11 月 7 日，一批正在用 Claude 的企业陆续收到一封邮件，标题是《关于贵组织账户信息的通知》，发件人是 Claude 官方的邮件地址。内容很短：一家第三方网络安全研究公司，未经授权访问了你们的账户信息。
它没说这家公司叫什么，没说涉事的有几家，也没说具体哪一天发生的。邮件里给了明确去向的只有两处，一个隐私邮箱，和一句「我们已向韩国相关监管机构报告」。
收到邮件的安全研究员 Jamieson O’Reilly 当天把三张截图发到 X 上，一天内拿到 1000 多个赞。他的追问很直接：既然说「无法确认具体某个人的信息是否被查看」，怎么同时又能说收件人「没有额外风险」。
通知里到底写了什么
先把邮件本身的字段清单摆出来，这是唯一没被转述的硬信息。
覆盖所有人的是姓名、邮箱这类业务联系信息。覆盖企业版 Claude 账户的还有另一组：账号 ID、组织 ID、套餐档位、用量与支出指标。
明确不在范围内的有三样：与 Claude 的对话内容、密码、银行卡与银行账户信息。
Anthropic 在通知里说自己做了四件事。发现后立即切断那家公司的访问权限，修复已定位的漏洞，启动调查，并确认没有证据表明数据被篡改或滥用。那家公司已经书面承诺删除取走的数据、不再使用。事件已上报韩国监管。
注意这组字段的性质：名单不大，所以它不是「几百万用户密码泄露」那种恶性事故；但套餐档位加用量加支出，恰好是钓鱼邮件最想要的开场白。一封写着「您的 Claude 企业版本月支出超出预算 38%，请核对账单」的邮件，会比任何群发诈骗都像真的。
那份通知大概率在说十天前那件事
邮件本身没点名。但字段清单和 10 月 26 日的一起报道几乎逐条对得上。
被指的是一家叫 Cathedral 的网络安全公司，四名创始人都来自美国政府效率部（DOGE），今年刚成立，A 轮拿了 1.6 亿美元，估值 14 亿美元，领投的是 Andreessen Horowitz 和红杉。它做的是「用 AI 智能体自动打点」，让模型自己找漏洞、自己串联攻击步骤，不需要人一步步批准。
按 Cathedral 的草稿报告，它的智能体在不到 12 小时里，从 Anthropic 使用的第三方销售、人事、IT 软件里找到了入口。Anthropic 确认访问确实发生，说范围限于「有限的一组销售、人事和 IT 系统」，含部分客户与合作伙伴的业务联系方式和基础账户记录；对话内容、源代码、模型权重都没有被碰。Anthropic 还补了一句，是自家监控在对方上报之前就发现了部分活动，当天就切断了访问。
分歧在深度上。Cathedral 的草稿报告描述智能体能触及会议记录、薪资与录用细节、Slack 消息；Anthropic 的说法窄得多，只承认业务联系人与基础账户记录。前 OpenAI 员工 Will Depue 公开说 Anthropic 在淡化，称自己可靠的信源告诉他，Cathedral 拿到了 Slack 工作区的完整管理员权限，能读所有消息、能登录任何账户。Anthropic 红队成员 Logan Graham 直接反驳，说 Depue 的信源是错的，但承认核心担忧成立：这个行业每年都得重新做一遍安全。
还有一层是程序上的。这事发生在 Anthropic 自己的漏洞赏金计划框架内，Anthropic 的指控是 Cathedral 没有完整披露：它在第三方软件里找到两个漏洞，只上报了一个，第二个是 Anthropic 自己发现并修补的。Cathedral 坚持说自己遵守了标准的安全研究做法。
所以你看到的那封「出于谨慎」的通知，本质上是一次善后：事情 10 月底已被媒体报过，11 月 7 日才轮到逐个通知客户。截至 11 月 8 日凌晨，Anthropic 官网安全栏目里没有任何一条关于这件事的公告，状态页也没有记录。
三个跟你有关系的地方
第一，防线在你采购的软件里，不在你自己的代码里。 按 Anthropic 的说法，Cathedral 先花了好几天硬啃 Anthropic 自家系统，没成功；转向那批日常办公用的第三方在线服务之后，12 小时就进去了。说白了，任何一家公司只要用着十来种外部服务，就有同样的缝。Anthropic 是市值最高、也最以安全为卖点的 AI 公司之一，它挡不住的东西，不会只发生在它身上。
第二，智能体把「扫漏洞」的成本压到了接近零。 过去一次像样的渗透测试要排期、要人天、要预算；现在同一套智能体可以 24 小时不停地试，而且用的模型不需要是最新最强的。Graham 自己的说法是，落后半代到一代的模型就够干这件事。
第三，通知把决定权丢回给了客户。 邮件原文写的是「出于谨慎，供贵组织自行决定是否通知相关人员」。也就是说，我们不确定谁的信息被看到了，你们自己判断要不要告诉员工。对一家把合规当命的企业客户来说，这等于多了一道要自己背的责任。
如果你是那批客户，或者只是普通用户
三条能立刻做的。
去查有没有收到那封邮件。标题是《关于贵组织账户信息的通知》，发件地址以 claude.com 结尾。收到了，直接回 [email protected] 问清楚三件事：我们组织的记录在不在受影响范围内、覆盖哪段时间、涉及哪些账号。这三个问题邮件里都没有答案。
把钓鱼警觉调高一档。泄露字段里有套餐档位、用量和支出，意味着未来冒充 Anthropic 的邮件可以说出你的真实账单规模。凡是带账单、超额、停服字样的邮件，一律从后台进，不点邮件里的链接。
顺手清一遍自家外部服务的权限。离职员工还留着的账号、给外部工具开的管理员授权、早就没人用却还挂着授权的应用，这三类是这次事件的同类风险。Cathedral 走的就是这条缝。
这件事真正的分量不在 Anthropic 身上，而在它证明了一件事：当攻击方用上智能体，防守方的安全检查就不能再按季度做。 一个每年做一次渗透测试的公司，等于给对面留了 364 天的窗口。
关注 AI 商业快讯，每天一篇热点背后的钱与人。
相关阅读：
—
资料来源：
- MLQ.ai《Anthropic emails enterprise customers that an outside security firm may have viewed their contact, plan and spend data》，11 月 8 日，逐条引用通知原文 https://mlq.ai/news/anthropic-emails-enterprise-customers-that-an-outside-security-firm-may-have-viewed-their-contact-plan-and-spend-data/
- CellCog《Anthropic’s Breach Notice Email: What It Says》，11 月 8 日，逐字段核对通知截图并标注核实时间 https://cellcog.ai/blog/anthropic-breach-notice-email/
- THE DECODER《AI agents hacked Anthropic, maker of arguably the most capable AI models for cyberdefense》，10 月 28 日，含 Anthropic 红队 Logan Graham 的回应 https://the-decoder.com/ai-agents-hacked-anthropic-maker-of-arguably-the-most-capable-ai-models-for-cyberdefense/
- Techwire《Cybersecurity: a startup founded by former DOGE staffers got inside Anthropic’s internal systems using AI agents》，10 月 28 日 https://www.techwire.co.il/en/article/cathedral-ai-agents-breach-anthropic-systems
- 前途科技《前DOGE员工创办AI网络安全公司，获1.6亿美元融资》（引路透社，Cathedral 估值与投资方）https://accesspath.com/startups/doge-ai-1-6-mrwzgzuub69d
- Anthropic 官方安全栏目（截至 11 月 8 日无本事件公告，用于交叉确认官方口径缺位）https://www.anthropic.com/news/security
