美军网络曝AI代码外泄，智能体运行两月未被发现

据美国《连线》杂志报道，埃森哲一名承包商员工被指将个人Claude Code账号接入美国国防部的安全系统。该AI智能体在国防部网络中运行两个月后才被发现，期间疑似将登录凭据、密码及网络结构信息发送至一个被美国国家标准与技术研究院标记为高风险的第三方网站。涉事环境运行于美国国防部的非密互联网协议路由网络NIPRNet，该网络用于处理非密信息，员工可通过它收发邮件和使用浏览器。

埃森哲否认相关指控，称经过彻底、独立的调查认定说法缺乏依据，公司完全履行了法律与合同义务。然而，前美国国家安全局黑客杰克·威廉姆斯指出，静态应用安全测试可能无法识别有意植入的后门，且AI生成代码速度远超人工，增加了审查压力。专家警告，非密环境中的信息汇总后可能暴露敏感内容，若攻击者利用外泄凭据进入测试环境并植入恶意代码，这些代码可能随工具进入更敏感的系统。

华盛顿IT咨询公司Hunter Strategy创始人马特·特里纳认为，政府承包商面临相互冲突的要求，既要快交付、压成本，又要应对安全事件带来的合同风险。报道称，埃森哲目前持有超过35亿美元的美国联邦政府合同，其中近6.05亿美元来自国防部。值得注意的是，Claude目前已被禁止供国防部工作人员使用，Anthropic回应称其使用政策禁止未经授权绕过身份验证或监控等安全控制。

这一事件凸显了在智能化工具深度融入政府关键基础设施时，传统安全管控流程与新兴AI开发效率之间的潜在冲突，安防行业需警惕代码流转路径中的隐蔽风险。