马斯克前员工团队创立Cathedral，AI智能体12小时突破Anthropic办公系统

据《华盛顿邮报》报道，由马斯克主导的DOGE前成员创办的AI安全初创公司Cathedral，在Anthropic漏洞赏金计划框架下开展红队测试，依靠自研AI智能体，仅用时不到12小时就成功攻入Anthropic内部办公与业务管理系统。事件一经曝光，在AI安全圈引发热议：即便以大模型安全能力见长的Anthropic，依然栽在第三方供应链的薄弱环节上。

一、没有强攻大模型，从第三方应用撕开缺口

很多人最初猜测，这次突破是AI智能体攻破了Claude大模型的安全防护。但实际攻击路径完全不在模型本身。Cathedral的AIAgent最初尝试攻坚Anthropic自研代码，未能取得突破，随即改变策略，转向企业普遍使用的销售、行政类第三方商用软件寻找漏洞。

整套流程几乎由AI自主驱动：自动测绘资产、探测组件版本、检索公开漏洞库、尝试权限越权，串联起完整攻击链，全程耗时不足12小时。Cathedral获取到的内容包含内部会议纪要、员工薪资、录用Offer，以及Slack中关于前沿AI模型的内部讨论记录。

Anthropic后续对外澄清，攻击者仅访问到销售、HR、IT办公系统，Claude用户对话、模型源代码、模型权重等核心资产并未遭到泄露，同时指出Cathedral没有完整披露全部测试动作，存在违反赏金计划规则的争议；Cathedral则表示全程控制访问范围，仅做验证性测试，目的是展示AI供应链攻击的现实威胁。

二、AI红队把渗透周期压缩到小时级

传统人工红队做企业内部渗透，从踩点、找漏洞到横向移动，往往需要数天甚至数周。而Cathedral的方案把这套流程交给AI智能体自动化执行，带来两个颠覆性变化。

一是并行探测能力大幅提升。AI可以同时遍历数十个第三方SaaS组件、插件、子系统，快速定位容易被忽略的通用漏洞，不再局限于自研代码；二是攻击路径自动迭代，遇到拦截会自主调整策略，切换利用不同组件缺陷。

这类工具的门槛正在快速下降。过去高水平渗透依赖资深安全研究员的经验积累，现在AI智能体可以标准化完成大部分前置探测与漏洞尝试，把人力解放到研判、横向提权等高阶环节。攻防天平正在变化：防守方要维护几十上百个第三方应用，攻击方只需要找到其中一个薄弱点，就可能打开内网入口。

三、重模型安全，轻办公供应链安全

Anthropic长期对外强调Claude的红队测试、越狱防护、模型加固，在大模型安全上投入巨大资源，却低估了办公生态带来的风险，这也是绝大多数AI企业的共性短板。

AI公司的安全团队资源大多倾斜在模型接口、推理集群、训练数据防护上；而OA、客户管理、人力系统、沟通工具这类外购SaaS服务，常常被当成低风险外围资产。这些通用软件被大量企业复用，一旦爆出漏洞，会形成可批量复用的攻击模板。

对于攻击者而言，这是性价比极高的突破口。不用挑战严密的大模型防护体系，瞄准企业采购的标准化第三方软件，更容易拿到员工账号、内网凭证，进而横向渗透到研发、模型相关系统。跨境独立站、科技初创团队也面临同类风险，大量中小团队的入侵事件，源头都来自CRM、工单、邮件第三方组件。

四、把SaaS供应链纳入红队常态化测试

本次事件给所有依赖第三方云应用的企业给出明确警示，防护思路不能只盯着自研业务代码。

首先，建立第三方SaaS资产台账，梳理所有接入企业单点登录、员工账号体系的外部应用，区分敏感等级，高权限系统单独做权限隔离，最小权限分配，限制横向跳转通道。

其次，将供应链组件纳入持续漏洞扫描与红队测试，定期评估插件、第三方工具的安全更新节奏，及时下线长期不维护的老旧应用。

同时完善账号安全基线：强制MFA多因素认证，监控异常异地登录、陌生设备会话、短时间跨多个SaaS系统的批量访问行为，建立告警机制。

漏洞赏金计划也需要细化规则，明确测试边界、数据访问范围，避免红队测试本身带来额外的数据泄露风险，平衡好安全验证和内部数据保护。

五、AI驱动的供应链渗透，将成为主流攻击方向

这次12小时突破案例，不是孤立的一次赏金测试，而是未来攻击模式的预演。攻击者同样可以复刻Cathedral的AIAgent思路，自动化扫描全网企业SaaS资产，批量利用通用漏洞。

大模型安全固然重要，但在真实攻防场景里，供应链、账号体系、办公第三方软件，往往是更容易拿下的“软柿子”。AI安全的命题，早已不止模型越狱、提示注入，而是覆盖从算力集群、业务接口，到员工办公工具的全链路安全。

AI既是防守方用来检测漏洞、研判威胁的工具，也会持续降低攻击门槛。对所有企业来说，补齐第三方供应链的安全短板，和加固核心业务系统，同等重要。