个人AI工具接入国防生产环境
据报道，埃森哲一名承包商将个人使用的Claude Code人工智能工具，连接至美国国防部一个生产环境。该环境由多个美国情报机构使用，架设于五角大厦非机密网络NIPRNet上，并与互联网连线。该工具据称已运作约两个月，期间将承包商登录凭证、密码及一份NIPRNet网络地图传送至外部网站。由于该凭证拥有管理员权限，AI工具得以撰写并部署软件、提交程序码及建立云端服务器。
外部网站列高风险尚无遭利用证据
接收资料的第三方网站曾因存在漏洞，可能允许攻击者注入指令并窃取凭证，而被美国国家标准及技术研究所列为高风险。目前尚无公开证据显示此次事件中该漏洞被恶意利用。该环境含有受控未分类资讯，即便单独看来并非机密，但汇整分析时可能泄漏机密情报。华盛顿特区IT顾问公司Hunter Strategy创办人Matt Triner指出，网络地图对攻击者识别重要资产及理解系统连接方式至为重要。
机密网络实体隔离埃森哲否认指控
美国国防部另有SIPRNet及联合全球情报通讯系统等网络，用于处理机密及最高机密资讯，这些网络与互联网实体隔离。埃森哲对此指控表示，相关案件已获彻底且独立调查，结果证实指控毫无根据，公司完全遵守法律及合约义务。据报道，若事件影响承包商资讯系统或防御资讯，埃森哲应依国防部联邦采购条例增补规定于72小时内通报，目前适用性及是否违反通报义务尚未公开确立。
合约规模庞大五角大厦已排除Claude
埃森哲与联邦政府签订合约总额超过35亿美元，其中与美国国防部合约近6.05亿美元。去年10月5日，联邦调查局曾因一名埃森哲承包商未能安装安全修补程序，导致数千名员工敏感资讯外泄而将其解职，骇客组织ShinyHunters宣称负责，但尚未确认与此次事件有关联。今年3月，五角大厦已将Anthropic公司Claude工具排除在其供应链之外。去年9月25日，美国哥伦比亚特区联邦巡回上诉法院维持政府依联邦采购供应链安全法实施限制的权力，Anthropic使用政策亦明文禁止未经授权干扰军事基础设施。