A Defense Contractor Gave Their Personal AI Agent Access to a Secure Pentagon System

一家国防承包商将个人AI代理接入五角大楼安全系统 | WIRED

Vittoria Elliott

政治

2026年10月29日 下午2:39

一家国防承包商将个人AI代理接入五角大楼安全系统

据消息人士向WIRED透露，埃森哲公司一名员工的个人Claude代理在被发现前，曾在国防部网络上运行了两个月，之后漏洞才得以修复。

照片插图：WIRED员工；GETTY IMAGES

保存此故事

今年早些时候，据消息人士向WIRED透露，一名承包商将多 intelligence agencies使用的安全中央系统连接到其个人Claude Code账户，导致美国国防部发生安全事件。该承包商使用的代理（其就职于全球咨询公司埃森哲）随后将有关国防部系统的信息（包括登录凭证）发送到一个高风险的第三方网站。

该中央系统包含受控非机密信息（CUI），这类信息被视为敏感信息，未经审查不得向公众披露。CUI可能包括关键基础设施信息、核潜艇推进系统信息，以及化学和生物恐怖主义的脆弱性信息。此外，安全专家表示，该系统的访问权限可能被用来利用更敏感的系统。

“这会让其中的所有数据面临风险，”一位了解该事件经过的消息人士表示。该人士要求匿名，因为未经授权向媒体发言。“如果第三方软件遭到入侵，‘可能会有人在不被发现的情况下登录到安全环境。这100%是国家安全威胁，可能造成不可挽回的损害。’”

一名国防部发言人向WIRED表示：“国防部不会就其网络或系统的状态发表评论。”

埃森哲公司发言人向WIRED表示：“我们认真对待所有担忧。这些指控经过彻底且独立的调查，结果发现毫无根据。我们完全遵守了法律和合同义务。”当被追问调查细节时，埃森哲并未说明调查是由谁执行的，也未否认存在可被描述为事件的情况。

据称，这名埃森哲员工将安全的生产环境连接到其个人Claude账户，以允许AI代理编写和部署代码。目前Claude被禁止用于国防部员工。 （Anthropic将WIRED引导至公司的使用政策，该政策指示用户不要使用其产品“干扰军事基地及相关基础设施的运作”或“未经授权绕过安全控制，如认证系统、端点保护或监控工具”。）

该埃森哲员工的AI代理在被发现前，曾在国防部网络上运行了两个月，之后漏洞才得以修复。消息人士指出，尽管AI编码代理存在安全风险，但埃森哲员工并未将该事件视为严重或紧急。美国国防部员工和联邦承包商被要求在发现网络安全事件后72小时内向政府报告，但消息人士指出，埃森哲最初根本没有向政府报告该漏洞。

“我们现在正与伊朗发生冲突，”该员工表示，指出伊朗已试图入侵多个联邦机构和美国基础设施部分。“在当前形势下，持有这种轻率的态度是极其不恰当的。”

你有线索吗？

你是否是现任或前任政府雇员，想就当前情况发表看法？我们希望听到你的声音。请使用非工作手机或电脑，通过Signal与记者velliott88.18安全联系。

目前，Accenture与联邦政府的合同总额超过35亿美元，其中近6.05亿美元来自国防部。该公司还与其他联邦机构签订合同，如教育部、总务管理局和能源部等。本月早些时候，联邦调查局发现，一名Accenture承包商未能修补漏洞，导致黑客组织ShinyHunters获得了数千名局内员工的详细信息。FBI在10月初已解雇了该承包商。

总部位于华盛顿特区的IT咨询公司Hunter Strategy创始人Matt Triner表示，这一问题体现了政府承包商普遍面临的矛盾需求。“尽管报告此类事件是正确且合法的行为，但组织通常会因此受到惩罚，”Triner表示。他说，在许多情况下，公司承认发生过安全漏洞可能会导致失去政府合同，尽管他表示像上述描述的事件“绝对是必须报告的事件”。

Triner还指出，承包商在交付项目时面临的加快进度和降低成本的压力，与优先考虑安全和安全的需求相矛盾。“不幸的是，每个人都在一个存在竞争规则和激励措施的系统中运作，这种情况在AI出现之前就已存在，但现在问题同样出现在速度上，”Triner表示。

Accenture承包商访问的编码环境运行在非机密互联网协议路由器网络（NIPRNet）上，这是国防部用于非机密信息的网络。虽然该网络确实连接到互联网——承包商和员工可以通过该网络访问电子邮件和网络浏览器——但其安全性极高。

据消息人士称，为了自动化编写代码和启动云服务器的过程，承包商将其登录凭证提供给了Claude代理。这使代理获得了管理员权限，并允许其绕过正常登录过程中的安全控制。该AI代理不仅编写代码，还代表Accenture员工提交或保存代码到系统中，因此需要连接到互联网以执行任务。在此过程中，它似乎将承包商的登录凭证、密码以及NIPRNet的网络地图发送到了第三方网站。

WIRED出于保护系统免受进一步漏洞利用的考虑，拒绝透露该第三方网站的名称，但美国国家标准与技术研究院此前已将其列为高风险，因为该网站存在一个漏洞，可能让黑客向AI编码代理注入指令以窃取凭证。

AI代理访问的系统中包含CUI（受控非机密信息）。消息人士表示：“CUI环境中的信息不应离开该基础设施。”“我们无法了解信息发送到[该服务]后发生了什么，包括登录凭证是否已被保留。”

根据机构及其工作性质，CUI可能包含从个人身份信息到专有商业或合同信息的各类数据。根据国防部网站的信息，CUI可能包括有关“炸药、危险化学品或管道的保护和安全措施”的信息，涉及“军事或航天设备及技术设计”的文件，以及“放射性物质的确切位置和数量”的信息。

与实际数据本身不同，这些数据的拓扑图对黑客可能具有巨大价值。Triner表示：“一旦攻击者理解了这些信息如何关联在一起，即使这些信息本身是公开的，敏感之处在于我们如何将它们组合并转化为可操作的情报。”

虽然一张地图本身可能无法让黑客进入系统，但Triner表示，它可以帮助攻击者在获得访问权限后更快行动，并“帮助攻击者了解关键资产的位置”。

前国家安全局黑客、情报与安全咨询公司IANS的教职员工Jake Williams表示，AI代理在NIPRNet（非机密互联网协议网络）中运行代码会带来“巨大问题，并可能产生重大国家安全影响”。

Williams指出，虽然单个数据或信息可能被归类为CUI，但“当这些非机密信息被汇总时，本身可能被归类为机密信息”。例如，某些危险材料的位置可能属于CUI，相关设施的脆弱性信息也可能属于CUI。但这些信息一旦被综合起来，可能会揭示需要保密的信息。

但这种情况并非唯一可能造成机密信息风险的方式。通常，工具和代码会在部署到更敏感的系统（如Secret Internet Protocol Router Network（SIPRNet，军事机密信息专用网络）和Joint Worldwide Intelligence Communications System（JWICS，顶级机密信息专用内网）之前，在NIPRNet中进行测试。SIPRNet和JWICS均采用物理隔离（air gapped）的安全措施，这意味着它们与任何外部网络均无连接。从实际操作层面来看，这意味着SIPRNet和JWICS对黑客远程访问来说将极其困难。

但若AI代理成功窃取了登录凭证，黑客便可以访问NIPRNet，并在工具或系统中插入后门或其他恶意代码。如果没有经过适当审查，这些代码可能最终被部署到物理隔离的系统中。

Williams表示：“这段代码在NIPR网络中可能完全正常运行，但在SIPR网络中却可能执行恶意且未公开的操作，这完全有可能。”他补充说，从这些网络中窃取数据将非常困难，但恶意代码可以用于从内部攻击系统。“我认为最可能发生的情况是某种分布式拒绝服务攻击，”他说。

Triner表示，即使像减缓情报行动和活动这样的细微影响，也可能造成损害并导致用户对工具失去信任，即使问题已经解决。

随着“vibe coding”（即工程师描述产品后，提示AI助手编写代码）变得越来越普遍，代码审查正变得更具挑战性。AI生成代码的规模远超人类生产力，使得代码审查变得耗时且困难。

威廉姆斯表示：“当你使用代理时，你根本无法了解生成代码的供应链，甚至无法了解其推理链。”“这些大语言模型所训练的大量代码本身存在漏洞，它们可能会重复输出我们其他代码中看到的相同架构和架构问题。”

政府确实有办法在NIPRNet中识别缺陷代码。静态应用程序安全测试（SAST）会在代码运行前扫描漏洞和缺陷。但威廉姆斯指出，黑客插入的“后门”即使我们不希望它存在，也不是漏洞，因此很可能会逃过SAST的检测。SAST通常也无法识别代码创建逻辑链中的结构性问题。

目前尚无迹象表明黑客成功入侵了机密或绝密系统。但威廉姆斯表示，这一事件应引起高度警觉。他说道：“在架构层面，任何无法通过开源情报看到的NIPR相关信息，无论是否涉及机密网络，国防部都会视为高度机密。”

这并非国防部首次因AI相关问题而暴露于风险之中。去年，《ProPublica》报道指出，微软在其与联邦政府的项目中使用了“数字随行人员”，即拥有安全许可的美国员工会监督在中国外包员工编写代码。与《ProPublica》交谈的专家表示，该计划存在特定的安全风险，因为美国员工通常无法亲自审查代码，导致恶意代码可能被无意插入政府系统。