一次不寻常的“红队演练”
2026年10月26日，《华盛顿邮报》报道了一则看似矛盾却极具警示意味的消息：一家名为Cathedral的网络安全初创公司，在Anthropic官方授权的外部安全研究计划框架下，于不到12小时内成功穿透了Anthropic的部分内部系统。这不是虚构剧本，也不是长期潜伏的APT攻击，而是一次合规、透明、有明确边界的红队测试。
Cathedral团队并未攻击模型本身，也未触碰核心AI基础设施。他们瞄准的是企业日常运转中极易被忽视的“软肋”——第三方商业软件：销售管理平台、人力资源系统与IT运维工具。这些系统普遍部署在企业内网边缘，权限配置松散、补丁更新滞后、日志监控薄弱，却承载着大量高价值非技术资产：会议纪要、员工录用与薪资信息、内部协作工具中关于下一代模型的技术讨论……这些数据虽不直接关乎模型权重或用户对话，却是组织认知、人才策略与商业节奏的原始切片。
Anthropic迅速确认：客户与Claude的每一次对话、所有模型回复、源代码及模型权重均未受影响。这恰恰说明，当前大模型公司的防御重心仍高度集中于“模型层”与“数据层”的隔离保护，而对支撑整个AI组织运转的“行政层”系统，缺乏同等强度的纵深防御设计。
安全线正在从“围墙”转向“神经网络”
过去十年，企业安全建设逻辑是“修墙”：边界防火墙、终端杀毒、数据库加密。这套范式在应对传统黑客时有效，但在AI智能体面前正快速失效。AI智能体不是单点突破的“小偷”，而是能自主推理、多步试探、持续试错的“数字侦探”。它不需要破解高强度密码，只需发现一个未修复的配置缺陷，再利用常规访问权限横向移动；也不需要暴力破解，只要构造一段语义合理但意图异常的请求，就可能触发自动化流程中的权限误判。
更关键的是，这类攻击不再依赖人类黑客的“经验直觉”，而靠大模型驱动的自动化红队能力：理解业务上下文、识别低权限入口、构造合法但恶意的操作序列、动态绕过基于规则的防护机制。Cathedral的实践表明，安全攻防正进入一个新阶段——攻击者将大模型作为推理与编排引擎，而防御方必须同步升级对组织级系统行为的理解与响应能力。
这也解释了为何Anthropic的响应如此克制：他们没有否认漏洞存在，也没有夸大影响范围，而是精准划出“受损域”与“安全域”的边界。这种透明，不是示弱，而是对新威胁格局的清醒认知：真正的风险不在模型会不会被窃取，而在于支撑模型研发与商业化的整套组织操作系统，是否已成为最易被AI智能体读取、推演并操控的“公开账本”。
对普通人和创业者的三重提醒
- 别再迷信“大厂更安全”。当一家以AI安全为立身之本的公司，其内部HR系统都能被AI智能体12小时拿下，说明安全能力无法简单随品牌溢价迁移。普通用户选择AI服务时，真正该问的不是“它用什么大模型”，而是“它的后台系统多久更新一次补丁”。
- 创业公司必须重构安全投入优先级。2026年，AI机器人、脑机接口等实体化AI项目正迎来商业化探索期。这些企业既要训练模型，又要对接医院、康养机构、制造产线等复杂B端场景，必然大量接入各类第三方系统。此时若仍把绝大部分安全预算投在模型水印或对话过滤上，无异于给金库装防弹玻璃，却忘了给钥匙柜上锁。
- 安全本身正在成为可产品化的AI能力。Cathedral的实践揭示了一个新方向：面向中小AI企业的“行政系统AI红队即服务”。它不卖防火墙，而是提供一套可嵌入CI/CD流程的自动化检测模块，专门扫描高频SaaS系统中的配置漂移、权限冗余与操作路径异常。这类服务不需要懂大模型原理，但必须深谙业务系统逻辑——这正是当前安全能力的关键断层带。
大模型时代的安全防线，早已不是一道墙，而是一张神经网络：它要感知每个微小系统的异常脉动，要理解不同模块间的隐性耦合，更要预判AI智能体如何利用这些耦合发起协同攻击。当连Anthropic都不得不承认“部分销售、人力资源和IT系统遭到访问”时，所有正在拥抱AI的组织，都该重新校准自己的安全罗盘——因为真正的防线，不在模型深处，而在每一次点击、每一份合同、每一行配置代码构成的日常之中。
*本文事实来源：IT之家，2026-10-27《Anthropic内部系统遭AI智能体12小时内攻破，客户数据未泄露》 | [查看原文](https://www.ithome.com/1/018/683.htm)*