内容来源：https://www.wired.com/story/a-defense-contractor-gave-their-personal-ai-agent-access-to-a-secure-pentagon-system/

内容总结：

今年早些时候，一名承包商将多个情报机构共用的一个安全集中系统连接至其个人Claude Code账户，导致国防部发生安全事件。该承包商受雇于全球咨询公司埃森哲。据称，其使用的AI编程代理随后将该国防部系统的信息（包括登录凭证）发送至一个高风险第三方网站。该集中系统包含受控非机密信息（CUI），此类信息被视为敏感信息，未经审查不得向公众披露，可能涉及关键基础设施、核潜艇推进系统以及化生恐怖主义脆弱性等内容。安全专家指出，对该系统的访问权限可能被用于进一步利用更敏感的系统。

一名了解该事件的消息人士表示：“这让系统中所有数据都处于风险之中。”该人士因未获授权向媒体发言而要求匿名。若第三方软件被攻破，“可能有人能够在不被察觉的情况下登录安全环境。这百分之百是国家安全威胁，可能造成不可挽回的损害。”国防部发言人向《连线》表示，“国防部不对其网络或系统状态发表评论。”埃森哲发言人表示：“我们严肃对待所有关切。这些指控经过了彻底且独立的调查，被认定毫无依据。我们完全遵守了法律和合同义务。”在被追问时，埃森哲未说明调查由谁进行，也未否认存在可被定性为安全事件的情况。

据称，该埃森哲员工将安全的生产环境连接至其个人Claude账户，以便AI代理编写和部署代码。国防部工作人员目前被禁止使用Claude。Anthropic向《连线》引述了其使用政策，该政策要求用户不得利用其产品“干扰军事基地及相关基础设施的运行”，或“未经授权绕过身份验证系统、端点保护或监控工具等安全控制措施”。该埃森哲员工的AI代理在国防部网络上运行了两个月才被发现并修补漏洞。消息人士称，尽管该AI编程代理构成安全风险，埃森哲员工并未将该事件视为严重或紧急事项。国防部员工和联邦承包商须在发现网络安全事件后72小时内报告，但消息人士称埃森哲最初根本未向政府报告此次泄露。

“我们目前正与伊朗处于冲突之中，”该员工指出，伊朗曾试图入侵多个联邦机构和美国部分基础设施。“现在是最不该持有这种漫不经心态度的时候。”

埃森哲目前与联邦政府签订的合同总额超过35亿美元，其中近6.05亿美元来自国防部。该公司还与其他联邦机构签约，包括教育部、总务管理局和能源部等。本月早些时候，联邦调查局发现埃森哲一名承包商未能修补漏洞，导致黑客组织ShinyHunters获取了数千名FBI员工的详细信息。FBI于10月初移除了该承包商。

华盛顿特区IT咨询公司Hunter Strategy创始人Matt Triner表示，这一问题体现了政府承包商普遍面临的需求冲突。“组织往往因报告此类事件而受到惩罚，尽管这是正确且合法的做法，”Triner说。他表示，在许多情况下，公司可能因承认发生安全泄露而失去政府合同，但他称所描述的事件“绝对属于需要报告的事件”。Triner还指出，承包商面临越来越大的压力，要求以更快速度和更低价格交付项目，这与优先考虑安全性的要求相矛盾。“不幸的是，每个人都在一个存在相互竞争的规则和激励机制的系统中运作，这在AI出现之前就已存在，但现在速度方面的问题是一样的，”Triner说。

埃森哲承包商所访问的编程环境运行在非机密互联网协议路由器网络（NIPRNet）上，这是国防部用于非机密信息的网络。虽然该网络连接互联网——承包商和员工可通过该网络访问电子邮件和浏览器——但其安全性很高。据消息人士称，为自动化编写代码和启动云服务器的过程，该承包商将其登录凭证提供给了Claude代理。这使代理获得了管理权限，并允许其绕过正常登录流程所执行的安全控制。该AI代理不仅编写代码，还代表埃森哲员工提交或保存代码至系统，需要连接互联网来执行任务。在此过程中，它似乎将该承包商的登录凭证、密码和NIPRNet的映射图发送至一个第三方网站。

《连线》拒绝透露该第三方网站的名称，以保护系统免受进一步脆弱性影响，但美国国家标准与技术研究院此前已将其列为高风险，因其存在漏洞，可能允许黑客向AI编程代理注入指令以窃取凭证。该AI代理访问的系统包含CUI。“来自CUI环境的信息不应离开该基础设施，”消息人士说。“目前无法了解信息（包括登录凭证）被发送至[该服务]后发生了什么，是否被保留。”

根据机构和工作的不同，CUI可包括从个人身份信息到专有商业或合同信息等各种内容。据国防部网站，CUI可包括“爆炸物、危险化学品或管道的安保和防护”、“军事或太空设备或技术”设计相关文件，以及“放射性物质的精确位置和数量”。与实际数据不同，数据映射图对黑客可能极具价值。“一旦攻击者理解了这些事物如何关联，即使这些事物是公开信息，敏感之处在于我们如何将它们组合在一起并转化为可操作的情报，”Triner说。他表示，映射图可能无法让黑客进入系统，但可以帮助对手在获得访问权限后更快行动，并“帮助攻击者了解核心资产在哪里”。

前NSA黑客、情报与安全咨询公司IANS教员Jake Williams表示，在NIPRNet上运行代码的AI代理是一个“巨大的问题，具有巨大的国家安全影响”。Williams指出，虽然个别数据或信息可能被视为CUI，“但当这些非机密信息被聚合时，其本身可能变为机密。”例如，某些危险材料的位置可能是CUI，有关其存放设施脆弱性的信息也可能是CUI。然而，两者结合可能揭示本应保密的信息。

但这并非机密信息面临风险的唯一途径。工具和代码通常先在NIPRNet中测试，然后才部署到更敏感的系统，如用于机密信息的保密互联网协议路由器网络（SIPRNet）和用于绝密信息的安全内联网联合全球情报通信系统（JWICS）。SIPRNet和JWICS均采用物理隔离，即不连接任何外部网络。在实际层面上，这意味着黑客极难远程访问SIPRNet和JWICS。但借助AI代理窃取的登录凭证，黑客可访问NIPRNet并在工具或系统中植入后门或其他恶意代码。若无适当审查，该代码可能最终部署到某个物理隔离系统中。

“代码可以在NIPR中完全正常运行，却在SIPR网络中执行恶意且未披露的操作，这百分之百可能，”Williams说。他补充说，从这些网络中窃取数据会很困难，但恶意代码可用于从内部攻击系统。“我认为最可能的情况是某种分布式拒绝服务攻击，”他说。Triner表示，即使更微妙的情况，如减缓情报行动和活动，也可能造成损害，并使用户在问题修复后仍对该工具失去信任。

随着“氛围编程”（即提示AI助手为工程师描述的产品编写代码）日益普遍，审查代码变得越来越具有挑战性。AI生成代码的量远超人类生产力，使得审查既耗时又困难。“当你使用代理时，你完全不知道供应链甚至推理链，不知道最终生成代码的是什么，”Williams说。“这些大语言模型训练所用的大量代码本身就有漏洞，它们可能重复输出我们在其他代码中看到的同类架构和架构问题。”政府确实有办法识别NIPRNet中的缺陷代码。静态应用安全测试（SAST）会在允许代码运行前扫描漏洞和缺陷。但Williams指出，黑客植入的“后门不是漏洞，即使我们可能不希望它在那里”，因此很可能不会被SAST检测到。SAST通常也无法识别代码创建逻辑链中的结构性问题。

目前没有迹象表明黑客能够进入机密或绝密系统。尽管如此，Williams表示，该事件应引起重大警觉。“从架构上讲，任何无法通过开源情报获取的关于NIPR的信息，国防部都视为紧密控制信息，无论其是否涉及机密网络，”他说。这并非国防部首次因AI相关问题而暴露脆弱性。去年，ProPublica披露微软在联邦政府项目中使用了“数字护送”机制，即拥有安全许可的美国员工监督中国外包工人编写的代码。接受ProPublica采访的专家表示，该计划构成特殊安全风险，因为美国员工往往无法自行审查代码，为恶意代码在不知情情况下被植入政府系统留下可乘之机。

中文翻译：

今年早些时候，有消息人士向《连线》透露，一名承包商将多个情报机构共用的一个安全集中系统连接到其个人的Claude Code账户上，从而在国防部引发了一起安全事件。Claude Code是Anthropic公司的人工智能编程代理。这名受雇于全球咨询公司埃森哲的承包商所使用的代理，似乎随后将该国防部系统的信息——包括登录凭证——发送到了一个高风险第三方网站。

该集中系统包含受控非机密信息（CUI），此类信息被视为敏感信息，未经审查不得向公众发布。CUI可能包括关于关键基础设施、核潜艇推进系统以及化学生物恐怖主义脆弱性等方面的信息。此外，安全专家表示，对该系统的访问权限还可能被用来利用更为敏感的系统。

“这让系统中所有的数据都处于风险之中，”一位了解该事件的消息人士说，该人士因未获授权向媒体发言而要求匿名。如果该第三方软件被攻破，“可能有人在外面能够登录到一个安全环境而无人知晓。这百分之百是国家安全隐患，可能造成不可挽回的损害。”

国防部发言人向《连线》表示，“国防部不对其网络或系统的状态发表评论。”

“我们认真对待所有关切。这些指控经过了彻底和独立的调查，被认定缺乏依据。我们完全遵守了我们的法律和合同义务，”埃森哲发言人在给《连线》的声明中表示。当被追问时，埃森哲没有澄清是谁进行了调查，也没有否认曾发生过可被定性为安全事件的情况。

据称，该埃森哲员工将一个安全的生产环境连接到其个人Claude账户，以便让人工智能代理编写和部署代码。Claude目前被禁止供国防部工作人员使用。（Anthropic公司让《连线》参考其使用政策，该政策指示用户不得使用其产品“干扰军事基地及相关基础设施的运作”，也不得“未经授权绕过身份验证系统、端点保护或监控工具等安全控制措施”。）

该埃森哲员工的人工智能代理在国防部网络上运行了两个月才被发现并修补了漏洞。消息人士指出，尽管该人工智能编程代理构成了安全风险，埃森哲员工并未将该事件视为严重或紧急事项。国防部员工和联邦承包商被要求在发现网络安全事件后72小时内报告，但消息人士指出，埃森哲最初根本没有向政府报告此次入侵。

“我们现在正与伊朗处于冲突之中，”该员工说，并指出伊朗曾试图入侵多个联邦机构和美国部分基础设施。“现在是最不该抱有这种漫不经心态度的时候。”

埃森哲目前与联邦政府签订的合同金额超过35亿美元，其中近6.05亿美元是与国防部签订的。该公司还与其他联邦机构签有合同，如教育部、总务管理局和能源部等。本月早些时候，联邦调查局发现一名埃森哲承包商未能修补一个漏洞，导致黑客组织ShinyHunters获取了该局数千名员工的详细信息。联邦调查局于10月初移除了该承包商。

总部位于华盛顿特区的IT咨询公司Hunter Strategy的创始人马特·特赖纳表示，这一问题体现了政府承包商在更广泛层面上面临的矛盾性要求。“组织往往因为报告此类事件而受到惩罚，即使这是正确且合法的做法，”特赖纳说。他表示，在许多情况下，一家公司可能因为承认发生过安全漏洞而失去政府合同，尽管他说像所描述的这类事件“绝对是需要报告的”。

特赖纳还指出，对承包商以更快速度和更低价格交付项目的压力越来越大，这与优先考虑安全保障相矛盾。“不幸的是，每个人都在一个存在相互竞争的规则和激励机制的系统中运作，这在人工智能之前就存在了，但现在在速度方面面临着同样的问题，”特赖纳说。

埃森哲承包商所访问的编程环境运行在非机密互联网协议路由器网络（NIPRNet）上，这是国防部用于非机密信息的网络。虽然它确实连接互联网——承包商和员工可以通过该网络访问电子邮件和网页浏览器——但它受到严格的安全保护。

据消息人士称，为了自动化编写代码和启动云服务器的过程，该承包商将其登录凭证提供给了Claude代理。这赋予代理管理员访问权限，并使其能够绕过通过正常登录流程实施的安全控制。该人工智能代理——不仅编写代码，还代表埃森哲员工提交或将代码保存到系统中——需要连接互联网来执行任务。在此过程中，它似乎将该承包商的登录凭证、密码以及NIPRNet的网络拓扑图发送到了一个第三方网站。

《连线》拒绝透露该第三方网站的名称，以保护系统免受进一步的安全隐患，但美国国家标准与技术研究院此前已将其列为高风险，因为它存在一个漏洞，可能让黑客向人工智能编程代理注入指令以窃取凭证。

该人工智能代理所访问的系统包含CUI。“CUI环境中的信息不应该离开该基础设施，”消息人士说。“目前无法了解这些信息——包括登录凭证——在被发送到[该服务]之后发生了什么，是否被保留。”

根据机构和其工作性质的不同，CUI可以包括从个人可识别信息到专有商业或合同信息等各种内容。根据国防部网站，CUI可以包括关于“爆炸物、危险化学品或管道的安全保障”的信息，与“军事或太空设备或技术”设计相关的文件，以及“放射性物质的确切位置和数量”。

与实际数据不同，一份数据拓扑图对黑客来说可能极具价值。“一旦攻击者理解了这些东西如何相互关联，即使这些东西是公开信息，敏感的是我们如何将这些事物组合在一起并将其转化为可操作的情报，”特赖纳说。

他说，虽然拓扑图可能无法让黑客进入系统，但它可以帮助对手在获得访问权限后更快行动，并“帮助攻击者了解核心资产在哪里”。

前美国国家安全局黑客、情报与安全咨询公司IANS的教员杰克·威廉姆斯表示，一个在NIPRNet上运行代码的人工智能代理是一个“巨大的问题，具有巨大的国家安全影响”。

威廉姆斯指出，虽然单独的数据或信息片段可能被视为CUI，“当这些非机密信息被聚合在一起时，它本身可能就变成了机密。”例如，某些危险材料的位置可能是CUI，关于存放这些材料的设施脆弱性的信息也可能是CUI。然而，将它们结合在一起，就可能泄露本应保密的信息。

但这并非机密信息可能面临风险的唯一途径。通常，工具和代码在部署到更敏感的系统之前会在NIPRNet上进行测试，例如军方的机密信息安全网络——秘密互联网协议路由器网络（SIPRNet），以及绝密信息安全内联网——联合全球情报通信系统（JWICS）。SIPRNet和JWICS都采用物理隔离，这是一种安全措施，意味着它们不与任何外部网络连接。在实际层面上，这意味着黑客极难远程访问SIPRNet和JWICS。

但是，利用被人工智能代理窃取的登录凭证，黑客可以访问NIPRNet并在工具或系统中植入后门或其他恶意代码。如果没有适当的审查，这些代码可能最终被部署到某个物理隔离的系统中。

“代码可以在NIPR中完全正常运行，而在SIPR网络中做出恶意的、未被披露的事情，这百分之百是可能的，”威廉姆斯说。他补充说，从这些网络中窃取数据会很困难，但恶意代码可以被用来从内部攻击系统。“我认为最可能的情况是某种分布式拒绝服务攻击，”他说。

特赖纳表示，即使是更微妙的事情，比如拖慢情报行动和活动，也可能造成损害，并使用户对工具失去信任，即使问题后来被修复。

随着“氛围编程”——即让工程师描述产品，提示人工智能助手编写代码——变得越来越普遍，审查代码正变得越来越具有挑战性。人工智能生成代码的数量远远超过人类的生产力，使得审查既耗时又困难。

“当你使用一个代理时，你完全不知道供应链，甚至不知道最终生成代码的推理链是什么，”威廉姆斯说。“这些大语言模型训练所用的大量代码本身就有漏洞，它们可能 regurgitate 我们在其他代码中看到的相同类型的架构和架构问题。”

政府确实有办法识别NIPRNet中的缺陷代码。静态应用安全测试（SAST）会在允许代码运行之前扫描代码中的漏洞和缺陷。但威廉姆斯指出，黑客植入的“后门不是漏洞，即使我们可能不希望它在那里”，因此很可能不会被SAST的检测发现。SAST通常也无法识别代码创建逻辑链中的结构性问题。

没有迹象表明黑客能够进入机密或绝密系统。尽管如此，威廉姆斯说，这一事件应引起重大警觉。“从架构上讲，任何你无法通过开源情报获取的关于NIPR的信息，国防部都视为密切保护对象，无论其是否涉及机密网络，”他说。

这不是国防部第一次因人工智能相关问题而变得脆弱。去年，ProPublica披露微软在其与联邦政府的项目中使用了“数字护送”，即拥有安全许可的美国员工监督由中国外包工人编写的代码。接受ProPublica采访的专家表示，该计划构成了特殊的安全风险，因为美国员工往往无法亲自审查代码，为恶意代码在不知情的情况下被植入政府系统留下了可乘之机。

评论
返回顶部

英文来源：

Accenture currently has more than $3.5 billion in contracts with the federal government, nearly $605 million of which are with the DOD. The company also contracts with other federal agencies, such as the Department of Education, the General Services Administration, and the Department of Energy, among others. Earlier this month, the Federal Bureau of Investigation found that an Accenture contractor failed to patch a vulnerability that led to the hacking group ShinyHunters getting access to the details of thousands of the Bureau’s employees. The FBI removed that contractor in early October.
Matt Triner, founder of Hunter Strategy, a Washington, DC-based IT consulting company, says that the issue exemplifies the conflicting demands government contractors face more broadly. “Organizations are often punished for reporting incidents like this, even though it’s the right and legal thing to do,” says Triner. In many cases, he says, a company could lose government contracts by admitting they’ve had a security breach, though he says that an incident like the one described is “absolutely one that would need to be reported.”
Triner also notes that the increasing pressure on contractors to deliver projects faster and at a lower price point is at odds with prioritizing safety and security. “Unfortunately, everyone is operating in a system where there are competing rules and incentives, and that existed before AI, but now it’s the same problem on speed,” says Triner.
The coding environment accessed by the Accenture contractor is run on the Non-classified Internet Protocol Router Network (NIPRNet), a DOD network used for unclassified information. While it does connect to the internet—contractors and employees can access their emails and web browsers through the network—it is heavily secured.
According to the source, in order to automate the process of writing code and spinning up cloud servers, the contractor gave their login credentials to the Claude agent. This gave the agent administrative access and allowed it to bypass the security controls enforced through the normal login process. The AI agent—which was not only writing code but also committing it or saving the code into the system on behalf of the Accenture employee—needed to connect out to the internet to perform its tasks. In doing so, it appears to have sent the contractor’s login credentials, passwords, and a map of NIPRNet out to a third-party website.
WIRED is declining to name the third-party website so as to protect the system from further vulnerability, but the National Institute of Standards and Technology has previously identified it as high risk because it has a vulnerability that could let hackers inject instructions into an AI coding agent to steal credentials.
The system the AI agent accessed contained CUI. “Information from a CUI environment is not supposed to leave that infrastructure,” says the source. “There is no insight about what happened to the information, including the login credentials, after it was sent to [that service], whether it’s been retained”
Depending on the agency and its work, CUI can include anything from personally identifiable information to proprietary business or contracting information. According to the DOD’s website, CUI can include information on “the securing and safeguarding of explosives, hazardous chemicals, or pipelines,” documentation related to the designs of “military or space equipment or technology,” and “the exact location and quantities of radioactive material.”
Distinct from the actual data, a map of it could be incredibly valuable to a hacker. “Once an attacker understands how those things fit together, even if those things are public information, what is sensitive is how we are putting those things together and turning that into actionable intelligence,” says Triner.
While a map might not get a hacker into a system, he says, it could help an adversary move faster once they do have access and “help an attacker understand where the crown jewels are.”
Jake Williams, a former NSA hacker and faculty at IANS, an intelligence and security consultancy, says that an AI agent running code in NIPRNet presents a “huge problem, and there are huge national security impacts.”
Williams notes that while individual pieces of data or information might be considered CUI, “when that unclassified information is aggregated, that can become classified itself.” For instance, the location of certain hazardous materials might be CUI, as might be information about the vulnerability of the facilities that house them. Combined, however, they could reveal information that would be kept classified.
But this is not the only way classified information may have been put at risk. Frequently, tools and code are tested in NIPRNet before being deployed into more sensitive systems like the Secret Internet Protocol Router Network (SIPRNet), the military’s secured network for classified information, and Joint Worldwide Intelligence Communications System (JWICS), a secure intranet for top secret information. Both SIPRNet and JWICS are air gapped, a security measure that means they are not connected to any outside networks. On a practical level, that means SIPRNet and JWICS would be extremely difficult for a hacker to access remotely.
But with the login credentials exfiltrated by an AI agent, a hacker could access NIPRNet and insert a backdoor or other malicious code into a tool or system. Without proper review, this code could end up deployed in one of the air-gapped systems.
“The code could operate completely normally in NIPR and do something malicious and undisclosed in a SIPR network, that is 100 percent possible,” says Williams. Exfiltrating data out of these networks would be difficult, he adds, but malicious code could be used to attack the systems from the inside. “I think the most likely thing would be some kind of distributed denial of service attack,” he says.
Triner says that even something more subtle, such as slowing down intelligence operations and activities, could cause damage and make users lose trust in a tool, even once the problem is fixed.
As vibe coding, or prompting an AI assistant to write the code for a product described by an engineer, is becoming more common, vetting code is becoming more of a challenge. AI is capable of generating code at a volume that far surpasses human productivity, making it time-consuming and difficult to vet.
“When you’re using an agent, you have no idea of the supply chain or even the inference chain of what has ultimately generated the code,” says Williams. “A lot of the code that these LLMs were trained on is itself vulnerable, and they can regurgitate the same kinds of architecture and architectural issues that we see in other code.”
The government does have a way to identify flawed code in NIPRNet. Static Application Security Testing (SAST) scans code for bugs and flaws before allowing it to run. But Williams notes that a hacker-inserted “backdoor is not a vulnerability, even if we may not want it there,” and therefore would likely fly under the radar of SAST’s detection. SAST also does not usually identify structural issues in the logic chain of how code is created.
There’s no indication that hackers were able to get into a classified or top-secret system. Still, Williams says, the incident should raise significant alarms. “Architecturally, any information about NIPR that you can’t see through open-source intelligence, DOD considers a close hold regardless of whether something touches a classified network,” he says.
This is not the first time the DOD has been made vulnerable because of AI-related issues. Last year, ProPublica revealed that Microsoft was using “digital escorts” on its projects with the federal government, wherein American employees with security clearances would be overseeing code written by outsourced workers in China. Experts who spoke to ProPublica said that the program presented a particular security risk because the American employees were often not able to vet the code themselves, leaving openings for malicious code to be inserted unknowingly into government systems.
Comments
Back to top