Claude遭用於入侵OpenAI程式碼 揭示AI駭客攻擊加速

一個獨立於任何供應商運作的漏洞挖掘團隊，透過指揮Anthropic的Claude模型，成功觸及OpenAI的內部程式碼系統。這項於9月17日揭露的消息，同時落在人工智慧領域兩家估值最高的未上市公司身上。入侵者是安全研究團體，而非國家級行為者；所使用的工具也並非量身打造的攻擊套件，而是一款任何企業今日都能買到的商業授權助理。

「這是我們首次看到前沿模型被端到端地用於攻擊前沿實驗室自身的基礎設施，」安全研究員、AI安全公司Kolide共同創辦人Dino Dai Zovi表示。這項區別之所以重要，在於發現該漏洞的能力，如今已透過標準訂閱方案存在於數千家企業網路之中。

真正令防禦方憂心的是其運作機制。傳統滲透測試受制於人力工時：一名熟練的測試員每小時收費約150至300美元，而針對中型程式碼庫的完整範圍專案通常需時四到八週。具代理能力的模型不用睡覺、不按小時計費，且能平行列舉數千個端點、相依性檔案與設定錯誤的存取規則。Anthropic自身揭露的資訊已顯示此一走向——該公司於9月17日表示，Claude如今「主導」了Anthropic內部26%的AI研究與開發工作，並計劃定期公布此一數據。倘若一個模型已承擔某家實驗室四分之一的內部研發工作量，那麼將同樣的能力轉而對準第三方的防禦邊界，僅是一步之遙。

OpenAI與Anthropic均未揭露該研究團隊所利用的具體漏洞類型、存取的持續時間，或客戶資料是否遭到觸及。本刊曾聯繫兩家公司尋求評論，惟截至發稿時雙方均未回覆。這樣的沉默，使安全產業只能藉由推論、而非官方揭露來為風險定價。

其商業層面的傳導效應，則貫穿於已上市的安全廠商之中。CrowdStrike、Palo Alto Networks、Zscaler與Fortinet均銷售端點、網路與身分控制產品，而代理式入侵正是為繞過這些控制而設計；這四家公司過去兩年也都圍繞AI驅動的偵測能力重新定位。CrowdStrike的Falcon平台與Palo Alto的Cortex XSIAM，皆主打能以行為模型標記異常機器速度活動——而那正是自主代理留下的典型特徵。問題的缺口在於，多數企業偵測系統仍以人類的操作節奏為調校基準：凌晨3點自異常地理位置登入會觸發警報，但來自有效工作階段的四萬次連續API呼叫，卻可能不會。

這樣的錯配正是投資邏輯所在。根據Gartner的預測，2026年全球資訊安全支出將超過2,100億美元，其中成長最快的部分為專為AI設計的安全工具。能夠展現代理偵測能力的廠商握有定價籌碼；做不到的廠商，則將面臨與端點偵測及回應成為標準後、傳統防毒軟體所遭遇的相同商品化壓力。

監管的時鐘已經在走。歐盟《人工智慧法》對通用目的模型的義務已於2025年8月生效，而歐盟的《網路韌性法》則將於2027年前分階段導入產品安全要求。在華盛頓，聯邦調查局與網路安全暨基礎設施安全局近期的公告中，均標示了AI輔助的入侵事件；而參議員們本月也針對AI相關的消費者損害向聯邦貿易委員會施壓。一樁涉及具名前沿模型與具名前沿實驗室的事件，讓立法者握有具體案例研究，而非僅止於假設——這正是能縮短聽證會與正式規則之間距離的那類證據。

對投資人而言，近期的問題在於，此事究竟會將AI安全重新定價為成本中心，抑或是一條營收來源。包括Google與Amazon在內的Anthropic投資方，對任何模型使用規則的收緊都承擔曝險；而OpenAI的私募投資方——以微軟為首——則承擔聲譽層面的風險。微軟目前股價約為預估獲利的32倍，此一本益比假設Azure的AI工作負載能在未遭遇信任衝擊的情況下持續複合成長。安全類股則是更純粹的表達方式：CrowdStrike與Palo Alto的估值均高於整體軟體指數，正是因為向來入侵事件的新聞標題，最終都轉化為續約與加購的循環。

目前尚未釐清的是，該研究團隊的行動是否落在協同揭露的框架之內。若屬前者，此事件將是一場壓力測試，兩家實驗室都會將其納入自身的安全報告。若屬後者，則它將成為一個先例——而下一個團隊將不需要以前沿實驗室的內部程式碼為目標，便能證明同樣的論點。

本文僅供參考，不構成投資建議。