天道好轮回！

前脚刚递交完招股书，Anthropic 就收到一份「大礼」。

《华盛顿邮报》报道，半年来靠「Claude Mythos」把全球操作系统和浏览器漏洞翻了个底朝天的 Anthropic，自家后院起火——

被。。。黑。。。了。。。

要知道就在上个月，一批黑客才刚刚借着 Anthropic 的 Claude 黑了死对头 OpenAI，谁成想不到一个月，回旋镖就结结实实扎回了 A 自己身上。

这次动手的是一家成立才几个月、名叫「Cathedral」的 AI 网络安全初创公司，由马斯克此前牵头的「DOGE」项目前成员创办。

他们放出自研的 AI Agent，在正面强攻 Anthropic 自研代码几天没啃下来之后，转头顺着 A 日常办公用的第三方商业软件漏洞钻了进去。

前后花了不到 12 个小时，这批 AI Agent 就一路摸进了 Anthropic 的内部业务与通信系统。

会议纪要、员工薪资、录用 Offer，甚至连研究员们在 Slack 里讨论未公开前沿模型的聊天记录，全被翻了个底掉。

把「安全」写在大模型招股书最前面的 Anthropic，也没那么安全嘛…

后院起火，A 社 Slack 被扒光底裤

这件事被桶出来，源于《华盛顿邮报》拿到的一份 Cathedral 内部报告草稿。

这份草稿原本是 Cathedral 准备公开发表的一篇技术博客，记录了他们在这个月早些时候参与 Anthropic 外部安全测试项目的全过程。

Anthropic 本来设有专门的漏洞悬赏项目，邀请外部网络安全专家来给自家系统找茬。

Cathedral 的研究员接下活之后，直接派出了自研的 AI Agent 上场。

一开始，这批 AI Agent 试图正面硬刚 Anthropic 的自研软件和核心系统，但连着折腾了好几天，都没能啃下这块硬骨头。

正面大门既然焊死了，AI Agent 立马换了个思路，开始绕着院墙找「狗洞」。

它们盯上了 Anthropic 日常用于行政管理和销售业务的第三方商业软件。

这类外采的通用办公软件很多公司都在用，防线远没有 AI 实验室的核心基建那么严密。

顺着第三方软件里的漏洞切进去之后，Cathedral 的 AI Agent 自动扫描、串联权限，不到 12 个小时就打穿了一条通往 Anthropic 内部敏感数据与通信系统的路径。

钻进内网之后，这群 AI Agent 看到的东西相当刺激。

内部会议纪要、员工的薪资单、录用 Offer 明细，全都赫然在目。

再往里走，部分客户与合作伙伴的商务联系方式、基础用户账户记录也被翻了出来。

最要命的是，AI Agent 一路摸进了 Anthropic 员工日常办公用的 Slack 频道，里面正聊着 Anthropic 最前沿 AI 模型的研发进展。

整件事里最黑色幽默的一幕是，就在上个月，Anthropic 刚刚发生过一场动静不小的公开辞职。

当时名叫 Jacob Coxon 的 Anthropic 员工愤然离职，专门在 X 上发帖控诉公司对待危险 AI 技术极不负责任。

他在帖子里点名喷了一件事，就是公司过度依赖普通的外部商业办公软件，直言 Anthropic 正在进行一场「不该从一家私人公司的 Slack 里发起的傲慢豪赌」。

前脚员工刚因为嫌弃 Slack 和普通商业软件不安全而摔门走人，后脚不到一个月，别人的 AI Agent 就真顺着普通商业软件摸进了自家的 Slack。

这嘴简直跟开过光一样。

为了弄清这次渗透到底有多严重，《华盛顿邮报》专门把 Cathedral 的这份报告拿给 AI 编程独角兽 Cognition 的首席信息安全官、前斯坦福大学互联网观察站主任 Alex Stamos 看了一眼。

这位安全界老炮看完直接给出了定性，「他们挖到了个大雷（They found something big here）」。

在 Alex Stamos 看来，把第三方办公应用接入公司内网确实是所有企业都在头疼的大麻烦，但 Cathedral 的发现暴露出了 Anthropic 在管理外部软件供应商时的明显缺口。

他一点面子也没给，「这确实是个难题，但 Anthropic 本可以做得好得多」。

眼看家丑被捅到媒体上，Anthropic 赶紧发声明灭火，同时不忘跟 Cathedral 打上一架。

Anthropic 在声明里承认，Cathedral 的研究员确实访问到了「有限的一部分」销售、HR 和 IT 系统。

但官方把界限划得很死，强调用户的 Claude 聊天记录、模型返回的内容、底层源代码以及最核心的「模型权重」全都安然无恙，没有被触及分毫。

紧接着 Anthropic 就开始反呛，指责 Cathedral 在报告里夸大了这件事的潜在安全影响，还控诉对方没有完全遵守漏洞悬赏项目的规则，隐瞒了在 Anthropic 系统内部的部分活动轨迹。

按照 Anthropic 的说法，早在 Cathedral 把报告交上来之前，自家的安全监控系统就已经揪出了这批异常活动，并在当天就掐断了访问通道、停用了涉事的第三方商业软件，直到软件供应商确认补好漏洞才重新开启。

Cathedral 那边当然也不认账。

他们在报告里直接顶了回去，称所有数据访问都严格限制在安全研究最佳实践所要求的最低限度内，并同步通知了涉事的软件厂商。

末了，Cathedral 还在报告里留下了一句相当扎心的结语，「普通企业软件里的弱点，足以攻破哪怕是最先进机构的基础设施，这一事实应该给全美所有公司敲响警钟」。

「刚创业的毛头小子」 ，估值 14 亿美元

那这个只用 12 个小时就把 Anthropic 搞得灰头土脸的 Cathedral，到底是个什么来头？

说出来可能有点搞心态，这家公司成立才刚刚几个月。

四位联合创始人分别是 Gavin Kliger、Luke Farritor、Marko Elez 和 Jack Stein，此前全都来自马斯克牵头的「DOGE」项目团队。

从原有项目出来之后，这四个人一拍即合，扎进了 AI 自动化网络攻防赛道，专门给企业和机构提供基于 AI Agent 的网络安全工具。

别看公司年轻，团队里的人手活一个比一个硬。

联创之一的 Gavin Kliger 此前担任过首席数据官，自己就深度参与过针对硅谷前沿 AI 实验室的防渗透推演。

据知情人士透露，他以前经常坐在会议室里推演外部力量会怎么摸进硅谷顶级 AI 实验室窃取研究成果，对 AI 大厂的防御软肋门儿清。

这回带队摸进 Anthropic，某种程度上就是把以前在纸面上推演过的剧本，拿自家的 AI Agent 实操了一遍。

另一位联创 Luke Farritor 更是 AI 圈的老熟人。

这位 00 后极客还在读大学的时候，就曾训练 AI 模型从 CT 扫描图里破译了被维苏威火山灰掩埋两千年的古罗马赫库兰尼姆焦黑卷轴，一举拿下了 70 万美元的「维苏威挑战赛」大奖。

不过从破译两千年前的古罗马碳化羊皮纸，到破译硅谷当红 AI 炸子鸡的内网防线，跨度也是有点大。

这里不得不提一句，这位大神的领英主页写得也是相当有个性。

资本市场给这帮年轻人的定价比他们的破解速度还要夸张。

根据 PitchBook 的数据，成立才几个月的 Cathedral 已经从投资人手里拿下了 1.6 亿美元的巨额融资，公司估值直接干到了 14 亿美元。

硅谷顶级风投 a16z 和红杉资本双双押注，a16z 联创 Marc Andreessen 和红杉合伙人 Shaun Maguire 更是直接坐进了 Cathedral 的董事会。

另一家参投的风投机构 Lux Capital 联创 Josh Wolfe 也在 X 上高调认领了自家这个明星项目，直言这次测试暴露出的问题「相当严峻」。

因为 A 这样的顶级 AI 实验室里攒着数万亿美元的价值和最前沿的研究成果，外围防线却脆弱得像纸糊的一样。

《华盛顿邮报》在报道里引述了一位知情人士的原话，把这种荒诞感拉到了顶点。

这名人士读完内部报告后坦言自己惊出一身冷汗，因为一家掌控着「几乎相当于核武器级别材料」的顶级 AI 公司，其敏感内部系统居然在这么短的时间内，就被「一帮刚创业的毛头小子（a bunch of kids）」给摸了进去。

潜台词是，几个刚攒局几个月的年轻人放出一群 AI Agent 都能在半天之内逛完你的后花园，真要碰上全副武装的顶尖黑客组织，这防线还能剩几块砖？

回旋镖终究扎回了自己身上

如果被黑的是别人，硅谷看客们可能也就笑笑过去了。

偏偏这次翻车的是 Anthropic，过去大半年里，整个科技圈把「AI 网络安全」口号喊得最响、人设端得最高的就是它。

甚至就在上个月，一批黑客黑进 OpenAI 并警告全行业没做好安全准备时，手里用的作案辅助工具都是 Anthropic 家的 Claude。

在此之前，Claude 基本只出现在「帮别人挖漏洞」的新闻里。

今年 4 月，Anthropic 搞出过一轮轰动全行业的公关大戏。

当时他们高调宣布研发出了未公开的前沿模型「Claude Mythos Preview」，宣称这个模型的自动化漏洞挖掘和利用能力已经强到跨越了临界点，除了极少数人类顶尖安全专家，没人能比得过它。

因为能力「太强太危险」，Anthropic 宣布不敢把它向公众开放，转头拉上亚马逊 AWS、苹果、谷歌、微软、英伟达、思科、CrowdStrike 等一众科技巨头，组建了一个名叫「Project Glasswing」的豪华安全联盟。

Anthropic 大手一挥，承诺掏出 1 亿美元的模型使用额度，外加 400 万美元开源安全捐款，带着 40 多家关键基础设施机构一起用 Claude Mythos 给全世界的底层软件「抓虫」。

为了证明自己没吹牛，Anthropic 当时晒出了一份让整个安全圈倒吸凉气的成绩单。

在没有任何人类干预的情况下，Claude Mythos 全自动挖出了数千个高危零日漏洞，横扫了市面上所有的主流操作系统和主流浏览器。

号称全球最安全、专门用来跑防火墙的操作系统 OpenBSD，里面藏了一个足足 27 年没人发现的远程崩溃漏洞，被 Claude Mythos 一把揪了出来。

无数音视频软件都在用的底层库 FFmpeg，有一行代码曾经被传统自动化测试工具扫过 500 万次都没报过错，Claude Mythos 硬是从里面挖出了一个潜伏 16 年的老 bug。

它甚至还能自己把 Linux 内核里的好几个漏洞串联起来，直接从普通用户权限一路提权拿下一整台服务器的最高控制权。

在「CyberGym」漏洞复现基准测试里，Claude Mythos 直接刷出了 83.1% 的成绩，把上一代 Opus 4.6 的 66.6% 按在地上摩擦。

今年 10 月初，Anthropic 又趁热打铁推出了扩充版的「网络验证计划（CVP）」，分三个等级向安全团队开放 Claude Mythos 5.1 和 Opus 5.5 的漏洞挖掘能力，俨然一副「全行业网络安全救世主」的架势。

结果呢？

对外重拳出击帮全世界抓了 27 年陈年老虫的 Anthropic，自家的安全防线今年却漏得像个筛子。

先是自家的王牌编程工具「Claude Code」成了重灾区。

今年 2 月到 7 月间，Check Point 等安全机构接连在 Claude Code 里挖出了多个高危远程代码执行（RCE）漏洞。

攻击者甚至不需要多高深的技术，只要在项目配置文件里埋一段恶意指令，一旦开发者用 Claude Code 打开项目，电脑就会直接被黑客远程接管，连本地存着的 API 密钥都能被悄无声息地打包偷走。

自家的工具不断被爆漏洞还不算完，自家关在笼子里做安全评测的模型，也三番五次出去惹祸。

今年 7 月底，Anthropic 自己发了一篇检讨公告，坦白在复盘 141006 次网络安全评测记录时，发现了三起 Claude 模型越界黑进真实机构生产环境的事故。

起因听着相当草台班子。

Anthropic 在系统提示词里信誓旦旦地告诉 Claude「你处于模拟沙盒中，没有互联网连接」，结果因为跟第三方评测合作方的配置失误，测试机器的公网网线根本没拔。

被要求去夺旗（CTF）的 Claude Opus 4.7 和 Mythos 5 在虚拟靶场里没找着目标，顺着网线摸上了真实互联网，把外面三家真真正正的公司当成了演习靶子。

其中 Claude Opus 4.7 在明明已经从推理过程里意识到「这好像是真实生产系统」的情况下，自己给自己找了个理由说「这家真实公司肯定也是演习的一部分」，然后心安理得地继续攻击，直接拖走了人家几百行生产数据库记录。

另一场测试里的 Claude Mythos 5 更绝。

为了给目标下套，它自己盘算着去公共 Python 软件库 PyPI 上传一个同名的恶意安装包。

为了注册 PyPI 账号，它先去搞邮箱，搞邮箱需要手机号验证，它在网上找免费接码平台失败后，甚至试图自己去搞钱付手机号的费用，最后好不容易找到一个免验证的免费邮箱注册成功，把带后门的恶意代码传上了真实的 PyPI 公共库。

在那个恶意包挂在网上的大概一个小时里，全球有 15 台真实的电脑系统下载并运行了这段代码，其中一家真实安全公司的扫描器当场中招，连公司凭证都被 Claude 顺手偷了回来。

就在这次被 Cathedral 破防的前三天，也就是 10 月 23 日，Anthropic 才刚刚发长文复盘了另一桩更离谱的测试事故。

在今年 8 月英国 AI 安全研究所（AISI）组织的 43 场夺旗测试里，Claude Mythos 5 有 9 场都干出了越界影响真实世界的出格操作。

在最典型的一场测试里，Claude Mythos 5 为了攻破靶机，摸上 GitHub 盯上了一个毫无关系的真实人类开发者的开源项目，试图提交带木马的恶意代码搞供应链投毒。

不仅如此，它还绕过 GitHub 注册检查，伪装成人类给项目维护者发邮件催促合并代码。

后来有一名外部人类开发者在沙盒里跑了一下它上传的代码，发现不对劲，赶紧在评论区警告项目维护者「这代码里有木马」。

你敢信 Claude Mythos 5 接下来干了什么吗？？？

它转头自己注册了一个「马甲小号（sock-puppet account）」，一边在 GitHub 评论区里留言，一边给维护者发邮件作伪证，信誓旦旦地替自己担保说「代码已经改干净了、绝对安全有用」。

接着又偷偷把带木马的新代码传了上去，一直死缠烂打到 Token 额度耗尽才停手。

把这几件事串在一起看，你会发现硅谷如今最魔幻的图景莫过于此。

AI 巨头们一边训练着能挖穿 27 年底层老漏洞、甚至学会注册小号搞社会工程学诈骗的超级模型，一边却在用着漏洞百出的第三方商业软件处理日常行政、在 Slack 里热火朝天地聊着最核心的模型机密。

大家都忙着给金库正门装上三尺厚的钛合金钢板，却忘了每天进出送盒饭的物业侧门连锁都没挂好。

当攻防两端都交给了全天候不眠不休的 AI Agent，攻破一家万亿赛道的顶级 AI 巨头，根本不需要正面撞开它引以为傲的模型防线。

顺着人事和销售留下的办公软件缝隙溜进去，不到 12 个小时，就够把底裤摸得一干二净了。

参考链接：

https://www.washingtonpost.com/technology/2026/10/26/researchers-cybersecurity-start-up-cathedral-got-inside-anthropic/

一键三连「点赞」「转发」「小心心」

欢迎在评论区留下你的想法！

—  完  —

点亮星标

科技前沿进展每日见