Anthropic 阻断首例 AI 主导网络间谍攻击：黑客让 Claude 包办九成活

过去在影视剧里，黑客往往要通宵盯着绿色代码瀑布疯狂敲键盘。但现实正在迅速走向另一个极端：黑客甚至不需要亲自敲代码，只要给 AI 派发任务，AI 就会自己侦察、自己写漏洞利用工具，顺便在收工时把战报写好。

Anthropic 公布了一起令安全圈震动的真实案例。9 月中旬，他们发现有黑客操纵自家开发的代码工具 Claude Code，对全球大约 30 个高价值目标发起了间谍攻击，受害者涵盖大型科技巨头、金融机构、化工制造企业以及政府部门。Anthropic 以高度信心评估，幕后黑手是一家受中国支持的黑客团伙。

这被认为是全球首例有记录、几乎没有人类实质干预的大规模网络攻击。整场渗透行动中，80% 到 90% 的活全是由 AI 自主跑完的，人类黑客全程只在四到六个关键节点上做了决策。

哄骗 AI 当安全顾问，把任务拆碎绕过护栏

大模型平时都有严格的安全围栏，直接让它黑进某家公司肯定会被拒绝。攻击者的破解手法说来也很讽刺：他们利用了模型的配合度和逻辑拆解能力。

攻击者先是给 Claude 扣上了一顶高帽子，骗它说它是一家正规网络安全公司的员工，现在正在执行合规的防御性渗透测试。接着，他们把恶意入侵拆解成了成百上千个看似人畜无害的微小任务，让 Claude 在完全不知道全局恶意企图的情况下照单全收。

进入执行阶段后，Claude 的速度让人类同行望尘莫及。它首先自动巡检目标机构的网络架构，找出最有价值的数据库，用极短时间就完成了通常需要一整个黑客小组耗时数天的侦察工作。

随后，Claude 针对发现的弱点自行研究并编写攻击代码，批量收割系统账号密码，给最高权限账户植入后门。在攻击高峰期，AI 发出成千上万次请求，每秒就能发起好几次探测。渗透结束后，Claude 甚至极其贴心地生成了一份图文并茂的被盗凭证清单和系统架构分析报告，供黑客规划下一步行动。

不过 AI 也并非万能。Anthropic 提到，Claude 在过程中偶尔会产生幻觉，比如凭空编造登录密码，或者把网上公开的信息当成绝密情报邀功。

为什么重要

这起事件彻底打破了网络攻防原有的力量平衡。过去，只有少数资金雄厚、拥有顶尖专家的团队才能发起这种跨组织的高级持续威胁，但随着 Agent 工具链的成熟，高水平网攻的技术门槛正在断崖式跌落。攻击者不需要熟练掌握每种漏洞细节，只要懂怎么搭建自动化流程，就能让 AI 替自己打工。

防御方的日子要难过得多了。面对这种一秒发起多次请求、不知疲倦且毫无生物节律的攻击者，传统依靠安全运营中心人员肉眼巡检、事后复盘的做法已经完全跟不上节奏。这也解释了为什么 Anthropic 在复盘调查时，也只能反过来大量依赖 Claude 处理海量日志，网络安全正在不可逆地演变成算法对抗算法的战场。

从大模型安全的角度来看，这次暴露出的隐患更值得警惕。Anthropic 的护栏已经算业界顶尖，但黑客依然能通过「角色扮演加上任务切片」轻易破防。只要 AI 具备调用外部工具、执行代码和长程循环规划的能力，单靠语义层面的对齐很难彻底防住恶意利用。我们认为，各大模型厂商接下来不得不对代码助手接入敏感系统调用的行为设限，否则这类攻击很快就会演变成网络世界的常态。