OpenAI 聘用了那家攻破 Anthropic 系统的公司，来主导内部安全冲刺
Cathedral 的 AI 智能体通过企业软件，在不到 12 小时内就摸到了 Anthropic 的人事和薪资记录
OpenAI 在 11 月 3 日宣布，已经聘请 Cathedral Systems——一家由四名前「政府效率部」（DOGE）员工共同创立的初创公司，其 AI 智能体最近通过第三方企业软件攻破了 Anthropic 的内部行政系统——来执行攻击性安全测试，作为一次全面内部安全整顿的一部分。五周前，《纽约时报》发表过一篇调查报道，披露 OpenAI 员工早在 2026 年那几起 AI 智能体事件升级之前的几个月里，就已经在向公司领导层警示运营安全上的缺陷。这两份披露放在一起，构成了迄今为止最详细的一幅公开画面，说明打造前沿 AI 的这场竞赛，正在跑在围绕它的安全基础设施前面。
OpenAI 的这份公告描述了一种积极的姿态：漏洞赏金最高提升到 17.2 万美元（含奖金），比此前的上限翻了四倍以上；把 25% 的生产工程师重新调配去做安全工作——这项举措从 8 月起，在产品高管 Thibault Sottiaux 的带领下就已经在推进；再加上聘请 Cathedral，用它探测 Anthropic 时所用的同一套方法，来探测 OpenAI 自己的系统。
它没有回应的——也是竞争对手的报道都没有问到的——是一个没有干净答案的治理问题：谁来监督一家与政界关系密切的攻击性安全公司，在一份不公开条款的私人合同下，在一家前沿 AI 实验室内部运作，而且用的技术，正是这家公司最近一次企业级测试对象公开提出异议的那套技术？
Cathedral 是如何通过供应商，摸到 Anthropic 内部数据的
Cathedral 的 AI 智能体，并不是直接攻破了 Anthropic 的核心防御。根据《华盛顿邮报》审阅过的一份草拟报告，Cathedral 的研究人员最初花了几天时间，尝试攻破 Anthropic 自己的软件，没有成功。真正的突破，发生在他们把 AI 智能体转向 Anthropic——就像几乎所有大型科技公司一样——依赖的那一整套第三方企业平台生态，用于人事管理、销售运营、IT 管理和内部沟通。
一旦把目标对准这个攻击面，这些智能体就自主地绘制出了可用的集成路径。转向这个方向后不到十二小时，它们就摸到了敏感数据：内部会议记录、薪资和录用条件细节、关于 Anthropic 最先进 AI 模型的 Slack 讨论，以及一些 Anthropic 客户和合作方的商业联系方式。促成这次访问的具体供应商，目前还没有被公开指名；Anthropic 表示相关补丁仍在开发中。
让这一切成为可能的技术，属于一个已经被充分记录的攻击类别：供应链利用——攻击者无法攻破主要目标那道加固过的外围防线时，转而通过一个防御较弱的受信任供应商去触及它。2013 年的 Target 数据泄露事件，就是通过一家拥有网络访问权限的暖通空调承包商进入的。2020 年的 SolarWinds 事件——波及了大约 1.8 万家机构——是通过一条受信任的软件更新渠道投递恶意代码的。2017 年的 NotPetya 攻击，通过一款被投毒的乌克兰会计软件，在全球范围内扩散。每一次，目标自身的防御都挡住了攻击；而与之相邻的生态系统，没有挡住。
AI 智能体具体带来的，是消除了这类攻击此前最主要约束的速度和并行能力。一名人类研究员，要去梳理一家机构企业软件之间的集成关系——追踪哪个 CRM 连到哪个人事平台，哪个 IT 管理工具带着什么凭证，Slack 的集成把数据路由到了哪里——会受限于注意力的顺序性和时间。而 AI 智能体可以同时遍历这些集成路径，把相连供应商系统里的各个漏洞串联起来，把枚举过程从几天或几周压缩到几个小时。Cathedral 转向 Anthropic 的供应商生态之后不到十二小时就见效，这件事本身就是一个具体的证明；另一个独立的数据点同样能说明这一点：一个说中文的威胁行为者，用类似的 AI 智能体技术，在 2026 年针对美国、加拿大、澳大利亚和日本的 1200 多个站点发起攻击，据网络安全公司 NorForge 的一份报告所述，平均每一次成功入侵的成本大约只有五十美元。
AI 智能体在纯粹速度之外具体带来的，是一种不会随之退化的并行枚举能力。一名人类研究员做同样的攻击，需要依次挑选要调查哪些供应商集成，在每个决策点都会损失时间，还可能因为认知负荷而放弃一些本来有希望的路径。而一个 AI 智能体可以同时追踪全部可用路径，在多个供应商 API 和软件权限范围之间维持状态，把最有成效的链路继续升级，同时对死胡同降低优先级——这一切都不需要人在操作层面下指令。Cathedral 的技术报告把这称为「自主路径遍历」：给智能体一个目标环境和一个目标，它自己决定走哪条路。研究人员的角色，是启动智能体并审查结果，而不是指挥每一步。
这种运作模式，正是为什么那十二个小时的时间线，主要衡量的不是 Cathedral 有多高明。它衡量的是 AI 智能体技术如今能让什么变成常规操作。Cathedral 具体用了哪些攻击步骤，在供应商打补丁之前仍未披露，但其总体架构——自主的集成映射、凭证与权限枚举、针对性的数据提取——是一种正被越来越多地记录在案的能力，资源远不如一家资金充裕、具备 AI 专长的初创公司的行为者，也能触及。
AI 编程初创公司 Cognition 的首席信息安全官、Facebook 前 CSOAlex Stamos
，为《华盛顿邮报》审阅了 Cathedral 的这份草拟报告。他的判断是：这次测试暴露出了 Anthropic 在管理第三方软件集成方式上的弱点，而这一点的影响，广泛适用于整个科技行业，不只是 Anthropic 一家的问题。这种模式——一家把核心系统守得很严、却仍暴露在自己无法完全掌控的行政软件层面上的 AI 实验室——描述的是今天在运营的每一家主要 AI 机构。
Anthropic 表示，在 Cathedral 提交正式披露之前，自己的监控系统就已经标记出了部分活动。公司在确认这次入侵的当天就停用了受影响的软件，向联邦官员作了通报，并只在相关供应商确认补丁到位之后才恢复使用。公司对范围说得很明确：Claude 的用户对话、Anthropic 的源代码和它的 AI 模型权重，在整次测试过程中都没有被触及。
一场带有治理意味的漏洞赏金争议
这次测试，是在 Anthropic 的漏洞披露计划框架下进行的。Cathedral 把发现同时提交给了 Anthropic 和受影响的供应商。随后演变成了一场公开争议，目前双方都还没有采取法律行动。Anthropic 的立场——由其网络安全负责人 Logan Graham 在《华盛顿邮报》10 月 26 日那篇报道
中描述——是 Cathedral 没能充分披露自己在 Anthropic 系统内部活动的全部范围，违反了该计划的条款，而且这家公司把自己发现的国家安全影响，表述得比 Anthropic 认为合理的程度更夸大。Cathedral 则把自己的数据访问描述为「控制在绝对最低限度」，并把这次测试定性为对整个行业更广泛风险的一次展示。Cathedral 的一名发言人，拒绝就这场范围争议发表具体评论。
漏洞赏金范围上的分歧，是安全行业里一种公认的结构性张力。各项目都会界定授权边界；在边界之外行动的研究者，面临《计算机欺诈与滥用法》下潜在的法律风险，有些公司有时会选择用法律手段回应，而不是支付赏金。让 Anthropic 这次指控与众不同的，是指控的具体性质：不只是说 Cathedral 超出了范围，而是说它没有披露超出范围的程度。如果这项指控属实，它描述的是一种披露操作上的问题，而这直接关系到 Cathedral 作为「如今正在 OpenAI 系统内部、按一份条款不公开的安全合同运作的公司」的可信度。
这种讽刺似乎并没有成为 OpenAI 签约决策时考虑的因素——或者如果考虑过，OpenAI 也没有公开谈及。
Cathedral 的创始人，以及他们与 Anthropic 的关联Cathedral 由 Gavin Kliger、Luke Farritor、Marko Elez 和 Jack Stein 共同创立——四人都是前 DOGE 员工。据 Pitchbook 的数据，公司已经以 14 亿美元估值融资 1.6 亿美元，背后有 Andreessen Horowitz 和红杉资本的支持。据 Gizmodo 的报道，特朗普的盟友 Marc Andreessen 和 Shaun Maguire也坐在董事会里
。Kliger 与 Anthropic 有着最直接的机构层面的历史关联。离开 DOGE 之后，他在 2026 年 3 月被任命为五角大楼首席数据官
。在那段时间里，美国国防部与 Anthropic 之间，围绕 Anthropic 模型能在联邦系统内如何使用的限制问题，爆发过一场备受关注的争议——据报道，Kliger 当时正是以国防部数据主管的身份参与了这场争议。他后来联合创立了 Cathedral，而这家公司随后进行的一次测试，恰恰攻破了 Anthropic 的行政系统。这条发展轨迹——一名政府官员曾与 Anthropic 就 AI 访问权限产生争议，随后作为私营部门的创始人，去展示对 Anthropic 外围系统的渗透——构成了一种机构层面的关联，而 Kliger 把自己公开定位为一名中立的安全研究者，并不能完全解释清楚这一点。联合创始人 Marko Elez 在 2025 年初，因为被曝出带有种族主义色彩的社交媒体帖子而辞去了 DOGE 的职务，随后在埃隆·马斯克和副总统 JD Vance 公开表态支持之后被重新聘用。他现在是一家持有政府安全合同、并受聘对一家顶级 AI 实验室执行攻击性安全测试的公司的联合创始人。相比之下，Luke Farritor 拥有独立于 DOGE 经历的、实打实的 AI 履历：他在 2023 年的维苏威挑战赛上获奖
，凭借用 AI 破译出此前无法读取的赫库兰尼姆古卷文字——那是被维苏威火山喷发炭化的卷轴——这项成就，在 DOGE 时期之前，就已经确立了他在应用 AI 领域的声誉。
谁来审查审查者：一个没人在问的治理缺口
OpenAI 把自己与 Cathedral 的合作，描述为一场更广泛的安全加固工作的一部分。它没有描述的，是一套治理框架：当 Cathedral 在 OpenAI 系统内部有所发现时，谁来监督它发现了什么、披露了什么，以及如果它在 OpenAI 环境内的披露做法，与 Anthropic 所指控的情况如出一辙，会有什么追索手段。
漏洞赏金计划，是为外部披露而设计的，带有明确界定的范围、法律参数和付款结构。而一份受聘执行的攻击性安全合作，运作在不同的规范之下，受 OpenAI 和 Cathedral 之间任何私人合同条款的约束——这些条款并未公开。
这件事所引出的结构性问题，并非这次合作独有，但在这里格外集中。Cathedral 是一家由政治关系密切的前政府官员创立的初创公司，背后的投资者有着明确记录在案的政治关联，而它在最近一次可比的合作测试中，所用的方法被测试对象公开指控超出了范围。它持有三份联邦机构合同。它的 CEO，在政府任职期间，曾对 Anthropic 最主要的政府对接方拥有机构层面的权限。而现在，它受聘去摸清 OpenAI 基础设施内部的漏洞。一位匿名的特朗普政府高级官员告诉《华盛顿邮报》
，Cathedral 从那次针对 Anthropic 的测试中获得的发现，已经引发了国家安全方面的关注，而政府正在与 Cathedral 就敌对性 AI 场景展开合作。这位官员把「外国对手有可能访问 AI 实验室内部系统」这种可能性，描述为「几乎是核武器级别的材料」。这种定性——Anthropic 就其具体情形而言表示不认同——暗示着，Cathedral 的这项工作，在华盛顿被理解为带有超出普通商业安全测试的情报维度。如果这种定性属实，那么 Cathedral 在 OpenAI 这次合作缺乏公开监督框架这件事，就不只是一个企业治理问题。
OpenAI 的安全记录，以及《纽约时报》发现了什么一篇于 2026 年 9 月 29 日发表的《纽约时报》调查报道
——大约比 OpenAI 宣布这次安全冲刺早五周——为这次整顿为什么会发生、以及它的时间点为什么不能仅仅理解为对近期事件的回应，提供了必不可少的背景。据《纽约时报》报道，OpenAI 员工早在 2026 年那几起 AI 智能体事件升级之前的几个月里，就已经在向公司领导层警示运营安全方面的缺陷。这些警示涉及过于宽泛的内部代码访问权限、不够频繁的常规安全审查，以及在 GitHub 和 Slack 频道上进行的研究讨论，访问权限超出了实际所需的范围。
这些警示并不是什么小的程序性顾虑。一家战略意义相对有限的研究机构，其员工可以在相对宽松的安全规范下运作，承担可控的风险。而 OpenAI 在短时间内，变成了全世界商业价值最高、战略争夺最激烈、受政府审视最多的科技公司之一。一个研究实验室或许足够的安全姿态，对一家模型权重、内部研究和客户数据都已记录在案地引来国家级行为者和老练私营部门对手兴趣的机构来说，是不够的。这家公司变成了什么、以及它内部安全措施跟上了什么程度之间的这道差距，正是《纽约时报》所记录的内容。这次安全冲刺，是公司公开宣布的、试图弥合这道差距的尝试。
这家公司自 2022 年以来的扩张——从一家不起眼的研究实验室，变成一家拥有数百名员工、数百万用户、商业和战略意义都举足轻重的 AI 机构——发生的速度，超过了围绕它的安全基础设施建设的速度。这道差距，在 2026 年已记录在案的几起事件中都清晰可见。7 月 25 日，一个自称 Hacktron 的三人团队，用 Anthropic 的 Claude Opus 5，找出并串联了两个漏洞：libheif（一个被软件生态系统广泛使用的开源图像解码库）里的一处堆缓冲区溢出，以及 OpenAI 身份认证系统里的一处单点登录配置错误。这条利用链，让他们拿到了员工的 ChatGPT 和 Codex 账号，以及 OpenAI 内部的 GitHub 单体代码仓库的访问权限。OpenAI支付了 6500 美元的漏洞赏金
指控他与一名沙特王室成员有联系，后者试图招募 Alfozan 为沙特的一项 AI 计划工作。FBI 的调查仍在进行中。
Dane Stuckey，自 2024 年 10 月起担任 OpenAI 首席安全官，正在监管这个如今包括 Cathedral 这次合作以及 Sottiaux 内部举措的安全组织。一个被安放在高管会议室里的实体录音设备，一条触及内部代码仓库的软件库利用链，再加上员工数月来的内部安全警示，共同构成了这次安全冲刺的运营背景——公司内部显然有不少人认为这次冲刺早该进行了。
AI 实验室无法独自解决的结构性问题
Cathedral 这次测试最深层的含义，是一种结构性的问题，无论是 OpenAI 的安全冲刺，还是 Anthropic 的供应商补丁，都无法解决。前沿 AI 实验室在保护自己的核心资产——模型权重、训练流水线、源代码、推理基础设施——上投入巨大，因为这些资产理所当然地被视为具有战略意义。Cathedral 的这次测试记录下了这样一个事实：一个无法直接触及这些资产的攻击者，可以通过连接实验室与其人事供应商、CRM 提供商、IT 管理平台和协作工具的那层行政软件，间接地触及它们。
这层行政软件，并不在 AI 实验室自身的直接安全控制之下。它的安全性，取决于每一家供应商各自的补丁节奏和安全实践。一家 AI 实验室可以为自己创造的一切，构建起加固的外围防线。但它无法为自己采购来的软件，构建同样的防线。
Cathedral 在 Anthropic 那里摸到的具体数据——薪资信息、内部会议记录、关于先进模型的 Slack 讨论、客户联系方式——代表的是一类数据，它们固然不等同于模型权重或源代码，但对一系列敌对目的而言，在操作层面是有用的。薪资和录用信息，能用于精准招募和社会工程。内部的模型讨论，提供竞争情报。客户联系方式，能用于对那些已经处在一家 AI 实验室信任网络内的机构进行下游钓鱼攻击。要拿到这些，完全不需要触及 AI 实验室最敏感的技术资产；只需要触及围绕着它们的那层行政脚手架。对于一项最终目标是触及那些技术资产的国家级情报行动来说，这层行政软件不是最终目标——它是通往下一阶段的攻击面。
这正是那位匿名的特朗普政府官员，用「核武器级别材料」来形容的那种场景。就 Cathedral 具体在 Anthropic 那里访问到的内容而言，这种定性或许有些夸张。但如果把同样的技术，用在一个更大的目标上、持续更长的时间，最终可能触及的东西，用这种定性来描述，就不明显算是夸张了。
NorForge 记录、TNW 报道的那场中国 AI 智能体攻击行动表明，这个攻击面如今已经能以一个成本触及——总共大约 5000 美元，就换来了一百多次成功入侵——这个门槛，资源远不如一个国家级行为者的行为者也能触及。Cathedral 用自主运作的 AI 智能体，把企业软件的枚举步骤压缩到了十二小时以内。安全社区至今还没有公开回答的问题是：在 Cathedral 摸清 Anthropic 那个攻击面所用的同等价位和能力水平上，还有多少其他机构，已经悄悄摸清了同一个攻击面。
Anthropic 最近提交了 IPO 申请，这让它背负起针对重大安全事件的 SEC 披露义务。由 Cathedral 这次测试触发的供应商补丁流程，在 OpenAI 发布公告之时仍在进行中。而对运营着同一套企业软件生态——也就是今天运营着的每一家主要 AI 实验室——的其他所有实验室来说，Cathedral 的这次测试不是一个孤立的数据点。它是一份已经记录在案的概念验证，在不到十二小时内就完成了，而且没有任何迹象表明，披露义务远比 Cathedral 少得多的行为者，没有在复制这套技术。OpenAI 如今聘请了打造出那份概念验证的公司，去对自己的系统做同样的事。接下来会发生什么，完全取决于 Cathedral 发现了什么——以及这一次，它的发现，是否会被完整地披露出来。