你给公司采购的新的行政软件，销售软件或者人事软件配置公司账号进行登录，或者点击允许它访问 Slack 和 GitHub 的时候，可能觉得这只是一个边缘办公工具。就算这些外围软件出了问题，也不会影响到生产服务器，核心代码库和模型权重。这个默认假设在平常的研发工作中很常见。但最近，两个全球安全投入最大的 AI 公司 Anthropic 和 OpenAI 都在这些平常没人注意的外围软件上翻车了。网络安全是一个环环相扣的整体。各个公司把核心机房的大门焊满钢板以后，攻击自然就会像水一样绕过正面防线，从平时防备最松懈的人事软件，公开论坛和旧授权进入内网。
十月下旬，《华盛顿邮报》曝光的一篇调查报道，把一次对 Anthropic 的外部安全测试端到了台前。一个刚成立几个月的网络安全创业公司 Cathedral，用 AI 智能体去探测 Anthropic 的安全防线。Anthropic 的红队负责人在公开说明中透露，这些智能体一开始也跟其他攻击者一样尝试从正门强攻，连续几天直接打 Anthropic 自研的核心软件，但全都失败了。可见顶尖实验室在核心业务上的正面防守确实严密，外部攻击很难直接从正门突破。
正面强攻打不进去，攻击立刻像流水一样转向防线最薄的外围。智能体掉头去测 Anthropic 用于日常行政、销售和人力资源管理的第三方商业软件，很快在里面找到两处安全漏洞。这些办公软件平时为了同步日常业务数据，早已和公司内部系统打通了集成权限。智能体顺着现成的跨系统通道，在不到 12 小时内就读到了部分会议录音转写记录、员工薪资与录用通知细节、客户及合作伙伴的基础商务联络方式，还有内部通讯工具 Slack 的部分消息。安全公司 Cognition 的首席信息安全官 Alex Stamos 审阅报告草稿后直接点出，问题的关键就出在把第三方应用程序连接到公司内部系统这件事上。
从更长周期看，Anthropic 并不是第一个受害者。一个月前公开的另一个事件中，OpenAI 也在边缘系统与授权流程方面吃过亏。一个外围网站或人事软件失守，怎么就能一路连到核心资产？
回头看看那场三条旧授权走到
OpenAI 内部仓库的复盘，七月下旬，Hacktron 的三个研究员测试 OpenAI
期间，也绕过了训练集群的层层防护，直接盯上了公开技术社区
community.openai.com
的图片上传接口。这个论坛处理图片时会用到底层的开源图像库
libheif。他们用人工定位出这个库的一个陈年内存缺陷，然后用
Claude Opus 5
帮忙写出利用代码，拿到了论坛服务器的远程代码执行能力和后台管理权限。
虽然论坛后台看似离核心研发环境很远，但研究人员接着找到了两条日常运行的内部通道：第一跳是统一登录，即员工登录一次公司主账号后可以直接打开各种内部软件的统一登录机制。这个公开论坛没有独立的账号表，而是直接挂在全公司统一的登录系统上。测试人员利用同步的登录会话，在不需目标员工配合的情况下，直接接管了一名内部工程师的
ChatGPT 和编程助手 Codex
账号。第二跳是工具连接器，即允许一个软件读写另一个软件数据的授权通道。这位工程师平时按开发习惯，把个人
GitHub 账号的写入权限绑定给了 Codex。研究人员借此直接在核心代码仓库
openai/openai 创建分支并提交了一个拉取请求。
类似的漏洞在办公环境非常常见。安全组织 Zenity 在七月下旬也披露过 ChatGPT 工作区的 AgentForger 漏洞。攻击者只要诱导用户点击一个恶意链接，就可以在工作区悄悄创建一个受控智能体，并且继承该账号所有已连接的办公工具的权限。大公司给核心机房、模型权重和生产数据库配了最严密的锁，同时为了办公方便用统一登录和工具连接器把人事软件、销售表格、公开论坛、Slack 和代码仓库串成一组底部相通的连通器。整套内网的真实安全水位线，最终取决于防护最弱的外围软件。
看到这里，大家可能会想，既然突破口都是第三方软件漏洞，通道也是现成的旧授权，那和传统的渗透测试又有什么不一样呢？AI 到底带来了什么改变？
首先必须承认，AI 在正面战场破解单个漏洞的能力确实越来越强。例如，10月下旬 PHP 基金会在官方安全公告中修复了两个 9.2 分的高危内核远程代码执行漏洞。底层的这处内存清理缺陷早在 2020 年就有相关报告，在后续审计中也再次提出，但因为太难利用搁置了多年。今年七月底，安全公司 Calif 受邀进行审计，使用 AI 在两周内就写出了无需登录即可远程执行代码的概念验证程序。这说明 AI 在正面单点突破的能力确实在提升。
正因为正面战场的威胁显而易见，企业自然会投入大量资源去加固核心系统，修补主干服务的漏洞。但网络安全是一场体系对抗，不论是传统黑客还是 AI 智能体，都会本能地寻找最容易攻破、防御最薄弱的那条路径。以前外围软件能侥幸无事，是因为顶尖安全研究员的时间太贵。人工红队通常精力集中在核心业务上，很少有人会花几周时间，把公司采购的几十个边缘行政软件、外包维护的子站点和历史授权链一一翻个底朝天。
AI的加入改变了外围侦察的经济规律。十月中旬，安全组织NorForge发布了一份报告，配合路透社的报道，描述了攻击者用开源多智能体协作平台Cairn发起的一波批量入侵。研究者在互联网上发现了二十多个攻击者暴露在公网的Cairn控制面板。在其中一个最活跃的集群中，操作者仅用不到一百字向智能体交代了目标和手法，智能体就能自动搜集情报、定位外围后台、在共享黑板上记录线索并反复试错。这批智能体尝试入侵了一千两百多个站点，攻破了一百多家公司，包括农机巨头John Deere、家电厂商SharkNinja和发动机制造商Cummins。单次成功入侵平均经历约一天的试探，整场行动总成本约五千美元，平均攻破一家公司只花约50美元算力成本，中招的多是独立产品支持站或第三方供应商运营的外围网站。
回望 Hacktron 和 Cathedral，两者如出一辙。Hacktron 用模型把需要资深工程师几天时间调通内存布局的任务压缩到几小时，项目接口账单不到 3,000 美元；Cathedral 的智能体在 Anthropic 核心系统前撞墙几天，转而把外围软件犁一遍只花了不到半天。正如 Anthropic 红队负责人所说，如今落后前沿半代到一代的模型，就有能力全天候扫描企业的外部软件依赖项并串联攻击路径。正面铁门紧闭之后，AI 智能体就像流水一样漫过所有外围接口，只要有一扇窗户没关严，水就会灌进内网。
攻击像水一样从最软的外围渗入，防守就不要再只往正面大门焊钢板。没有一个团队能把几十家外部软件的漏洞全部抹平，但可以在连通器的管道交界处装三道防水闸，不让外围的小漏水灌满整个内网。
第一道防水闸装在统一登录上，按安全等级切开信任域。很多公司为了方便，用一个无差别的统一登录会话同时登录公开社区论坛、对外营销页、边缘行政系统以及核心代码库。OpenAI 在事发后大约十几个小时内修复，最核心的操作是把社区论坛的登录凭证作用范围收紧，批量撤销受影响的用户凭证和会话，阻断从边缘论坛直接跳入内部研发环境的链路。低安全等级的边缘应用可以使用统一账号，但不能和核心内网共享同一张通行证。
第二道防水闸装在工具连接器上，按假设供应商明天失守的标准分配最小权限。员工给 Slack、飞书、GitHub 或内部智能体挂载第三方应用，往往图省事直接勾选允许读写全部内容，并发出长期有效的授权令牌。团队审批或配置每个连接器前不妨先问一句：假如明天这家第三方人事或销售软件失守，对方顺着这根管子能在内网拿走什么、改掉什么？把用不上的写入砍成只读，把全公司通配授权收窄到单个项目，外围失守后才能把水关在局部隔间里。
第三道防水闸装在内部数据调取的卡口上，盯住异常拉取行为。企业没法保证几十家外部供应商永远零漏洞，就必须在它向内部系统拉取数据的卡口上设好速率限制与独立告警。Anthropic 这次虽没防住第三方办公软件自身出漏洞，但测试方利用的两个漏洞里只上报了一个，第二个通道正是靠 Anthropic 内部监控独立抓出异常并主动切断的。承认外围软件会有裂缝，把隔水舱门修在内部核心资产的入口处，才是应对自动化外围渗透最务实的防线。
