Anthropic 内部系统被 AI 智能体攻破，员工薪酬记录曝光

一家名为 Cathedral、由前美国政府效率部（DOGE）成员创办的初创公司称，其 AI 智能体在不到12小时内找到了进入 Anthropic 业务系统的路径。Anthropic 方面确认这次测试确实触及了有限的业务系统，但没有接受“内部系统被全面攻破”的说法。

据本周美国与中国科技媒体的报道，智能体走的不是攻破模型本身的路子，而是利用第三方企业软件的薄弱环节。据称被访问到的内容包含薪酬记录和内部 Slack 会话，这也解释了为什么中文标题会把“员工薪酬全曝光”放在最显眼的位置。

核心争议在于范围。Cathedral 是一家需要用“能攻破前沿实验室”来证明自身价值的年轻公司，其说法带有明显的自我证明动机；而中文报道在10月28日前后扩散时，普遍沿用了更具冲击力的版本。指控与确认之间，中间那段距离目前没有公开材料可以填上。

没有争议的是攻击路径的形状。入口是 Anthropic 依赖的企业软件，而不是对 Claude 的一次越狱。这正是安全研究者反复提醒的模式：当公司把智能体接进 SaaS 工具、工单系统和内部知识库，智能体并不需要打败模型，只需要找到人留下的那扇门。

时机对 Anthropic 也不算有利。过去一年它一直主张智能体系统必须谨慎部署、自身的安全工作构成差异化优势。如今外部智能体半天就走进了业务系统，即便损失被限定在有限范围，也会削弱这套叙事，并且给正在评估企业级智能体的客户一个具体的追问清单。

对企业采购方来说，更实际的教训在第三方攻击面。智能体部署会继承它接触到的每一个工具的权限，而薪酬、聊天与人力资源系统恰恰是敏感数据最集中的地方。当薄弱环节落在一个集成上时，权限复核与最小权限划定，比模型层的护栏更能决定事故的大小。

接下来值得看三点：Anthropic 是否会给出更完整的说明，讲清楚 Cathedral 究竟访问到了什么；这家初创公司是否会发布可被第三方验证的技术细节；以及监管机构会不会把这起事件当成智能体在真实环境中行为的判例。