个人AI代理潜入五角大楼网络两月未被察觉

一次持续两个月的“隐形”访问

据《连线》（WIRED）独家报道，美国国防承包商埃森哲（Accenture）的一名员工将其个人使用的Claude AI代理接入了美国国防部（DOD）的网络，并且该代理在一个安全敏感的五角大楼系统上持续运行了约两个月，才被安全人员识别出来。消息人士称，相关漏洞在发现后已被修补，但这起事件本身已经为政府与企业界敲响了警钟。

值得注意的是，出问题的并非官方采购、经过安全审查的企业级AI工具，而是一名员工“个人使用”的AI代理。这意味着，前沿AI代理正以远超传统IT审批流程的速度渗透进高安全等级环境。对于以层层审批和供应链审查著称的国防网络而言，这样的“绕过”本身就极具警示意义。

AI代理与聊天机器人的本质区别

与只会回答问题的聊天机器人不同，AI代理（AI agent）能够自主调用工具、读写文件、访问网络资源并执行多步骤任务。Claude等模型提供的代理能力，允许用户为其配置插件、连接器和本地或远程工具，从而“代替人”完成操作。它可以长时间在后台运行，按预设目标持续行动，而不需要人类逐步点击确认。

这种自主性在提高效率的同时，也带来了传统软件难以覆盖的风险：代理可能持有长期有效的凭证、在无人监督下持续运行、跨系统搬运数据，甚至在被发现前形成稳定的驻留通道。安全团队往往只监控人类账户和设备，却难以识别一个以合法身份活动的自动化代理。当代理使用的正是员工的真实身份与权限时，传统基于“异常登录”的检测逻辑很容易失效。

安全团队习惯于监控人和设备，却很少为“一个以合法身份自主行动的代理”设计检测规则——这正是此类事件的要害。

国防网络的特殊性放大了风险

五角大楼系统对访问控制、数据分级和供应链安全有着极其严格的要求。个人AI代理即便不直接接触机密数据，其在网络中的存在也可能成为信息聚合、横向移动或凭证滥用的跳板。一个能够读取文档、调用接口并自主决策的代理，实际上相当于在网络内部放置了一个不知疲倦的“内部人员”。

此次事件中，代理运行两个月才被发现，说明现有监控对“非人类行为主体”的可见性仍然不足。日志系统通常记录的是账户行为，而非“意图主体”；当同一个账户既有人类操作又有代理操作时，责任边界会变得模糊。对于需要严格审计的国防环境，这种模糊本身就是重大隐患。

企业AI治理的现实落差

埃森哲作为全球大型IT与咨询承包商，服务大量政府客户，其内部对AI工具的使用本应有明确规范。然而“影子AI”（shadow AI）——员工未经批准自行使用AI工具——已成为普遍现象。员工追求效率，把个人订阅的AI代理接入工作网络，往往并不认为自己在制造安全事件，而只是“让工作更顺手”。

行业层面，AI代理的部署速度明显快于治理框架的成熟速度。多数企业的AI政策仍停留在“能否使用聊天机器人”层面，对代理的权限范围、日志留存、生命周期管理和退役机制缺乏细则。当代理可以跨系统自主行动时，仅靠一份使用政策显然不够。

编者按：从“工具审批”转向“行为治理”

这起事件的价值不在于个案追责，而在于提醒我们：AI安全的范式需要从“审批某个工具”转向“治理某种行为”。当代理可以自主行动，安全体系必须能够回答三个问题——它是谁、它在做什么、谁在为它的行为负责。

对政府与国防领域而言，这意味着需要为AI代理建立身份体系、最小权限原则、持续行为审计和快速隔离能力；对企业而言，则需要把“影子AI”纳入风险管理，而不是简单一禁了之。禁止个人AI工具或许能减少表面风险，却可能把使用推向更隐蔽的角落。

漏洞可以修补，但治理滞后带来的风险不会自动消失。当AI代理越来越像“数字员工”，组织必须像管理员工一样管理它们：赋予身份、限定权限、记录行为、定期审查。

本文编译自WIRED