一名员工的“私人”AI代理，在五角大楼的网络里安静运行了两个月——这不是科幻设定，而是WIRED从消息源获得的情况。
发生了什么
据WIRED报道，一名埃森哲（Accenture）员工的个人Claude代理，在美国国防部（DOD）的网络环境中运行了约两个月，直到被识别出来，相关漏洞才得以修补。报道将其定性为一次被及时发现并处置的安全暴露，而非已确认的数据泄露事件。目前公开信息有限：代理具体接触了哪些系统、以何种方式接入、是否产生数据外流，均未见披露。可以确认的只有两点——它存在了相当长的时间，且它本不该在那里。
为什么重要
这件事的关键不在“Claude”或“埃森哲”，而在于它揭示了一种正在普遍化的错位：AI代理的能力边界扩张得比企业安全边界快。
过去，员工“自带工具”的风险主要是把公司文件贴进聊天框；现在，代理可以自主调用工具、执行多步任务、维持长期会话，它不再是一个被动的输入框，而是一个有行动能力的进程。一旦这样的进程跑在受控网络上，它就成了一个影子IT节点——只是这个节点会思考、会调用、会留下痕迹。
对国防承包商而言，这个问题被放大。DOD网络属于高敏感环境，合规审查通常围绕设备、账号、数据流向来设计，而“某个员工用个人账号跑起来的AI代理”往往落在这些框架的缝隙里。两个月才被发现，说明现有监测更擅长识别已知类型的异常，对新型、低噪声、行为模式接近正常办公流量的代理缺乏可见性。
影响与看点
对企业来说，最直接的启示是：AI治理不能只停留在使用政策层面。禁令写得再清楚，也挡不住员工为了效率自行搭建代理；真正有效的做法是让代理“可见”——统一入口、身份绑定、行为日志、网络侧异常检测，把个人级工具纳入可观测范围。
对开发者与AI厂商而言，这是一个产品问题：企业版与个人版之间的隔离是否足够硬？代理的默认权限是否过于宽松？当代理被部署在受限网络中，它能否主动识别并拒绝越界？
对关注AI安全讨论的读者，这则报道提供了一个具体样本：风险不一定来自恶意攻击，也可能来自善意的效率尝试。真正需要修补的，往往不是那一个漏洞，而是让漏洞得以存在两个月的组织惯性。
