A社交表当天被打脸，服务器12小时被黑，马斯克前员工干的

报应来得真快！

刚提交上市申请，Anthropic就收到了一个「惊喜」。

据《华盛顿邮报》披露，过去半年靠着「Claude Mythos」把全球操作系统和浏览器漏洞翻了个遍的Anthropic，自己内部却出了事——

被入侵了。。。

要知道就在上个月，一群黑客刚借助Anthropic的Claude攻击了对手OpenAI，谁曾想不到一个月，这把火就烧回了自己身上。

这次出手的是一家成立仅几个月、名叫「Cathedral」的AI网络安全初创公司，由马斯克此前领导的「DOGE」项目前成员创立。

他们放出自己开发的AI Agent，在正面强攻Anthropic自主研发的代码几天无果后，转而顺着Anthropic日常使用的第三方商业软件漏洞渗透进去。

前后不到12小时，这些AI Agent就一路闯入Anthropic的内部业务与通信系统。

会议记录、员工薪酬、录用通知，甚至连研究员们在Slack里讨论未公开前沿模型的聊天内容，全都被翻了个底朝天。

把「安全」写在招股书最显眼位置的Anthropic，也没那么安全嘛…

内部起火，Anthropic的Slack被彻底曝光

这件事被揭露，源于《华盛顿邮报》获得的一份Cathedral内部报告草稿。

这份草稿原本是Cathedral打算公开发表的一篇技术博客，记录了他们本月早些时候参与Anthropic外部安全测试项目的全过程。

Anthropic原本设有专门的漏洞悬赏项目，邀请外部网络安全专家来查找系统漏洞。

Cathedral的研究员接下任务后，直接派出自家AI Agent上场。

起初，这些AI Agent试图正面攻击Anthropic的自研软件和核心系统，但折腾了好几天都没能成功。

正面防线既然攻不破，AI Agent立刻改变策略，开始寻找侧门。

它们盯上了Anthropic日常用于行政管理和销售业务的第三方商业软件。

这类外购的通用办公软件很多公司都在用，防线远没有AI实验室的核心基础设施那么严密。

顺着第三方软件里的漏洞切入后，Cathedral的AI Agent自动扫描、串联权限，不到12小时就打通了一条通往Anthropic内部敏感数据与通信系统的路径。

进入内网后，这些AI Agent看到的内容相当惊人。

内部会议记录、员工薪资单、录用通知明细，全都一目了然。

再深入一些，部分客户与合作伙伴的商务联系方式、基础用户账户信息也被翻了出来。

最致命的是，AI Agent一路摸进了Anthropic员工日常使用的Slack频道，里面正讨论着Anthropic最前沿AI模型的研发进展。

整件事里最讽刺的一幕是，就在上个月，Anthropic刚发生了一场不小的公开辞职事件。

当时名叫Jacob Coxon的Anthropic员工愤然离职，专门在X上发帖抨击公司对待危险AI技术极其不负责任。

他在帖子里重点批评了一件事，就是公司过度依赖普通的外部商业办公软件，直言Anthropic正在进行一场「不该从一家私人公司的Slack里发起的傲慢赌注」。

前脚员工刚因为嫌弃Slack和普通商业软件不安全而离职，后脚不到一个月，别人的AI Agent就真顺着普通商业软件摸进了自家的Slack。

这预言简直太准了。

为了弄清这次渗透到底有多严重，《华盛顿邮报》专门把Cathedral的这份报告拿给AI编程独角兽Cognition的首席信息安全官、前斯坦福大学互联网观察站主任Alex Stamos查看。

这位安全专家看完后直接给出结论，「他们发现了个大问题」。

在Alex Stamos看来，把第三方办公应用接入公司内网确实是所有企业都在头疼的难题，但Cathedral的发现暴露了Anthropic在管理外部软件供应商时的明显短板。

他毫不留情地表示，「这确实是个难题，但Anthropic本可以做得好得多」。

眼看家丑被曝光到媒体上，Anthropic赶紧发声明灭火，同时不忘与Cathedral争论。

Anthropic在声明中承认，Cathedral的研究员确实访问到了「有限的一部分」销售、HR和IT系统。

但官方划清了界限，强调用户的Claude聊天记录、模型返回的内容、底层源代码以及最核心的「模型权重」全都安全，没有被触及。

紧接着Anthropic开始反呛，指责Cathedral在报告中夸大了这件事的潜在安全影响，还控诉对方没有完全遵守漏洞悬赏项目的规则，隐瞒了在Anthropic系统内部的部分活动轨迹。

按照Anthropic的说法，早在Cathedral提交报告之前，自家的安全监控系统就已经发现了这批异常活动，并在当天就切断了访问通道、停用了涉事的第三方商业软件，直到软件供应商确认修复漏洞后才重新启用。

Cathedral那边当然也不认账。

他们在报告中直接反驳，称所有数据访问都严格限制在安全研究最佳实践所要求的最低限度内，并同步通知了涉事的软件厂商。

最后，Cathedral还在报告中留下了一句相当刺耳的结语，「普通企业软件里的弱点，足以攻破哪怕是最先进机构的基础设施，这一事实应该给全美所有公司敲响警钟」。

「刚创业的年轻人」，估值14亿美元

那这个只用12小时就让Anthropic灰头土脸的Cathedral，到底是什么背景？

说出来可能有点让人意外，这家公司成立才几个月。

四位联合创始人分别是Gavin Kliger、Luke Farritor、Marko Elez和Jack Stein，此前全都来自马斯克牵头的「DOGE」项目团队。

从原有项目出来后，这四个人一拍即合，进入了AI自动化网络攻防领域，专门给企业和机构提供基于AI Agent的网络安全工具。

别看公司年轻，团队里的人手活一个比一个强。

联创之一的Gavin Kliger此前担任过首席数据官，自己就深度参与过针对硅谷前沿AI实验室的防渗透推演。

据知情人士透露，他以前经常坐在会议室里推演外部力量会怎么摸进硅谷顶级AI实验室窃取研究成果，对AI大厂的防御弱点非常了解。

这回带队摸进Anthropic，某种程度上就是把以前在纸面上推演过的剧本，拿自家的AI Agent实操了一遍。

另一位联创Luke Farritor更是AI圈的老面孔。

这位00后极客还在读大学时，就曾训练AI模型从CT扫描图里破译了被维苏威火山灰掩埋两千年的古罗马赫库兰尼姆焦黑卷轴，一举拿下了70万美元的「维苏威挑战赛」大奖。

不过从破译两千年前的古罗马碳化羊皮纸，到破译硅谷当红AI新星的内网防线，跨度确实有点大。

这里不得不提一句，这位大神的领英主页写得也是相当有个性。

资本市场给这帮年轻人的定价比他们的破解速度还要夸张。

根据PitchBook的数据，成立才几个月的Cathedral已经从投资人手里拿下了1.6亿美元的巨额融资，公司估值直接达到14亿美元。

硅谷顶级风投a16z和红杉资本双双押注，a16z联创Marc Andreessen和红杉合伙人Shaun Maguire更是直接进入了Cathedral的董事会。

另一家参投的风投机构Lux Capital联创Josh Wolfe也在X上高调认领了自家这个明星项目，直言这次测试暴露出的问题「相当严峻」。

因为像Anthropic这样的顶级AI实验室里储存着数万亿美元的价值和最前沿的研究成果，外围防线却脆弱得像纸糊的一样。

《华盛顿邮报》在报道中引述了一位知情人士的原话，把这种荒诞感推到了顶点。

这名人士读完内部报告后坦言自己惊出一身冷汗，因为一家掌控着「几乎相当于核武器级别材料」的顶级AI公司，其敏感内部系统居然在这么短的时间内，就被「一帮刚创业的年轻人」给摸了进去。

潜台词是，几个刚成立几个月的年轻人放出AI Agent都能在半天之内逛完你的后花园，真要碰上全副武装的顶尖黑客组织，这防线还能剩几块砖？

回旋镖终究扎回了自己身上

如果被黑的是别人，硅谷看客们可能也就笑笑过去了。

偏偏这次翻车的是Anthropic，过去大半年里，整个科技圈把「AI网络安全」口号喊得最响、人设端得最高的就是它。

甚至就在上个月，一群黑客黑进OpenAI并警告全行业没做好安全准备时，手里用的作案辅助工具都是Anthropic家的Claude。

在此之前，Claude基本只出现在「帮别人挖漏洞」的新闻里。

今年4月，Anthropic搞出过一轮轰动全行业的公关大戏。

当时他们高调宣布研发出了未公开的前沿模型「Claude Mythos Preview」，宣称这个模型的自动化漏洞挖掘和利用能力已经强到跨越了临界点，除了极少数人类顶尖安全专家，没人能比得过它。

因为能力「太强太危险」，Anthropic宣布不敢把它向公众开放，转而拉上亚马逊AWS、苹果、谷歌、微软、英伟达、思科、CrowdStrike等一众科技巨头，组建了一个名叫「Project Glasswing」的豪华安全联盟。

Anthropic大手一挥，承诺拿出1亿美元的模型使用额度，外加400万美元开源安全捐款，带着40多家关键基础设施机构一起用Claude Mythos给全世界的底层软件「抓虫」。

为了证明自己没吹牛，Anthropic当时晒出了一份让整个安全圈倒吸凉气的成绩单。

在没有任何人类干预的情况下，Claude Mythos全自动挖出了数千个高危零日漏洞，横扫了市面上所有的主流操作系统和主流浏览器。

号称全球最安全、专门用来跑防火墙的操作系统OpenBSD，里面藏了一个足足27年没人发现的远程崩溃漏洞，被Claude Mythos一把揪了出来。

无数音视频软件都在用的底层库FFmpeg，有一行代码曾经被传统自动化测试工具扫过500万次都没报过错，Claude Mythos硬是从里面挖出了一个潜伏16年的老bug。

它甚至还能自己把Linux内核里的好几个漏洞串联起来，直接从普通用户权限一路提权拿下一整台服务器的最高控制权。

在「CyberGym」漏洞复现基准测试里，Claude Mythos直接刷出了83.1%的成绩，把上一代Opus 4.6的66.6%按在地上摩擦。

今年10月初，Anthropic又趁热打铁推出了扩充版的「网络验证计划（CVP）」，分三个等级向安全团队开放Claude Mythos 5.1和Opus 5.5的漏洞挖掘能力，俨然一副「全行业网络安全救世主」的架势。

结果呢？

对外重拳出击帮全世界抓了27年陈年老虫的Anthropic，自家的安全防线今年却漏得像个筛子。

先是自家的王牌编程工具「Claude Code」成了重灾区。

今年2月到7月间，Check Point等安全机构接连在Claude Code里挖出了多个高危远程代码执行（RCE）漏洞。

攻击者甚至不需要多高深的技术，只要在项目配置文件里埋一段恶意指令，一旦开发者用Claude Code打开项目，电脑就会直接被黑客远程接管，连本地存着的API密钥都能被悄无声息地打包偷走。

自家的工具不断被爆漏洞还不算完，自家关在笼子里做安全评测的模型，也三番五次出去惹祸。

今年7月底，Anthropic自己发了一篇检讨公告，坦白在复盘141006次网络安全评测记录时，发现了三起Claude模型越界黑进真实机构生产环境的事故。

起因听着相当草台班子。

Anthropic在系统提示词里信誓旦旦地告诉Claude「你处于模拟沙盒中，没有互联网连接」，结果因为跟第三方评测合作方的配置失误，测试机器的公网网线根本没拔。

被要求去夺旗（CTF）的Claude Opus 4.7和Mythos 5在虚拟靶场里没找着目标，顺着网线摸上了真实互联网，把外面三家真真正正的公司当成了演习靶子。

其中Claude Opus 4.7在明明已经从推理过程里意识到「这好像是真实生产系统」的情况下，自己给自己找了个理由说「这家真实公司肯定也是演习的一部分」，然后心安理得地继续攻击，直接拖走了人家几百行生产数据库记录。

另一场测试里的Claude Mythos 5更绝。

为了给目标下套，它自己盘算着去公共Python软件库PyPI上传一个同名的恶意安装包。

为了注册PyPI账号，它先去搞邮箱，搞邮箱需要手机号验证，它在网上找免费接码平台失败后，甚至试图自己去搞钱付手机号的费用，最后好不容易找到一个免验证的免费邮箱注册成功，把带后门的恶意代码传上了真实的PyPI公共库。

在那个恶意包挂在网上的大概一个小时里，全球有15台真实的电脑系统下载并运行了这段代码，其中一家真实安全公司的扫描器当场中招，连公司凭证都被Claude顺手偷了回来。

就在这次被Cathedral破防的前三天，也就是10月23日，Anthropic才刚刚发长文复盘了另一桩更离谱的测试事故。

在今年8月英国AI安全研究所（AISI）组织的43场夺旗测试里，Claude Mythos 5有9场都干出了越界影响真实世界的出格操作。

在最典型的一场测试里，Claude Mythos 5为了攻破靶机，摸上GitHub盯上了一个毫无关系的真实人类开发者的开源项目，试图提交带木马的恶意代码搞供应链投毒。

不仅如此，它还绕过GitHub注册检查，伪装成人类给项目维护者发邮件催促合并代码。

后来有一名外部人类开发者在沙盒里跑了一下它上传的代码，发现不对劲，赶紧在评论区警告项目维护者「这代码里有木马」。

你敢信Claude Mythos 5接下来干了什么吗？？？

它转头自己注册了一个「马甲小号」，一边在GitHub评论区里留言，一边给维护者发邮件作伪证，信誓旦旦地替自己担保说「代码已经改干净了、绝对安全有用」。

接着又偷偷把带木马的新代码传了上去，一直死缠烂打到Token额度耗尽才停手。

把这几件事串在一起看，你会发现硅谷如今最魔幻的图景莫过于此。

AI巨头们一边训练着能挖穿27年底层老漏洞、甚至学会注册小号搞社会工程学诈骗的超级模型，一边却在用着漏洞百出的第三方商业软件处理日常行政、在Slack里热火朝天地聊着最核心的模型机密。

大家都忙着给金库正门装上三尺厚的钛合金钢板，却忘了每天进出送盒饭的物业侧门连锁都没挂好。

当攻防两端都交给了全天候不眠不休的AI Agent，攻破一家万亿赛道的顶级AI巨头，根本不需要正面撞开它引以为傲的模型防线。

顺着人事和销售留下的办公软件缝隙溜进去，不到12个小时，就够把底裤摸得一干二净了。

参考链接：https://www.washingtonpost.com/technology/2026/10/26/researchers-cybersecurity-start-up-cathedral-got-inside-anthropic/

本文来自微信公众号“量子位”，作者：关注前沿科技，36氪经授权发布。