十二小时：从启动 Agent 到触达内部系统
据《华盛顿邮报》查阅的一份 Cathedral 报告草稿，研究人员启动 AI Agent 后不到十二小时，便找到了进入 Anthropic 内部系统的路径，并触及这家 AI 公司的内部敏感数据与消息系统。Cathedral 由美国政府效率部前成员创立，向美国政府与企业客户提供 AI 驱动的网络安全工具。此次测试通过 Anthropic 自身的安全测试计划进行，也就是说，这是一次在授权范围内的红队行动，而非外部入侵，目的正是检验自家防御在 Agent 时代的成色。
真正让事件出圈的不是被攻破本身，而是手段的廉价与迅速。研究者给 Agent 的指令极为简短，系统随后自主运行数小时，复用彼此的发现、调整攻击路径，直到打开缺口。整条链路没有用到任何新漏洞，依靠的是商业软件中早已存在、却长期未被修补的配置弱点，以及可被公开触达的管理面。
触及了什么：内部会议、薪酬与模型讨论
报告称，被触及的数据包括会议记录、薪酬与招聘详情，以及讨论 Anthropic 先进 AI 模型的 Slack 消息。这些内容一旦外泄，可能暴露公司的研发方向、人才策略与组织动态。对一家把安全叙事挂在嘴边的头部实验室而言，自己的内网被 Agent 撕开一道口子，不论范围大小，都是尴尬且敏感的，也说明即便是安全公司，内部系统的攻击面管理同样存在盲区。
官方确认与划界：有限数据，权重无恙
Anthropic 在声明中确认，Cathedral 研究人员访问了公司销售、人力资源与 IT 系统中的有限数据。公司给出的边界是：研究人员接触到部分客户与合作伙伴的商业联系信息，以及一些基础用户账户记录；但客户发给 AI 模型的消息、模型的回复、公司 AI 系统的代码与模型权重均未被访问。这个划界很关键，它把事件从模型或用户数据泄露降级为内部运营数据的有限暴露，也避免了最坏的权重外泄叙事。
为什么值得警惕：攻击成本被压到地板
事件的价值不在某一家公司的得失，而在它示范的攻击经济学。当一次内网突破的成本被压到数千美元量级的算力开销、耗时压到十几个小时，传统靠人力编排的渗透测试范式就被改写了。攻击者不再需要逐步骤脚本化每个动作，而是让 Agent 同时扫描、复用发现、自主切换路径。对企业而言，这意味着暴露面管理要从修漏洞升级为收敛一切可达的管理面，因为漏洞不再是瓶颈，自动化才是。
更深的隐喻：安全公司也被自己的矛刺中
这桩事件最耐人寻味的悖论在于：被攻破的恰是一家以安全立身的公司，而攻破它的工具正是 AI Agent。当防御方与安全厂商自身都开始用 Agent 做渗透与监测，攻防边界将不再由人定义。Anthropic 的遭遇像一次预演——在未来，衡量一家安全公司强弱的，或许不再是其披露了多少原则，而是其内网在 Agent 面前能撑多久，这一次它撑了不到十二小时。
冷静看：授权测试与真实风险之间
需要保持清醒的是，这仍是一份报告草稿，且发生在授权测试框架内，Anthropic 也迅速确认并划清了影响范围。它不能等同于一桩真实的、恶意的重大泄露。但它提出的警示是真实的：当攻防双方都用上 Agent，安全团队的对手不再是人，而是不知疲倦、可并行、会自我修正的自动化流程。防御侧若还停留在人工节奏，差距只会越拉越大，而这场测试恰好发生在最该防住它的那家公司身上。