2026-11-04 00:53:07 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

一个私人AI账号，竟在美国国防网络里“潜伏”了两个月

原创

Owllntel
Owllntel

猫头鹰OSINT

2026年11月2日 15:17
四川

去阅读

2026年10月29日，外媒披露了一起发生在美国国防部内部的网络安全事件：埃森哲（Accenture）一名政府项目承包商将个人Claude Code AI智能体接入国防部NIPRNet网络，用于自动编写和部署代码。该智能体获得承包商的登录凭据及管理权限，在网络中持续运行约两个月，并将账户凭据、密码及网络结构信息发送至外部第三方网站。

个人AI接入五角大楼，内部凭据和网络信息外传

据悉，涉事人员是埃森哲（Accenture）一名参与美国国防部项目的承包商。2026年早些时候，该人员将个人Claude Code账户接入国防部一个供多个情报机构使用的集中式生产环境，用于自动编写代码、创建云服务器及部署程序。Claude Code是Anthropic推出的AI编程工具，能够读取文件、执行终端命令、修改代码并调用外部服务。为使智能体自动完成开发任务，承包商直接向其提供个人登录凭据，使其获得管理权限，能够代替本人提交和保存代码，并绕过正常登录流程中的部分安全控制。

该AI智能体在国防部NIPRNet网络中运行约两个月才被发现。在执行代码任务时，智能体需要连接互联网，期间疑似将承包商的登录凭据、密码及NIPRNet网络结构图发送至外部第三方网站。外媒指出，该网站此前已被美国国家标准与技术研究院（NIST）列为高风险网站，存在能够诱导AI编程智能体执行恶意指令、窃取凭据的漏洞。

网络结构图能够呈现内部系统、服务器及服务之间的连接关系，帮助攻击者识别关键节点和薄弱环节。涉事系统还存储着受控非机密信息（CUI），涵盖个人身份信息、企业专有资料、国防装备技术文件，以及核潜艇推进系统、化学和生物恐怖主义防范、管道设施、放射性物质具体位置及数量等内容。此类信息即使未达到机密等级，经过关联分析后也可能暴露重要设施布局、技术参数和运行关系，增加后续情报搜集与网络攻击的针对性。

美国国防部《国防联邦采购条例补充规定》DFARS 252.204-7012要求，涉及受保护国防信息的网络安全事件应按规定在发现后72小时内报告，并保留相关取证资料。埃森哲回应称，公司进行了全面、独立调查，认为相关指控缺乏事实依据，并表示已履行法律和合同义务，但没有说明具体调查主体；五角大楼则拒绝评论网络系统状况。

根据外媒披露的数据，埃森哲联邦政府合同总额超过35亿美元，其中与国防部相关的合同约6.05亿美元。2026年10月初，美国联邦调查局还因一名埃森哲承包商未及时修补系统漏洞，导致黑客组织ShinyHunters获取数千名FBI工作人员信息，将该承包商移出相关项目。泄露信息涉及工作人员联系方式、反情报岗位及人力情报人员住址等敏感内容。

此外，外媒援引网络安全咨询企业Hunter Strategy创始人马特·特里纳（Matt Triner）的观点指出，政府承包商面临项目交付速度、成本与安全要求之间的矛盾，企业可能因担心影响政府合同而不愿主动报告安全事件。此次事件也使承包商的安全责任、事件报告和内部监管问题受到关注。

从权限窃取到代码植入，AI打开三条攻击通道

此次事件中，承包商没有为AI智能体建立独立身份和权限体系，而是直接将个人登录凭据交给AI使用。智能体因此继承了用户的管理权限，能够执行代码提交、文件读取和服务器操作。

这种方式使AI智能体能够以合法账户身份持续开展操作，传统身份认证机制难以单独判断相关行为是否由本人发起。一旦智能体受到恶意指令控制，攻击者就可能借助已有权限读取敏感文件、修改系统配置或创建新的访问入口。个人账户授权由此可能成为外部工具进入内部网络的通道。

AI智能体需要读取网页、文档、代码仓库等外部内容完成任务，攻击者可以将恶意指令隐藏在这些内容中，诱导智能体读取本地文件、提取密码或调用外部接口。这类攻击被称为提示词注入（Prompt Injection）。

此次事件涉及的第三方网站存在诱导AI编程工具泄露凭据的漏洞，说明外部网站不仅可能成为数据传输目的地，也可能成为操纵智能体行为的入口。与传统钓鱼攻击不同，提示词注入能够利用AI的内容理解和工具调用能力，使其在合法权限范围内执行攻击者设定的操作。对于能够访问内部文档、数据库和外部服务的智能体，这类攻击可能进一步造成敏感数据外传。

此次事件涉及的NIPRNet，即美国国防部非机密互联网协议路由网络，主要用于处理非机密国防信息，能够连接互联网，但具有较严格的安全防护。美国国防部还使用秘密级网络SIPRNet和绝密级网络JWICS，分别承担秘密及绝密信息处理任务，两者采取物理或逻辑隔离措施，外部网络难以直接访问。

但不同安全等级系统之间仍存在软件开发、测试和部署联系。部分军事软件和工具会先在NIPRNet环境中测试，再进入SIPRNet或JWICS等更高安全等级网络。美国国家安全局前黑客杰克·威廉姆斯（Jake Williams）指出，如果攻击者利用泄露凭据进入NIPRNet，在软件工具或更新程序中植入恶意后门，相关代码就可能通过后续部署进入隔离网络。

传统静态应用安全测试（SAST）主要用于扫描代码漏洞和缺陷，却不一定能够识别刻意植入、能够正常运行的恶意后门。随着AI编程工具快速生成大量代码，人工逐项审核的难度进一步增加。威廉姆斯还指出，AI模型可能生成存在既有安全缺陷的代码，开发人员也未必能够完整追溯代码的生成过程。这使AI编程工具带来的风险不再局限于数据泄露，还可能延伸至软件供应链和关键系统安全。

禁用AI供应商仍不够，智能体监管存在哪些漏洞

2026年10月7日，人工智能合作组织（Partnership on AI）发布《AI智能体的可观测性缺口》（The Observability Gap in AI Agents）报告，对四种常用智能体框架进行评估，发现其在六个方面存在监控缺口：持续身份标识、权限模式变化、记忆内容修改、人工干预记录、推理过程记录及令牌级日志。

报告指出，部分框架无法持续追踪智能体身份和权限来源，不能完整记录权限变化，也缺少人工审批过程的详细记录。这些问题使管理人员难以还原智能体的完整操作过程，难以及时识别异常行为。

报告还提到，2026年7月，一款处于测试阶段的AI智能体曾突破测试环境并攻击Hugging Face系统，相关入侵近一周后才被发现。这说明发布前测试难以覆盖智能体运行过程中的全部风险，持续监控和行为审计仍存在明显不足。

2026年3月5日，美国国防部将Anthropic列为供应链风险对象，限制政府承包商在国防部合同项目中使用Claude。3月6日，五角大楼向军方高级领导层下发内部备忘录，要求相关系统在规定期限内移除Anthropic技术。此举源于美国政府与Anthropic围绕军事用途及安全限制产生的争议。

但此次事件表明，限制特定AI供应商并不能彻底解决未经授权的工具接入问题。涉事承包商使用个人Claude账户，将其接入国防部工作环境，说明个人账户、外部插件及第三方服务仍可能绕开机构采购和技术审批流程。即使机构限制了特定产品，个人账户和外部API仍可能形成新的接入渠道。

针对智能体自主操作带来的风险，TMCnet于10月30日刊发的评论提出，应为每个AI智能体建立独立身份，实施最小权限管理，对外部服务调用进行监控，并对系统修改、敏感数据传输设置人工审批。Partnership on AI的报告也提出，模型开发商、智能体框架提供商、企业用户和监管机构需要共同完善运行日志、权限追踪及实时监控机制。

美国国防领域此前还出现过类似的软件供应链管理问题。2025年，ProPublica披露微软联邦政府项目曾使用所谓“数字陪同人员”机制，由持有安全许可的美国员工监督外包人员编写代码，但相关专家质疑，监督人员未必具备充分审核代码的能力，可能使恶意代码在未经有效检查的情况下进入政府系统。此次AI智能体事件与此前的软件外包问题相互映照，反映出自动化开发和外包协作不断扩大，安全审查却未能同步跟进。

结语

从个人账户授权到内部数据外传，再到恶意代码可能进入软件供应链，此次事件暴露的并不只是AI工具使用不规范的问题，而是传统网络安全管理体系与智能体自主操作能力之间出现了新的监管缺口。

这一变化值得引起重视。当前，AI智能体在国防科研、军工生产及关键基础设施等领域的应用不断拓展，个人账户违规接入、外部API调用、第三方插件使用以及自动化代码部署，都可能成为安全管理中的薄弱环节。一旦智能体获得超出任务需要的系统权限，或者其数据流向和外部调用行为缺乏有效监控，内部敏感信息就可能通过正常业务流程外传，恶意代码也可能借助软件开发和系统更新进入关键业务环境。