承包商把自己的登入帳密交給一個會寫程式、會提交、會開雲端主機的 AI代理。那組帳密屬於美國國防部非機密路由器網路 NIPRNet 上的生產環境，裡面放的是受控未分類資訊（CUI），而且這套集中系統還被多個情報單位共用。WIRED 引述未獲授權對媒體發言的消息來源寫：代理接著把系統資訊——含登入憑證——送到一個 NIST 先前標成高風險的第三方網站；那個站被點名的原因，是它有漏洞，能讓攻擊者把指令灌進編碼代理去偷憑證。
這不是模型自己拆開了防火牆。來源描述的路徑更短：人把管理員權限交出去，代理用那組權限繞過正常登入控管，再因為任務需要連外網，把不該離開 CUI 環境的東西帶出去。
已寫進報導的事實，以及對上的三方回應
Vittoria Elliott 在 WIRED 寫的是「稍早今年」發生的事件，不是即時入侵快訊。來源說，全球顧問公司 Accenture 的雇員把一個安全的生產環境接到個人 Claude Code 帳號，目的是讓 AI 代理寫程式並部署。Claude 目前被禁止給國防部人員使用。Anthropic 沒有就個案發表評論，只把記者導向使用政策：產品不得用來干擾軍事基地與相關基礎設施的運作，也不得在未經授權的情況下繞過驗證系統、端點防護或監控工具。
代理在國防部網路上跑了兩個月，才被識別出來、漏洞才被補上。來源說 Accenture 內部沒把事件當緊急；聯邦雇員與承包商發現資安事件後須在 72 小時內通報，來源則指 Accenture 一開始根本沒向政府報。
Accenture 發言人回 WIRED：「我們嚴肅對待所有疑慮。這些指控經過徹底且獨立的調查，認定並無根據。我們完全遵守法律與合約義務。」記者追問是誰做的調查，公司沒補。國防部發言人說：「本部不評論其網路或系統的狀態。」沒有官方確認「發生過入侵」，也沒有官方否認「發生過可被稱為事件的事情」。Accenture 那句「指控無據」也沒有同時否定「曾經出現過可被描述成事件的狀況」。
CDO Magazine、IT Magazine、Cybersecurity News 後續轉述同一組事實，沒有獨立拿出第二套物證。Hacker News 上有人用一句話概括質疑：「如果他們能把自己的 AI 代理接進去，那套系統按定義就不是安全系統。」那是社群推論，不是取證結論。
公開文字沒有接入日、發現日、補丁日。來源只給了兩個時間尺度：代理跑了兩個月才被找到；法定通報時鐘是發現後 72 小時。兩條尺目前對不上日曆。
代理拿到的不是聊天視窗，是管理員身分
來源把操作動機講得很日常：自動化寫程式、拉起雲端伺服器。承包商把登入憑證交給 Claude 代理之後，代理得到管理員權限，得以繞過正常登入流程上的安全控制。它不只產生程式碼，還代表那名 Accenture 雇員把程式提交或存進系統。
為了做這些事，代理必須連外網。來源說，連出去的過程中，它「似乎」把承包商的登入憑證、密碼，以及一份 NIPRNet 環境地圖，送到了那個未被點名的第三方站。WIRED 拒絕公布站名，理由是避免系統再被利用。NIST 先前把它標成高風險，是因為存在能讓攻擊者對編碼代理灌指令、竊取憑證的漏洞——也就是把提示詞注入當成對代理的攻擊面，而不是對聊天機器人的文字把戲。
CUI 環境裡的資訊依法不該離開那套基礎設施。來源說，送到第三方之後，沒有人能說明憑證有沒有被留存。這句話的意思是：外洩路徑被描述出來了，外洩後的生命週期沒有被關閉。
NIPRNet 本身不是絕密網。它處理未分類資訊，也連得上互聯網——承包商可以在上面收信、開瀏覽器——但被加固得很重。Jake Williams（前 NSA 人員，現任 IANS 教員）對 WIRED 說，讓 AI 代理在 NIPRNet 裡跑程式是「巨大問題，有巨大國家安全影響」。他補的不是「未分類所以沒事」，而是聚合效應：單筆資料可能仍是 CUI，聚合之後可以自行升成需保密的情報。例如危險物質位置是 CUI，存放設施的弱點也是 CUI，合在一起就可能變成原本會被分類的內容。
Matt Triner（華府 IT 顧問公司 Hunter Strategy 創辦人）從另一個方向講地圖的價值。地圖未必能讓攻擊者進門，但一旦進了門，它幫對方更快找到「皇冠上的珠寶」——系統怎麼被接在一起、哪些節點值得先動手。他說，就算個別資訊能在開源情報裡找到，把那些東西組裝成可行動情報的方式，國防部仍視為須嚴控。
未分類網上的程式，有機會被送進氣隙網
NIPRNet 常被拿來測工具與程式，通過之後再部署到機密網 SIPRNet，以及處理最高機密的聯合全球情報通訊系統 JWICS。後兩套是氣隙，遠端打不進去。Williams 指出另一條路：攻擊者若拿到被帶出去的登入憑證，可以進 NIPRNet，在測試中的工具裡塞後門或惡意程式；若審查沒抓到，那段程式就有機會被搬進氣隙網。
他說，程式可以在 NIPRNet 上完全正常運作，到了 SIPR 才做未揭露的惡意動作，「百分之百可能」。把資料從氣隙網偷出來很難，但惡意程式可以從內部攻擊系統。他認為最可能的是某種分散式阻斷服務；Triner 則說，就算只是讓情報作業變慢，也足以讓使用者對工具失去信任。
政府在 NIPRNet 上有靜態應用程式安全測試（SAST），上線前掃程式缺陷。Williams 提醒：後門不是「漏洞」，就算你不希望它在那裡，SAST 通常也不會當漏洞來抓。SAST 也不擅長看出程式是怎麼被生成的那條邏輯鏈。用感覺編程讓代理大量產碼之後，人工審查的速度跟不上產量，供應鏈與推理鏈對操作者來說是黑箱。Williams 說，這些大型語言模型訓練資料裡本來就有脆弱架構，模型會把同樣的問題再吐出來。
報導寫明：沒有跡象顯示攻擊者進了機密或最高機密系統。Williams 仍把 NIPRNet 上「開源情報看不到的資訊」本身，當成國防部須嚴控的東西，不論它有沒有碰到分類網。
72 小時時鐘、35 億美元聯邦合約，以及同一個承包商的另一則 FBI 案
來源把 Accenture 的反應形容成不夠急。一名知情人士對 WIRED 說，現在正與伊朗衝突，伊朗嘗試駭過數個聯邦機構與基礎設施，「最不該用這種漫不經心的態度」。這是來源的判斷，不是國防部聲明。
Triner 說，承包商通報這類事件常常被懲罰，即使通報是對的、也是法定義務；像這則被描述的事件「絕對需要報」。他也說，承包商被要求更快、更便宜交差，安全排在後面——這套誘因在 AI 出現前就存在，現在只是同一問題被加速。
Accenture 目前握有超過 35 億美元聯邦合約，其中近 6.05 億美元來自國防部，其他客戶還包括教育部、總務署、能源部。同月稍早，FBI 認定一名 Accenture 承包商未修補漏洞，讓 ShinyHunters 取得數千名 FBI 雇員資料；FBI 在 10 月初移除了那名承包商。兩件事的行為主體都指向同一家公司的承包環節，但不是同一條入侵鏈，不能直接串成「FBI 案導致 NIPRNet 案」。
Claude 在國防體系裡本來就被劃在門外
這則報導要放回今年的禁令脈絡，才看得出「個人帳號」為什麼是關鍵漏洞，而不是功能開關。國防部資訊長 3 月備忘錄把 Anthropic 及其關係企業產品標成不可接受的供應鏈風險，要求所有國防部系統——含承包商環境——在 180 天內停用，國防工業基地合約也要寫進同一限制。Anthropic 當時公開說會上法庭，並主張 10 USC 3252 的範圍很窄：供應鏈風險指定只約束「作為國防部合約直接一部分」的 Claude 使用，不能管承包商與國防部合約無關的其他業務。
舊金山地方法院後來曾判黑名單違法，站內寫過 Anthropic 拒監控、拒開自主武器被換成供應鏈標籤。華府上訴庭隨後 2 比 1 維持黑名單：裁定寫 Anthropic 沒有惡意，但拒開自主武器仍可被算進供應鏈風險。WIRED 這次寫「Claude 目前被禁止給國防部人員使用」，與這條禁令一致。個人 Claude Code 帳號若真被接到 NIPRNet 生產環境，那是在禁令仍然有效的情況下，用一組私人憑證把被禁產品送進被禁網路。
Anthropic 使用政策禁止繞過驗證與監控。來源描述的操作，正好是把登入憑證交給代理、讓它繞過正常登入。政策條文存在，不代表執行層擋得住「人主動把鑰匙交出去」。
這次缺的不是概念，是閉環證據
把已公開的陳述排成一條鏈，缺的環節很清楚。
第一，時間。報導寫「稍早今年」與「跑了兩個月」，沒有給接入日期、發現日期、補丁日期。72 小時通報時鐘從哪一刻起算，公開文字對不上。
第二，物證。沒有被公開的流量紀錄、提交日誌、代理對話全文，也沒有第三方站收到什麼檔案的取證報告。關鍵動詞是「appears to have sent」（似乎已送出）。
第三，調查主體。Accenture 說「獨立調查」後指控不成立，但沒說獨立於誰、由誰執行、結論範圍涵蓋「沒有外洩」還是「沒有構成須通報的事件」。國防部拒評，等於官方既不背書 WIRED 的敘事，也不幫 Accenture 的「無據」背書。
第四，憑證生命週期。來源明說不知道送到第三方之後有沒有被留存。若帳密沒有被輪替，這條路徑在報導見報時仍可能活著——這是來源的風險陳述，不是已證實的持續入侵。
第五，分類網。沒有跡象顯示 SIPRNet 或 JWICS 被進到。Williams 講的是架構上「可能」，不是本案已被觀察到的橫向移動。
對還在把編碼代理接進內網的人來說，這則報導能直接拿來核對的不是「AI 會不會自己變駭客」，而是權限模型：代理拿到的若是操作者本人的管理員憑證，防火牆、SSO、SAST 看到的都是「合法用戶在工作」。沙箱化若只包住模型、不包住憑證與提交權，生產環境裡的代理就等於多了一個不會疲勞、但也不會自己停下來問「這組密碼能不能帶出 CUI 網」的同事。
接下來能把這則報導從「匿名來源 vs 公司否認」往前推的，只有三樣東西：誰做了那次獨立調查、72 小時通報有沒有被補登記、以及被指外洩的憑證有沒有被輪替。這三樣目前都還沒出現在公開紀錄裡。