一次漏洞赏金演练，把"AI攻防"从概念推到了真实系统里：进攻方不是人类渗透测试员，而是AI智能体。
发生了什么
据 The Decoder 报道，网络安全创业公司 Cathedral 在一项漏洞赏金计划中，使用 AI 智能体经由第三方软件作为跳板，进入了 Anthropic 的内部系统。Anthropic 方面确认，被触及的数据涉及销售、人力资源和 IT 相关系统，但对入侵究竟深入到何种程度存在异议。换句话说，双方对"边界被突破了多少"各执一词，但"确实被突破了"这一点没有争议。
值得注意的是攻击路径：不是正面硬撼 Anthropic 自家的模型防线，而是绕到外围的第三方软件依赖上。
为什么重要
Anthropic 在网络安全防御能力上被外界视为第一梯队的模型提供方，这起事件因此更具象征意义——防守方的强，往往强在核心模型与核心系统；而真实的攻击面，却常常铺在采购来的 SaaS、协作工具、外包系统这些"非核心"资产上。AI 智能体恰好擅长这类工作：批量枚举入口、快速试错、在多个系统之间串联线索，把过去需要人力长时间蹲守的侦察与横向移动压缩成自动化流程。
这也解释了为什么漏洞赏金计划本身正在变化。它原本是人类研究者的竞技场，如今开始成为 AI 智能体的试验场。对厂商而言，这是提前发现问题的机会；对攻击者而言，同样的能力一旦被滥用，门槛就被显著拉低。攻防两侧用的是同一类工具，这大概是这起事件最值得记住的一点。
影响与看点
对企业安全团队，直接启示是第三方依赖需要被纳入与核心系统同等级的风险评估——攻击者会挑最薄的那块板。对 AI 实验室和平台方，模型能力越强，越需要把"外围系统"当作自身攻击面的一部分来管理，而不是把它留给供应商的合规声明。
对开发者和普通用户，短期内不必恐慌，但应关注两件事：一是第三方集成中的权限最小化，二是当 AI 智能体被用于安全测试时，如何界定授权范围与责任归属——这起事件中双方对"入侵深度"的分歧，本身就说明现有的披露与认定机制还不够清晰。
一个独立判断：这起事件的价值不在于"Anthropic 被黑了"这个标题，而在于它示范了 AI 智能体作为攻防主体的可行性。接下来真正稀缺的，不是更强的攻击智能体，而是能说清楚"它到底做了什么"的审计与归因能力。
