快速了解本文
Accenture 员工违规将个人 Claude Code 接入国防部系统。
漏洞运行两月致包含登录凭证的敏感数据外泄至第三方。
承包商未按规在 72 小时内报告，暴露安全合规管理缺陷。
本摘要由 AI 辅助整理，请以正文内容为准。
今年早些时候，一名 Accenture 承包商员工将其个人的 Claude Code（Anthropic 的 AI 编码智能体）账户直接连接到美国国防部（DOD）的一个安全集中系统。该 AI 智能体在 DOD 网络上运行了两个月才被识别并修补漏洞，期间将包含 DOD 系统登录凭证在内的信息发送到了一个高风险的第三方网站。
01敏感数据外泄与安全边界脆弱性
涉事系统包含受控非机密信息（CUI），涉及关键基础设施、核潜艇推进及生化恐怖主义漏洞等高度敏感的国家安全数据。个人 AI 编码智能体直接接入高敏感网络，暴露了现有安全边界在应对生成式 AI 工具时的脆弱性。员工为追求开发效率，轻易绕过了安全控制，导致核心凭证外泄。
02合规失效与系统性管理缺陷
在合规层面，联邦规定要求网络安全事件必须在发现后 72 小时内报告，但 Accenture 最初并未向政府报告此事件。针对相关指控，Accenture 回应称已进行彻底独立的调查且结果“毫无根据”，但未说明调查方，也未否认事件本身。这反映出大型政府承包商在面临交付压力时，可能将效率置于安全合规之上，且现行机制未能有效遏制瞒报。
此类安全合规问题在政府项目中并非孤例。本月早些时候，FBI 发现另一名 Accenture 承包商未能修补漏洞，导致黑客组织 ShinyHunters 获取了数千名 FBI 员工的详细信息。
03AI 工具滥用与政策冲突
该员工违规连接系统的动机是为了让 AI 智能体编写和部署代码，而 Claude 目前已被明确禁止被 DOD 员工使用。在效率驱动下，员工无视现行政策接入被禁工具，叠加滞后的安全监控，构成了此次事件的直接诱因。