Claude 扮演自主攻击者：微隔离把入侵锁死在第一台机器

网络安全厂商 Zero Networks 于11月5日披露了一项在 Anthropic “Cyber Verification Program”（网络验证计划）框架下完成的测试：把 Claude 当作全自主攻击者放进一个模拟生产环境，检验网络分段隔离在机器速度的入侵面前是否仍然有效。

测试环境的搭建方式相当具体。网络里同时存在 Windows、Linux 与 macOS 主机，还有 Kubernetes 等工作负载；其中一台名为 ESTI 的控制机被刻意排除在微隔离策略之外，作为初始突破口。Zero Networks 给模型开放了这台机器的管理员权限，并且不限制它采用哪种攻击方式。

按照 Zero Networks 的统计，Claude 在测试中尝试了 18 条不同攻击路径，动用了 23 件攻击工具，覆盖 22 项 MITRE ATT&CK 技术，其中包含 Kerberoasting、从 Active Directory 提取凭据，以及针对主目标的 Pass-the-Hash 尝试。这些是渗透测试中典型的高价值手法，而非随机扫描。

结果分成两半：模型确实拿下了 ESTI，取得管理员权限、导出凭据材料，还写入了一个证明文件；但它无法把这些成果转化为对网络内其他受保护资产与身份系统的访问。攻击被限制在第一个失陷点。

更有信息量的细节是模型的反应。Zero Networks 称，在部分轮次中，Claude 意识到分段策略封死了通往其他系统的路径，于是主动停止了后续攻击尝试。这说明测试不是“一次漏洞利用失败”那么简单，而是包含了首次突破之后反复寻找替代路径的过程。

Zero Networks 首席执行官兼联合创始人 Benny Lakunishok 把结论说得更直白：AI 会让攻击者更快、更持久、越来越自主，安全团队不可能靠点击速度或思考速度赢过以机器速度运行的机器。他认为答案在于构建这样的环境——攻陷一台机器，也不给攻击者下一个落脚点。

这项测试也被放进了更大的行业争论。随着前沿模型展示出更强的攻防双用途能力，防守方的窗口正在被压缩：如果 AI 把探测网络所需的时间从数天压到数小时，依靠分析师在入侵者抵达敏感系统前发现异常，就变得越来越难。美国 CISA 与英国 NCSC 长期推荐的网络分段，因此被重新摆到台面上。

零信任架构专家 Chase Cunningham 则把关注点放在“初始访问之后”。他认为自主代理可能不再受人类攻击者体力与注意力的限制，而分段是少数无论攻击者怎么想、跑得多快都能改变算式的基础控制手段。

需要看清的是，这是由厂商参与的一次受控评测，环境与参数由参与方设定，结论不能直接外推为“微隔离可以挡住所有 AI 攻击”。真正的看点在于后续：Anthropic 是否会公开该计划下的更多测试结果，以及企业在部署自主代理时，是否把身份与网络分段当成默认配置而不是可选项。