前 DOGE 成员创办的 Cathedral 用 AI 智能体摸进 Anthropic 内部业务系统：12 小时触达薪资、会议记录与模型讨论
前 DOGE 成员创办的 Cathedral 称其 AI 智能体摸进 Anthropic 内部业务系统；Anthropic 确认访问，但称模型权重未被触及。
Cathedral 是一家成立数月、主打 AI 智能体安全测试的美国网络安全初创公司，由四名前 DOGE（政府效率部）成员创办。据《华盛顿邮报》10 月 26 日独家报道，该公司在一次授权测试中发现：其 AI 智能体绕过 Anthropic 的软件本身，从第三方业务应用下手，据其草稿报告称不到 12 小时就找到了通往内部销售、HR 与 IT 系统的路径，触达员工薪资、录用意向书、会议记录，以及讨论 Anthropic 高级模型的 Slack 频道。Anthropic 确认了这批研究者访问了有限的 sales、HR 与 IT 系统，并表示客户对话、源代码与模型权重未被触及——但这场围绕「智能体+企业软件」暴露面的争执，本身已经足够所有做 SaaS 集成的团队重新审视自己的权限边界。
要点
- 入口不在模型：智能体攻击的是第三方行政、HR、销售软件的漏洞，Claude 本身、客户提示词与模型权重均未被触达（Anthropic 声明）
- 12 小时之争：Cathedral 草稿报告称「不到 12 小时」找到路径；Anthropic 确认了访问，但从未背书这个计时
- 规则之争：Anthropic 称监测系统在 Cathedral 报告前已标记部分活动，同日切断访问，并指其未完全遵守披露计划规则
背景
这批创始人来头不小。Cathedral 由 Gavin Kliger、Luke Farritor、Marko Elez 和 Jack Stein 四人创办，据 Gizmodo 与 CyberSecurityNews 转述《华盛顿邮报》的报道，Kliger 曾任五角大楼首席数据官，并卷入五角大楼与 Anthropic 的法律纠纷；Elez 曾因种族主义推文从 DOGE 辞职、随后被马斯克重新雇用。公司成立数月便在 2026 年 7 月完成 1.6 亿美元融资，估值 14 亿美元，投资方为 Andreessen Horowitz 与红杉资本，已有三个联邦机构与其签约。
故事还有一个前情：据 TechStartups 转述，Cathedral 的智能体先花了几天时间直接攻击 Anthropic 的软件，没有成功，随后转向第三方业务应用，这才有了 12 小时内得手的后续。据《华盛顿邮报》报道，测试在 Anthropic 面向外部的漏洞研究计划下进行，属授权测试；报告据称已在美国政府内部传阅，一名不愿具名的高级官员表示担心中国黑客会利用同类漏洞。
事实部分
两边对「发生了什么」没有分歧，分歧在范围、性质与计时。已确认的事实：
| 项目 | 内容 | 来源 |
|---|---|---|
| 入口 | 第三方行政、HR、销售与客户管理软件的漏洞 | Anthropic 声明，转引自 Gizmodo |
| 触达数据 | 部分客户与合作伙伴联系方式、基础账号记录；Cathedral 称还包括薪资、录用意向与模型讨论 | Anthropic 声明 / Cathedral 草稿报告 |
| 未触达 | Claude 客户对话与回复、源代码、模型权重 | Anthropic 声明 |
| 12 小时 | Cathedral 称找到路径不到 12 小时；Anthropic 未背书该计时 | Cathedral 草稿报告 / explainx 核对 |
| 处置 | 监测先行标记、同日切断访问、受影响软件停用待厂商修复、未发现第三方利用 | Anthropic 声明 |
| 融资 | 2026 年 7 月 1.6 亿美元，估值 14 亿美元 | Reuters，转引自 CyberSecurityNews |
需要说明：本文一手材料以 Anthropic 声明与《华盛顿邮报》的转述为主，WaPo 原文付费墙未能直接读全文，创始人名单与数据类型均经两个以上独立转述交叉印证。「不到 12 小时」的计时起点、人类干预程度、与人类红队的对照基线，目前都没有公开数据——explainx 的核对文章专门指出了这三点。
各方说法
Anthropic 的措辞很克制：「研究者触达了一组有限的销售、HR 与 IT 系统」，同时指责 Cathedral 「未完全遵守披露计划的要求」——据 Gizmodo 报道，Anthropic 认为其未披露全部测试活动；对国家安全层面的担忧则出自一名匿名政府官员，而非 Anthropic。Cathedral 的说法相反：公司称把数据访问压到研究所需的最低限度，已于本月早些时候披露发现，并通知了受影响的（未具名）厂商。
行业侧的声音指向共同教训。Cognition 的 CISO Alex Stamos 认为，这个案例暴露的是企业对第三方软件集成管理的薄弱——问题不在 Anthropic 一家，而在几乎所有企业都把销售、HR、IT 交给一堆 SaaS，而权限出口面很少被同等强度地审查。Hugging Face CEO Clément Delangue 也在 X 上发文评论此事（仅见摘要，未读全文）。社区里则有人把这件事与此前 OpenAI 训练环境红队报告、Storm-0940 供应链入侵放在一起看：智能体既是攻击者的新工具，也是防守方的新武器。
编辑判断
这件事对开发者的价值不在「Anthropic 被黑了」——它没被黑，客户数据也没丢——而在攻击面的转移。如果四名前政府雇员带着一队智能体、从第三方 SaaS 也能摸进一家以安全自居的 AI 公司，那么权限模型里每一处 OAuth 授权、每一条出站集成、每一个「只是内部用」的管理后台，都是同一类入口。LiteLLM 发布链被植入窃密器、Manus 的 Gmail 集成可被一封邮件攻击、Railway 环境变量泄露，指向的其实是同一条规律：系统之间的缝隙比系统本身更容易出事。
值得盯的后续有三个：受影响的第三方厂商是谁、Anthropic 说的「未完全遵守规则」具体指什么、以及这份报告最终版会不会改口径。还有一个诚实的保留：12 小时的数字目前只有 Cathedral 自己的草稿报告支撑，计时起点不明，读的时候要打个折扣。这类「缝隙先出事」的案例我们看过几次了：LiteLLM 发布链被植入窃密器、Manus 的 Gmail 集成可被一封邮件攻击，规律都一样——系统之间的缝隙比系统本身更容易出事。
接下来
- 等最终报告：草稿与终稿的差异会直接决定「12 小时」能不能站住
- 盯 Anthropic 的披露计划规则页：两家对规则的分歧若有下文，会更新在那里
- 关注美国国会的反应：报告已在政府内部传阅，三个联邦机构又是 Cathedral 的客户，利益相关审查可能升级