埃森哲承包商将个人 Claude Code 账号接入五角大楼系统，导致凭据外泄

今年早些时候，多名消息人士向《连线》透露，一名承包商将多个情报机构共用的一个安全集中系统接入其个人的 Claude Code 账号，从而在国防部引发了一起安全事件。Claude Code 是 Anthropic 公司的人工智能编程智能体。这名承包商受雇于全球咨询公司埃森哲（Accenture），据称其使用的智能体随后将该国防部系统的相关信息（包括登录凭据）发送到了一个高风险第三方网站。

该集中系统存有受控非机密信息（CUI），此类信息被视为敏感信息，未经审查不得向公众发布。CUI 可能包括有关关键基础设施、核潜艇推进系统以及化学和生物恐怖主义脆弱性的信息。此外，安全专家表示，获得该系统的访问权限还可能使更敏感的系统遭到利用。

“这让其中存储的所有数据都处于风险之中，”一位了解该事件的消息人士说，该人士因未获授权向媒体发言而要求匿名。如果该第三方软件遭到入侵，“可能有人能够登录一个安全环境而无人知晓。这百分之百是国家安全隐患，可能造成不可挽回的损害。”

国防部一位发言人向《连线》表示，“国防部不对其网络或系统的状态发表评论。”

“我们严肃对待所有关切。这些指控经过了彻底且独立的调查，并被认定毫无依据。我们完全遵守了我们的法律和合同义务，”埃森哲一位发言人向《连线》表示。在被追问时，埃森哲没有说明是谁开展了这项调查，也没有否认曾发生过可被定性为事件的情况。

据称，这名埃森哲员工将一个安全的生产环境接入其个人 Claude 账号，以便让一个人工智能智能体编写和部署代码。Claude 目前被禁止供国防部工作人员使用。（Anthropic 让《连线》参考该公司的使用政策，该政策指示用户不得利用其产品“干扰军事基地及相关基础设施的运行”，也不得“未经授权绕过身份验证系统、端点保护或监控工具等安全控制措施”。）

这名埃森哲员工的人工智能智能体在国防部网络上运行了两个月，才被发现并修补该漏洞。消息人士表示，尽管该人工智能编程智能体构成了安全风险，埃森哲员工并未将该事件视为严重或紧急事件。国防部员工和联邦承包商须在发现任何网络安全事件后 72 小时内上报，但消息人士表示，埃森哲最初根本没有向政府报告此次入侵。

“我们目前正与伊朗处于冲突之中，”该员工说，并指出伊朗曾试图入侵多个联邦机构和美国部分基础设施。“现在是最不该抱有这种漫不经心态度的时候。”

有线索提供？

你是现任或前任政府雇员，想谈谈正在发生的事情吗？我们愿意听取你的说法。请使用非工作电话或电脑，通过 Signal 安全联系记者，号码为 velliott88.18。

埃森哲目前与联邦政府签订的合同金额超过 35 亿美元，其中近 6.05 亿美元来自国防部。该公司还与其他联邦机构签约，例如教育部、总务管理局和能源部等。本月早些时候，联邦调查局发现，埃森哲一名承包商未能修补一个漏洞，导致黑客组织 ShinyHunters 获取了该局数千名员工的详细信息。联邦调查局已于 10 月初将该承包商移除。

总部位于华盛顿特区的 IT 咨询公司 Hunter Strategy 创始人马特·特里纳（Matt Triner）表示，这一问题体现了政府承包商在更广泛层面上面临的相互冲突的要求。“组织常常因为报告这类事件而受到惩罚，尽管这样做是正确且合法的，”特里纳说。他表示，在许多情况下，公司可能因为承认发生过安全漏洞而失去政府合同，不过他说，像所描述的这类事件“绝对属于需要上报的事件”。

特里纳还指出，承包商面临越来越大的压力，要求他们以更快的速度和更低的价格交付项目，这与优先考虑安全与保障相矛盾。“不幸的是，每个人都身处一个规则和激励相互冲突的体系中，这种情况在人工智能出现之前就已存在，但现在同样的问题又出现在速度上，”特里纳说。

埃森哲承包商所访问的编程环境运行在非机密互联网协议路由器网络（NIPRNet）上，这是国防部用于非机密信息的网络。虽然它确实连接互联网——承包商和员工可以通过该网络访问电子邮件和网页浏览器——但它受到严密保护。

据消息人士称，为了实现编写代码和启动云服务器的流程自动化，该承包商将其登录凭据交给了Claude智能体。这赋予了该智能体管理员权限，并使其能够绕过通过正常登录流程实施的安全控制。该AI智能体不仅代表埃森哲员工编写代码，还代表其提交代码或将代码保存到系统中，它需要连接互联网来执行任务。在此过程中，它似乎将该承包商的登录凭据、密码以及一张NIPRNet网络拓扑图发送到了一个第三方网站。

《连线》拒绝透露该第三方网站的名称，以保护该系统免遭进一步暴露的漏洞，但美国国家标准与技术研究院此前已将其列为高风险，因为它存在一个漏洞，可能让黑客向AI编程智能体注入指令以窃取凭据。

该AI智能体所访问的系统包含CUI。“来自CUI环境的信息本不应离开该基础设施，”消息人士说。“对于这些信息（包括登录凭据）在被发送到[该服务]之后发生了什么，是否被留存，目前没有任何了解。”

视机构和其工作内容而定，CUI可以包括从个人可识别信息到专有商业或合同信息的一切内容。根据国防部网站的说法，CUI可以包括关于“爆炸物、危险化学品或管道的安保与防护”的信息、与“军事或太空设备或技术”设计相关的文件，以及“放射性材料的精确位置和数量”。

与实际数据不同，一张数据拓扑图对黑客来说可能极具价值。“一旦攻击者理解了这些东西如何相互关联，即使这些东西是公开信息，敏感之处在于我们如何将这些信息组合起来并将其转化为可付诸行动的情报，”特里纳说。

他说，虽然一张拓扑图可能无法让黑客进入系统，但它可以帮助对手在一旦获得访问权限后更快行动，并“帮助攻击者了解核心资产在哪里”。

前美国国家安全局黑客、情报与安全咨询公司IANS的教员杰克·威廉姆斯表示，一个在NIPRNet中运行代码的AI智能体构成了“巨大的问题，并且具有巨大的国家安全影响”。

威廉姆斯指出，虽然单个数据或信息片段可能被视为CUI，“但当这些非机密信息被聚合起来时，它本身就可能变成机密。”例如，某些危险材料的位置可能是CUI，关于存放这些材料的设施脆弱性的信息也可能是CUI。然而，将它们组合起来，就可能泄露本应被列为机密的信息。

但这并不是机密信息可能被置于风险之中的唯一方式。工具和代码经常先在NIPRNet中测试，然后才部署到更敏感的系统，例如保密互联网协议路由器网络（SIPRNet）——军方用于机密信息的安全网络，以及联合全球情报通信系统（JWICS）——用于绝密信息的安全内联网。SIPRNet和JWICS都是物理隔离的，这种安全措施意味着它们不与任何外部网络连接。在实际层面上，这意味着黑客极难远程访问SIPRNet和JWICS。

但是，凭借被AI智能体外泄的登录凭据，黑客可以访问NIPRNet，并将后门或其他恶意代码植入某个工具或系统。如果没有经过适当审查，这段代码最终可能被部署到某个物理隔离系统中。

“这段代码可以在NIPR中完全正常运行，却在SIPR网络中做出某些恶意且未披露的事情，这百分之百可能，”威廉姆斯说。他补充说，从这些网络中窃取数据会很困难，但恶意代码可以被用来从内部攻击系统。“我认为最可能的情况是某种分布式拒绝服务攻击，”他说。

特里纳表示，即便是更隐蔽的事情，比如拖慢情报行动和活动，也可能造成损害，并让用户对某个工具失去信任，即使问题后来被修复也是如此。

随着氛围编程（即提示AI助手为工程师描述的产品编写代码）变得越来越普遍，审查代码正变得越来越具有挑战性。AI能够以远超人类生产力的规模生成代码，这使得审查既耗时又困难。

“当你使用智能体时，你完全不知道供应链，甚至不知道最终生成代码的推理链是什么，”威廉姆斯说。“这些大语言模型训练所用的大量代码本身就有漏洞，它们可能 regurgitate 我们在其他代码中看到的同类架构和架构问题。”

政府确实有办法识别NIPRNet中的缺陷代码。静态应用安全测试（SAST）会在代码运行前扫描其中的漏洞和缺陷。但威廉姆斯指出，黑客植入的“后门并不是漏洞，即便我们可能不希望它存在”，因此很可能逃过SAST的检测。SAST通常也无法识别代码创建逻辑链中的结构性问题。

没有迹象表明黑客能够进入机密或绝密系统。尽管如此，威廉姆斯表示，这一事件应引起重大警觉。“从架构上看，任何你无法通过开源情报获取的关于NIPR的信息，国防部都视为严格保密，无论相关内容是否涉及机密网络，”他说。

这并非国防部第一次因AI相关问题而变得脆弱。去年，ProPublica披露微软在其与联邦政府的项目中使用了“数字护送”，即由拥有安全许可的美国员工监督中国外包人员编写的代码。接受ProPublica采访的专家表示，该计划带来了特殊的安全风险，因为美国员工往往无法自行审查代码，从而为恶意代码在不知情的情况下被植入政府系统留下了可乘之机。

直达你的收件箱：与凯蒂·德拉蒙德一起走进《连线》新闻编辑部

他们推演了遮暗太阳的情景——结果比你想象的更糟

重磅访谈：内森·菲尔德向我们讲述一切

实时追踪：埃隆·马斯克的美国政治行动委员会正在中期选举上大举支出