Anthropic 用的行政与销售软件成了智能体的入口

一家安全初创公司的 AI 智能体，从外购的行政与销售软件走进了 Anthropic 的内部系统；Anthropic 认可入口，却说对方没有守住测试规则。据 Decrypt 转述《华盛顿邮报》10 月 26 日的报道，Cathedral 运行智能体不到 12 小时就找到了进入路径。

双方都认可入口和用时，分歧在拿到了什么，以及测试守没守规则。这件事要追问两层：接进公司的第三方软件出了漏洞由谁负责，授权测试走到多深才算越界。眼下两层都还没有答案。

12 小时、三类系统：双方都认的部分

据 Decrypt 和 Cyber Security News 的报道，两边都承认的事实有这几条：

• 测试是在 Anthropic 邀请外部研究者找漏洞的计划下做的，属于授权测试，不是犯罪攻击；
• 入口是 Anthropic 和许多公司都在用的第三方行政与销售软件，没有经过 Claude，也没有利用 Anthropic 自己的代码；
• Anthropic 确认对方进入了有限的一组销售、人事和 IT 系统，里面有部分客户与合作方的商务联系方式，以及基础的账户记录。

Anthropic 说，客户与 Claude 的对话、Claude 的回答、源代码和模型权重都没有被接触。它还说，自己的监控在 Cathedral 报告之前就标记了部分活动，当天切断了访问，并停用相关软件，直到供应商确认修好。

Anthropic 说对方没有交代全部活动

对「拿到了什么」，两边的描述不一样。据 Decrypt 转述，Cathedral 的报告草稿写的是会议记录、薪酬与录用信息，以及讨论先进模型的 Slack 消息；Anthropic 的说法只到商务联系方式和账户记录。

Anthropic 还说了两点：Cathedral 夸大了这件事对国家安全的含义，而且没有如实交代自己在系统里的全部活动。Cathedral 的草稿则写，数据访问按安全研究惯例保持在绝对最低。

这两点正好对着 Anthropic 公开的规则。它挂在 HackerOne 上的漏洞赏金计划要求研究者：

• 利用漏洞不超出证明漏洞存在所需的最低限度，避免接触可能读到的数据；
• 不接触通讯内容，除非是无意的；
• 无意中接触了数据，要在报告里交代，并且不得留存。

分歧的焦点是 Cathedral 有没有守住「最少必要」和「如实报告」这两条。哪一方的说法成立，要等 Cathedral 公开正式报告，或者 Anthropic 给出更细的记录。

有人会说，规则之争是枝节，12 小时能走到薪酬和内部讨论才是要追责的事。我们接受这一点的分量；但在双方各执一词时，规则是唯一能拿来核对的书面依据，它决定这次算授权测试的发现，还是越界取数。

供应商没有点名，报告已在华盛顿流传

还有两处没说清。第一处是供应商。报道没有点名是哪几家的哪些产品，也没有说其他用同款软件的公司是否受影响。

规则本身也有空当。Anthropic 官网的披露政策（2025 年 2 月 14 日版）写明，政策不覆盖第三方拥有或控制的系统，即使挂在 Anthropic 的域名下。赏金计划则写着，由 Anthropic 协调、第三方修好的漏洞，奖励由它酌情决定。

两份文件都没有说研究者能否顺着第三方软件往里测；报道也只说测试在 Anthropic 的外部研究者计划下进行，没说适用哪一份，还是双方另有约定。供应商软件在授权测试里处在灰色地带，这是分析推断，依据是上面两份文件的原文。

第二处是报告的去向。据 Decrypt，一位不具名的特朗普政府高级官员说，这份报告已在政府内部流传。赏金计划要求研究者在拿到 Anthropic 书面确认前，不向第三方或公众透露漏洞的存在和细节。报告流传前有没有得到这份确认，双方都没有说。

据 Cyber Security News，Cathedral 由四名前美国政府效率部（DOGE）成员创办，7 月融资 1.6 亿美元、估值 14 亿美元；一位政府高级官员对《华盛顿邮报》说，已有三家联邦机构与它签约。这让它既是测试方，也是政府的供应商。

下一个可核对的节点，是 Cathedral 公开正式报告，以及受影响的供应商是否发布修复公告。哪份规则适用、报告有没有提前外传，要等那时才能对照。