步脆弱性利用；但称美国国家标准与技术研究院（NIST）此前已将其列为高风险，因其存在可让黑客向AI编码代理注入指令、进而窃取凭证的漏洞。该代理在国防部网络上运行约两个月后才被发现，相关漏洞随后得以修补[1][2]。

二、目的与风险链：效率工具如何越过安全边界

从材料看，涉事员工的目的并非直接攻击系统，而是借助Claude代理自动化编写、部署代码和配置云服务器，提高工作效率。WIRED编辑在播客中表示，没有迹象显示存在黑客攻击企图，“我们不知道当时有任何恶意行为”。但问题在于，个人Claude账户、管理员级凭证、敏感网络和外部互联网连接被组合在一起，形成了一条绕过正常安全控制的非受控通道。Anthropic的使用政策明确禁止利用其产品“干扰军事基地及相关基础设施的运行”，或“未经授权绕过认证系统、端点保护或监控工具等安全控制”[1][2]。

风险并不因信息“非密”而消失。消息人士称，若第三方软件被攻破，“可能有人在无人知晓的情况下登录安全环境”，这是“百分之百的国家安全威胁”，可能造成“不可弥补的损害”。专家还指出，单条CUI或许不敏感，但聚合后可能构成机密信息；网络地图本身虽未必能直接入侵系统，却可帮助攻击者理解系统结构、快速定位“皇冠上的明珠”。更严重的是，NIPRNet常被用于在部署到SIPRNet、JWICS等涉密网络前测试工具和代码。前者是军事保密网络，后者是绝密内网，均采用气隙隔离。前NSA黑客Jake Williams称，代码完全可能在NIPRNet中正常运行，却在SIPRNet中执行恶意且未披露的行为，“这百分之百可能”。被泄露的凭证还可能让攻击者进入NIPRNet并植入后门；虽然从气隙网络外泄数据困难，但恶意代码可从内部攻击系统，最可能的形式之一是分布式拒绝服务攻击[1][2]。

三、处置、回应与报告争议

就处置效果而言，材料显示漏洞已被识别并修补，且没有迹象表明黑客进入了机密或绝密系统。但信息外泄后的去向并不清楚。消息人士称，目前无法了解包括登录凭证在内的信息发送至第三方服务后发生了什么、是否被保留。埃森哲表示，这些指控经过“彻底、独立调查”并被认定“毫无根据”，公司“完全遵守法律和合同义务”；但WIRED称，埃森哲未说明调查由谁进行，也未否认存在可被描述为“事件”的情况。国防部发言人仅表示不评论网络或系统状态。Anthropic则向WIRED指向其使用政策[1][2]。

报道还称，国防部员工和联邦承包商须在发现网络安全事件后72小时内报告，但消息人士称埃森哲最初根本没有向政府报告，且员工未将事件视为严重或紧急。这一说法与埃森哲的否认形成张力。WIRED称Claude目前被禁止供国防部人员使用；TNW补充称，此前该部门已将Anthropic列为供应链风险。另据WIRED，埃森哲与联邦政府合同超过35亿美元，其中近6.05亿美元来自国防部，还涉及教育部、总务管理局、能源部等；本月早些时候，FBI发现另一名埃森哲承包商未修补漏洞，导致黑客组织ShinyHunters获取数千名FBI员工信息，FBI已于10月初移除该承包商。TNW还援引404 Media报道称，埃森哲将员工Claude使用支出限制在每月29美元[1][2]。

四、评论与未来影响：技术、治理与审查三重缺口

Hunter Strategy创始人Matt Triner指出，承包商常因报告事件而受罚，尽管报告是正确且合法的；承认安全漏洞可能失去政府合同，但此类事件“绝对需要报告”。他还认为，承包商面临更快、更低成本交付的压力，与安全优先存在冲突，“AI之前就有竞争规则和激励，现在只是把同样问题带到了速度上”。他还称，即便只是拖慢情报行动，也可能造成损害并让用户对工具失去信任，即使问题后来修复。Williams称，AI代理在NIPRNet运行是“巨大问题”，有“巨大国家安全影响”；使用代理时，人们不知道代码的供应链甚至推理链，而大模型训练代码本身可能脆弱，会复现架构缺陷。静态应用安全测试（SAST）可扫描漏洞，但黑客植入的“后门不是漏洞”，可能逃过检测，SAST通常也不识别代码生成逻辑链中的结构性问题[1]。

WIRED编辑在10月30日播客中评论称，这类事件“我们此前没见过”，属于“不可原谅”，且预计不会是个案。WIRED还回顾去年ProPublica披露微软在联邦项目中用持安全许可的美国员工作“数字护送”监督中国外包代码，专家称美方员工常无法自行审查代码。

未来影响集中在三方面：一是AI编码代理进入敏感环境后，凭证管理、网络出口和权限控制必须重新设计；二是AI生成代码数量远超人工审查能力，供应链与推理链透明度不足，传统SAST难以覆盖；三是承包商报告激励与合同压力可能继续制造迟报、少报风险。后续仍需观察：埃森哲调查结论缺乏细节，国防部未置评，第三方网站是否保留凭证未知，相关漏洞修补能否消除长期风险也难验证。可以确定的是，这起事件已成为AI代理治理、承包商监管和国防网络安全交叉地带的一次高调警示：真正危险的不只是“黑客潜入”，更是合法工具在敏感网络中越过边界却长期未被察觉[1][2]。

参考文献

[1] Elliott, Vittoria. A Defense Contractor Gave Their Personal AI Agent Access to a Secure Pentagon System[EB/OL]. WIRED, (2026-10-29，据TNW报道日期)[2026-11-01].https://www.wired.com/story/a-defense-contractor-gave-their-personal-ai-agent-access-to-a-secure-pentagon-system/.