个人 Claude Code 接进五角大楼网络两个月：凭据疑似外流，埃森哲说指控不成立

《连线》10 月 29 日的调查讲了一件让所有给 agent 放权的人都该停一下的事：一名埃森哲承包商员工被指把自己的个人 Claude Code 账号接进了美国国防部的一套系统，让 agent 代写代码、开云服务器，agent 在国防部的非密网络 NIPRNet 上跑了约两个月才被发现、打补丁。期间 agent 疑似把登录凭据、密码和网络结构信息发到了一个第三方网站。埃森哲对《连线》回应说，这些指控经过彻底独立调查，被认定缺乏依据，公司完全履行了法律与合同义务；国防部则不评论自身网络状况。这篇稿子写的是“疑似外流”，不是“已被黑客利用”，两个说法差得很远，不能混着写。

先把事实边界划清楚。涉事系统供多个情报机构使用，里面是受控非密信息：不算机密，但未经审查不得公开，汇总起来也可能拼出敏感图景。报道说，员工把自己的登录凭据交给 agent 是为了自动化，agent 因此拿到管理员权限，绕过了正常登录流程里的安全控制；它在连接外部工具时，凭据和网络地图疑似流向了那个第三方网站，而美国国家标准与技术研究院此前已把该网站标记为高风险，原因是它的一处漏洞可能让攻击者向编程 agent 注入指令、窃取凭据。《连线》没有公开这个网站的名字，理由是公开会增加风险；报道也没有证据表明攻击者进入了机密或绝密系统，也没有确认外流信息曾被实际利用。消息源还指控埃森哲最初没有在 72 小时内向政府上报，这一点同样处于争议中，埃森哲没有进一步说明自己的调查由谁开展。

对普通团队来说，这件事的教训不在五角大楼，在权限设计本身。agent 一旦拿到你的个人登录凭据，它就不再只是一个“帮你写代码的工具”，它成了一个拿着你身份到处敲门、还能把沿途看到的东西发出去的行动者。个人账号、生产环境、外部工具调用这三样凑在一起，风险不是加法，是乘法。能直接抄走的做法是：永远别把个人登录凭据喂给 agent，改用权限收窄的专用服务账号；agent 能访问的外部地址列白名单，不在名单里的调用直接拦；agent 的操作记录留下来定期抽查，别等出事才发现两个月都没人看。

我的判断：以后评估任何 agent 落地，先问三个问题——它拿的是谁的身份、它能碰到哪些系统、它发出去的东西谁能看见。答不上来，就别让它进生产环境。什么情况下这个结论不成立：如果埃森哲的说法最终被证实、即指控本身缺乏依据，那这件事就不能再当成“agent 外泄凭据”的案例，只能当成一次关于上报流程和权限审计的争议；但即便如此，“个人凭据不给 agent”这条规矩本身仍然成立，因为它防的是下一件还没被报道的事。