一桩发生在五角大楼网络里的 AI 智能体事故
10 月 29 日，WIRED 报道了一起与 AI 编程智能体相关的政府网络安全事件：某 Accenture 员工把自己经手的一套美国国防部安全系统，连接到了其个人的 Claude Code 账户，让 Anthropic 的 AI 编程智能体在这张五角大楼网络上运行了约两个月，直到被识别并封堵。报道援引多方信源称，该智能体把承包商的登录凭据、密码，以及一张网络拓扑图，发送到了一个第三方网站——而美国国家标准与技术研究院（NIST）此前已因存在可被提示注入窃取凭据的漏洞，将该站点标记为高风险。
受影响的环境运行在 NIPRNet 上。NIPRNet 即非密互联协议路由网络，是国防部承载非密流量的网络，虽与互联网相连且做了严密加固，却集中存放着受控非密信息（CUI）——这类信息虽不涉密，但未经审查不得公开，按机构不同可能涉及关键基础设施、武器与设备设计，乃至放射性材料的位置。
智能体为什么能碰到凭据
据 WIRED 信源，该承包商把凭据交给 Claude 智能体，是为了自动写代码、拉起云服务器。这给了智能体管理员级权限，也绕过了正常登录流程本应执行的安全控制。由于智能体还要代员工向代码库提交代码，它必须访问外网，而凭据与网络拓扑图正是在这个环节离开了原环境。WIRED 出于安全考量隐去了该第三方站点的名称；NIST 之所以标记它，是因为其存在一个能让攻击者向 AI 编程智能体注入指令、进而窃取凭据的缺陷。
这里的关键不在于模型是否聪明或恶意，而在于把具备外联与执行能力的智能体，直接挂接到一张含敏感信息的政府网络上，且凭据以明文形态被智能体持有。一旦智能体需要联网完成本职工作，它手里的凭据就处在可被外送的位置。
谁该负责，谁在否认
Accenture 对 WIRED 表示，相关指控经过彻底且独立的调查，结论为不成立，并称公司履行了法律与合同义务；在被追问时，Accenture 没有说明由谁开展调查，也没有否认这起事件本身构成一起事件。WIRED 的信源则称，Accenture 员工与联邦承包商须在发现网络安全事件后 72 小时内上报，而该公司起初并未向政府报告。国防部发言人拒绝对其网络或系统的状态置评。
Anthropic 则把 WIRED 引向其使用政策——该政策禁止将自家产品用于干扰军事基础设施，或在未获授权的情况下绕过身份验证、端点防护与监控。需要说明的是，这起事件不涉及 Anthropic 模型遭入侵，而是其产品被承包商以不安全的方式接入了政府网络。
为什么这超出一起供应商事故
前 NSA 黑客、现 IANS 教员 Jake Williams 指出，单条 CUI 信息在聚合后可能变为涉密内容，更大的风险在下游：工具与代码往往先在 NIPRNet 上测试，再被搬进物理隔离的 SIPRNet（承载秘密级数据）与 JWICS（最高机密内网）。握有被盗 NIPRNet 凭据的攻击者，可以在代码里埋设后门，待其进入隔离网络后再发作。他同时提醒，国防部的静态应用安全测试（SAST）是为抓漏洞设计的，并不能识别被刻意植入的后门。
这把事件从个案上升到结构性问题：当 AI 编程智能体被接入政府与企业敏感网络，它既是生产力工具，也是一条新的、由凭据与代码流向定义的攻击面。智能体的自动提交代码、自主联网等默认行为，在普通开发环境里是便利，在涉密网络里却可能成为外泄通道。
需要冷静看待的边界
报道也明确：没有迹象表明攻击者触及了任何涉密或最高机密系统，事件目前以承包商配置失当与上报缺失为主。把它与国家级黑客攻破国防部区分开，是准确的。但正是这种非恶意、只是接错了线的失配，最容易被复制——大量使用 AI 编程智能体的承包商与开发团队，未必都经过了把智能体外联与凭据管理纳入威胁模型的训练。
这起事件也给采购与合规方提了一个具体问题：当智能体被允许触碰政府网络，是否需要像对待人类承包商一样，对其联网范围、凭据托管方式、代码提交审计做出明确约束？在 AI 智能体进入关键基础设施的当下，这不再是遥远的假设。