埃森哲承包商涉國防部資安漏洞 個人AI工具傳敏感資料

根據《連線》媒體報導，埃森哲（Accenture）的一名承包商涉嫌將個人使用的 Claude Code 人工智慧工具，連接到美國國防部的一個生產環境。該環境由多個美國情報機構（負責蒐集分析國家安全資訊的單位）使用，並架設於五角大廈的非機密網路 NIPRNet 上，這個網路與網際網路連線。

這款人工智慧工具據稱已運作約兩個月，在此期間，它似乎將承包商的登入憑證、密碼，以及一份 NIPRNet 網路地圖傳送至一個外部網站。由於承包商的憑證擁有管理員權限，該 AI 工具得以撰寫並部署軟體、提交程式碼及建立雲端伺服器。這個接收資料的第三方網站曾因存在漏洞，可能允許攻擊者注入指令並竊取憑證，而被美國國家標準及技術研究所（National Institute of Standards and Technology, NIST）列為高風險。目前尚無公開證據顯示此次事件中該漏洞被惡意利用。

該環境中含有「受控未分類資訊」（Controlled Unclassified Information, CUI），即便單獨看來並非機密，但當這些細節被彙整分析時，卻能洩漏機密情報。華盛頓特區的 IT 顧問公司 Hunter Strategy 創辦人 Matt Triner 指出，網路地圖對攻擊者識別重要資產及理解系統連接方式至關重要。值得注意的是，美國國防部另有 SIPRNet 及聯合全球情報通訊系統（JWICS）等網路，用於處理機密及最高機密資訊，這些網路與網際網路實體隔離（air-gapped），未與網際網路連接。

埃森哲對此指控表示，相關案件已獲徹底且獨立調查，結果證實這些指控毫無根據，公司完全遵守了法律及合約義務。然而，據《連線》引述消息來源指出，若該事件影響了承包商的資訊系統或防禦資訊，埃森哲應依國防部《聯邦採購條例增補》（DFARS）規定，於 72 小時內通報。目前，該條款的適用性以及埃森哲是否違反通報義務，尚未公開確立。

埃森哲與聯邦政府簽訂的合約總額超過 35 億美元，其中與美國國防部的合約近 6.05 億美元。去年 10 月 5 日，聯邦調查局（FBI）曾因一名埃森哲承包商未能安裝安全修補程式，導致數千名員工的敏感資訊外洩而將其解職，駭客組織 ShinyHunters 宣稱對此事件負責。然而，目前尚未確認這起 FBI 事件與此次五角大廈事件的承包商之間存在關聯。

今年 3 月，五角大廈已將 Anthropic 公司的 Claude 人工智慧工具排除在其供應鏈之外。去年 9 月 25 日，美國哥倫比亞特區聯邦巡迴上訴法院維持了政府依據《聯邦採購供應鏈安全法》（Federal Acquisition Supply Chain Security Act）實施限制的權力。此外，Anthropic 的使用政策也明文禁止未經授權干擾軍事基礎設施。