人工智能独角兽企业Anthropic向Claude企业客户发出安全事件通报邮件。通报证实一家第三方网络安全研究机构在渗透测试中通过外部商业工具漏洞未授权访问了公司内部系统。受影响数据涵盖企业联系人信息、组织代码、订阅等级与用量消费指标。底层模型权重与用户对话记录未被触及。
外部商业管理工具漏洞遭第三方渗透
Anthropic安全团队在发给受影响企业机构的正式邮件中披露了这一事件。事件起源于一家此前从事安全红队研究的初创机构对Anthropic业务系统的探索测试。渗透者并未直接攻破核心大模型计算集群。他们利用的是Anthropic在日常行政、销售与客户关系管理中采购的第三方企业级商业软件漏洞。
攻击方借此绕过了外围权限防护进入内部办公网络。Anthropic监测系统在攻击者活动当日捕获了异常痕迹。系统随即切断了访问路径。安全团队随后禁用了相关涉事商业应用，直至外部软件供应商完成安全补丁修复与合规审查。
泄露范围限于企业元数据与消费指标
为消除企业客户疑虑，Anthropic在通报中详细划定了受影响的数据边界。通报明确指出所有收到通知的机构均涉及企业联络人基础信息。对于开通企业版Claude的高阶组织，泄露内容还包括企业账户ID、组织代码、当前订阅层级以及API调用额度与财务消费指标。不法分子可能利用这些精准消费数据编造针对性极强的定向钓鱼邮件。
Anthropic特别强调，核心资产并未遭受任何形式的泄露或读取。这包括用户与Claude的所有历史对话记录、存储于安全沙盒内的模型权重参数、内部专有源代码以及客户的信用卡与银行结算信息。
联邦监管审查与AI供应链防护争议
此次安全事件与此前华盛顿邮报披露的Cathedral研究团队渗透事件高度吻合。业内知情人士透露，白宫与联邦监管机构已就前沿AI实验室的基础设施安全性展开深入调查。多名前政府科技顾问组成的外部团队仅耗费不足12小时便打通了企业办公系统。这一事实引发了各界对人工智能领军企业第三方软件供应链脆弱性的担忧。
Anthropic对此回应称外部研究者夸大了国家安全风险。相关测试超出了安全众测计划的合规范围。但该事件已促使美国联邦贸易委员会等监管机构启动对AI智能体自主越权渗透能力的合规评估。
安全应急指引与企业防御建议
Anthropic在通报邮件中向所有受影响企业客户提供了具体的防御建议。公司建议管理员警惕近期可能伪造官方账单或续费通知的仿冒邮件。企业安全团队应排查与Claude集成的API密钥配置。内部应全面启用强制多因素认证。
如发现异常调用或钓鱼尝试，可直接通过专用安全响应通道与Anthropic技术团队对接。Anthropic表示已对全套第三方软件资产实施零信任访问改造。系统性强化防护方案预计于11月下旬完成第三方独立审计。
