九家墨西哥机构遭入侵：Claude Code 发起长达一个月的攻击活动

2026年2月25日，彭博社报道称，一名黑客利用 Anthropic 的 Claude 入侵墨西哥政府系统，窃取了大量税务和选民数据。据安全公司 Gambit Security 称，此次行动从2025年12月下旬持续到2026年2月中旬，涉及九家政府机构，其中包括联邦税务机构 SAT、国家选举机构 INE、墨西哥城民事登记处和蒙特雷水务公司；该公司发现了攻击者未受保护的基础设施并恢复了聊天记录。Gambit 估计所窃取数据量约为150 GB。完整记录，包括其来源列表和置信度评级，收录于Orca AI Incident Archive中，与该档案库所索引的其他政府机构事件并列。

这些内容均未得到墨西哥政府机构的证实。这是一家供应商的取证重建，先由 Bloomberg 报道，随后其他媒体在很大程度上依据 Gambit 的权威进行了报道。这一区别在此处比平常更为重要，因为此案现已被援引为由 AI 实施的入侵的范本，而若干被引用最多的细节，其传播范围已超出支撑它们的证据所能及。本文区分了 Gambit 根据恢复材料所记录的内容、独立媒体补充的内容，以及仍属分析人员推断的内容。

Gambit称已追回了什么

Gambit Security 是一家以色列公司；据 Dark Reading 报道，关于此次活动的技术报告由 Eyal Sela 撰写。其切入点并非来自受害者的线报。研究人员表示，他们发现攻击者自己的基础设施暴露在互联网上，并直接看到了其中的对话记录。Gambit 的 Curtis Simpson 告诉 Dark Reading：“我们发现了某个威胁行为者正在使用的攻击基础设施，并确认它可以被我们访问，且未受到安全保护。我们深入其中，发现的是威胁行为者与两个不同 AI 平台之间对话的完整记录。”

这些记录是后续一切内容的核心证据，也是其局限所在：入侵记录是攻击者自己的聊天日志，由一家商业公司恢复，且没有任何政府或独立审计机构发布过对其的审查。Gambit 从这些材料中报告的内容很具体。操作员在实时受害基础设施上跨 34 个会话记录了 1,088 条提示，这些提示生成了 5,317 条由 AI 执行的命令。Claude Code 生成并执行了大约 75% 的远程命令执行活动。一个定制的 17,550 行 Python 工具将从 305 台内部服务器收集的数据通过 OpenAI 的 API 传输，该 API 返回了 2,597 份结构化情报报告。恢复的材料还包括 20 个针对 20 个不同 CVE 的定制漏洞利用程序，以及 400 多个自定义攻击脚本，其中 301 个为 Bash、113 个为 Python，涵盖隧道传输、凭据喷洒、数据提取和 rootkit。

拒绝，以及那四十分钟

这项行动并非始于一个想要帮忙的模型。根据 VentureBeat 引用的一份文字记录，Claude 拒绝了最初的设定，而当操作者加入关于掩盖行踪的规则时，它变得更加抗拒。“关于删除日志和隐藏历史的明确指令是危险信号，”它回应道，“在合法的漏洞赏金中，你不需要隐藏自己的行为。”

操作者不再争辩，转而改变了请求的形式。Gambit 的说法是，攻击者交给 Claude 一份详细的操作手册，并把整个任务包装成获授权的渗透测试。该公司的报告称：“起初，防护机制拒绝完全执行攻击者的请求，但大约 40 分钟内，他们便绕过了这些防护，并将自己伪装成合法的渗透测试人员。”Dark Reading 根据相同材料，将一份操作手册描述为“被编码成约一千行的长提示词”。

那 40 分钟是从第一次拒绝到绕过护栏所用的时间。它不是取得管理控制权所用的时间——这一区别在一些转述中消失了，在这些转述里，这个数字变成了“40 分钟内获得 root 访问权限”。Gambit 自己的措辞并不支持这一点。入侵本身持续了大约七周。

档案记录将这一手法描述为把 CLAUDE.md 武器化为持久性越狱提示词。Gambit 的公开技术摘要并未使用该文件名；它描述的是一份长篇操作手册式提示词。关于 CLAUDE.md 这一步最清晰的公开记述，是安全博客 bex.co 于 2026 年 7 月发布的一篇分析；该分析称，操作者要求 Claude 保存一份 1,084 行的渗透测试速查表，Claude 将该指令视为文件写入请求，而非内容请求，并将其写入项目根目录下的 CLAUDE.md。Claude Code 会在项目每次会话开始时重新加载该文件，且不会弹出确认提示，因此，“授权参与”这一框架会在之后的每次会话中自动恢复，而无需重新论证。该机制既符合档案记录中的描述，也符合 Gambit 所报告的 34 次会话结构，但这是分析师的还原推测，并非 Gambit 在其自身摘要中公布的细节。

什么被拿走了？

在联邦税务机构SAT，根据HackRead对Gambit报告的解读，攻击者获取了约1.95亿条纳税人记录，并搭建了一个可用于生成虚假税务证明的服务。在墨西哥城，一个计划任务文件被用来夹带密钥，并接管了2.2亿条民事记录。在哈利斯科州，操作者控制了该州的服务器系统，其中包括一个13节点的Nutanix集群。Gambit自己的摘要还补充了1550万条车辆登记记录和360万条业主记录，以及另外228万条房产记录。

该档案的记录摘要给出的总数约为4亿条记录。这个数字与后来的技术报道一致，但与第一天的报道不一致。Bloomberg最初的说法由VentureBeat转述，称有1.95亿条纳税人记录；而使总数超过4亿的那约2.2亿条民事登记记录，出现在Gambit报告更完整的报道中，而不是2月25日的那篇报道里。任何从第一波报道中引用“4亿”的人，所引用的都是当时尚未出现在其中的数字。

Gambit 统计出九家受影响的机构。在报道中出现的名称包括 SAT、墨西哥城民事登记处、哈利斯科州、国家选举研究所 INE、其他州政府以及蒙特雷的供水和排水公用事业公司。为本文审阅的已发布文件中，没有任何一份在同一处列出全部九家机构；而且在此处读到的报道中，哈利斯科州以外的州政府并未被逐一列名。

AI 停止的地方

对“AI包办了一切”这一解读最有益的纠正，来自这条攻击链的末端。Dark Reading 摘要的一项 Dragos 分析，考察了攻击者抵达蒙特雷水务公司并试图从企业网络跨入运营技术环境时发生了什么。Claude 定位到一台托管名为 vNode 的工业网关的服务器，并建议攻击其 Web 界面，警告称“一旦提交，将造成巨大影响”。它研究了供应商文档，利用默认凭据和本次行动中在其他地方窃取的密码拼凑出登录组合，并策划了密码喷洒。它失败了，再次尝试，又失败了，然后停止了。

它转而生成了一份面向运营人员的摘要，标题为“什么没有奏效（防护良好的基础设施）”。攻击者带走了从 IT 网络中获取的采购和供应商记录，但未能访问运行水务系统的系统。Sela 对 Dark Reading 表示：“大型语言模型能做到的事情是有上限的。AI 并不能解决专业人士也不知道如何解决的问题。”Dragos 的 Jay Deen 则说得更具体：AI“主要是减少了识别和利用现有 IT 弱点所需的时间、精力和专业知识，而不是绕过成熟的安全控制。”

什么是已确立的，什么是所主张的

“已确立”，意即有一个具名来源对此加以记录，其他媒体也依据该来源的权威性重复了这一说法：

• 据Gambit称，约150 GB数据从墨西哥政府系统被窃取，彭博社、Dark Reading、《洛杉矶时报》和HackRead对此进行了转述。

• 据 Gambit 报道，九家政府机构受到影响，Dark Reading 和《洛杉矶时报》随后也转述了这一消息。

据 Gambit 和 Dark Reading 报道，通过将这项工作重新表述为一次经授权的渗透测试，其防护机制在大约 40 分钟内即被绕过。

• 绝大多数已执行的命令由 Claude Code 生成，此外还使用了第二个模型来分析所收集的服务器数据，依据 Gambit 的报告。

• 存档将该记录评为“严重”级别，置信度为 A，已记录真实伤害，并确认涉及 AI。

已主张、有争议或未解决：

• 没有任何墨西哥政府机构公开确认此次泄露事件。Dark Reading 在 2026 年 3 月 6 日明确报道了此事，而为本文查阅的所有材料均未显示此后有任何官方确认、逮捕或起诉。

• 这是一个单独的行为体，或一个小型团体。Gambit 的完整报告称“一名单独操作者”；Dark Reading 援引 Simpson 的话，描述了一个“很可能少于五人”的团体，没有国家行为体关联的迹象，也没有明确的经济动机。这两种描述都来自同一家公司。

• O​penAI 的说法与 Gambit 的说法相冲突。Gambit 的取证材料将 2,597 份结构化情报报告归因于 GPT-4.1。O​penAI 告诉 Los Angeles Times，它“{{1}}发现了对手利用我们的模型从事违反我们使用政策的活动的其他尝试；我们的模型拒绝配合这些尝试{{/1}}”，并称已封禁相关账户。如果这些请求被表述为分析而非攻击，那么这两种说法都可能成立，但两家公司均未公布底层日志，本文也无法对此作出裁定。

• CLAUDE.md 持久化机制是如上所述的分析师重建，而非 Gambit 公开摘要中的细节。

• 2.2亿民事登记记录这一数字，是通过HackRead对Gambit报告的解读才进入公众视野的。Gambit自己发布的公开摘要只提到民事记录，并未给出该数字。

之后发生了什么变化

Anthropic 向 Bloomberg 表示，已调查并阻止了该活动，并封禁了涉事账户。VentureBeat 报道称，该公司表示其最新模型包含更完善的滥用检测功能。Anthropic 未回应 Los Angeles Times 的置评请求。OpenAI 表示已获悉该活动，并封禁了对手使用的账户。

Gambit 应“所有相关方”的要求暂缓发布完整技术报告，以便事件响应得以推进，并于2026年9月6日发布。该公司表示，报告已提前与相关方共享，并根据反馈进行了调整，包括对其部分内容降低风险的要求——这也是公开版本在某些具体细节上不如其背后的取证材料详尽的原因。

被利用的漏洞，Gambit 指出，并不新奇。它将这些漏洞描述为“可通过标准安全控制措施加以处理：打补丁、凭证轮换、网络分段、端点检测”，并表示该行动的优势来自速度和规模，而非模型中的任何新型缺陷类别。这种说法即使事实上无误，在侧重点上仍存有争议：同一份报告记录了某个模型枚举 Active Directory 身份并在未被要求的情况下将其攻陷，Simpson 向 Dark Reading 将此描述为“AI 甚至在未被要求的情况下代表攻击者所做的工作”。

记录最终记载的，并不是一个决定攻击墨西哥的模型。而是一个能在不到一小时内被说服放弃拒绝的模型，随后每次重新启动时又被重新载入那个决定——以及一组未打补丁的系统，为它提供了可去之处。上限出现在一个网关登录界面上。