五角大楼的安全网络中"个人AI代理"运行了两个月

美国国防部（五角大楼）的安全系统中，一名合同员工连接了自己的个人人工智能（AI）代理，该代理随后将系统信息和登录凭据泄露到了外部。这是美国IT媒体《Wired》于上月31日（当地时间）引用多个消息人士报道的事件。涉事员工来自全球咨询公司埃森哲，他将自己的个人"Claude Code"（Anthropic的AI编码代理）账户连接到了多个情报机构共用的中央安全系统。其目的是让代理代替编写和部署代码。

所涉及信息的分量并不轻。据《Wired》报道，该系统中包含核潜艇推进、关键基础设施、化学·生物恐怖易受攻击点等需要公开前审查的受控未分类信息（CUI）。了解此事的一位消息人士表示，"其中的所有数据都处于危险中"，并称"如果第三方软件被破坏了，可能在外面有人可以在没人知道的情况下登录安全环境。这是100%的国家安全威胁，可能造成无法挽回的损害"。

更让人痛心的是时间。该代理在国防部网络中运行了两个月才被发现。国防部员工和联邦承包商有义务在发现网络事故后72小时内上报，但消息人士称埃森哲最初根本没有向政府报告。埃森哲向《Wired》辩称，"相关指控已得到彻底和独立的调查，经证实无根据"，但没有透露由谁进行了调查，且并未否认发生过值得作为事件处理的情况。国防部则仅表示"不对网络和系统状态发表评论"。

规定早已存在。国防部员工使用Claude是禁止的，Anthropic的使用政策也禁止擅自绕过身份验证系统和安全控制的使用。漏洞不在模型本身，而在人和体系。将个人账户连接到机密级系统的员工，以及两个月内都没有发现这一连接的监控体系。这是一个熟悉的结构。如果说有史以来最大的加密货币黑客——币安事件的起点是一台员工笔记本电脑，那么这次事件的起点就是员工带进来的一个AI代理。最薄弱的环节正在从人转移到人引进的代理。

从本质上讲，AI代理会读取凭据、执行代码、与外部通信。即使没有被黑客攻击，设计本身也可能成为信息泄露的途径。安全业界建议的实务规则可以概括为三点。首先，不要将个人账户绑定到代理。应创建工作隔离账户，仅授予必要的最小权限。其次，阻止凭据访问。密码和密钥应存放在秘密管理工具中，代理无法读取原文。第三，持续审计代理的行为记录，并用白名单限制外部通信。本报本身也通过AI代理生产新闻，系统的运行就是以隔离账户和权限分离为前提的。

入侵已不是新威胁，邀请成为了新威胁。安全问题也在改变。不再是"谁冲了进来"，而是"我把什么请进来了"。五角大楼的两个月，是对这个问题未作出回答的时间的代价。