AREX Feed Article
韩国 PIPC 收到 Anthropic 报告：约 100 家韩企 Claude 账户信息疑似外泄，尚未正式立案
11 月 9 日，韩国个人信息保护委员会（Personal Information Protection Commission，PIPC）表示，美国 AI 公司 Anthropic 已于 10 月 31 日向其报告：约 100 家韩国企业的 Claude 商业账户信息疑似外泄。据 援引韩联社的报道，这起事件目前处于初步审查阶段，PIPC 尚未正式立案。
另据同一报道，Anthropic 已向部分企业客户发出通知：可能暴露的是与商业 Claude 账户关联的组织与账户标识号、姓名和邮箱地址；公司坚持提示词、AI 输出与支付信息未被访问。事件的源头，则被指向美国安全初创公司 Cathedral 此前进入 Anthropic 内部系统一事。
涉海外公司案件或需先走文书请求，事实认定或需较长时间
转述了 PIPC 在 11 月 9 日说明中的原话：「一旦正式调查开始，我们计划通过进一步询问确认具体损失规模。」《每日经济》的报道补充说，泄露发生的方式也在正式立案后的核实范围之内。
程序上，PIPC 说明，与韩国本土企业的案件不同，涉及海外公司的案件在正式立案前可能先进行文书请求等程序，事实认定可能需要较长时间。报道称，若正式立案，调查预计聚焦三点：外部公司的进入路径、信息实际被查看的范围，以及 Anthropic 的个人信息保护措施是否充分。
泄露源头：安全公司 Cathedral 借第三方商业软件漏洞进入内部系统
据《每日经济》援引韩联社的报道，此事的公开起点是《华盛顿邮报》10 月 26 日（当地时间）的报道：美国网络安全初创公司 Cathedral 利用外部商业软件的一个漏洞，进入了 Anthropic 的内部系统。《金融新闻》英文版也称，涉事的外部公司即为 Cathedral。
11 月 9 日的快讯转述韩联社通稿时，附上了其 ：Cathedral 由美国「政府效率部」（Department of Government Efficiency，DOGE）前成员创办，自称其 AI 代理在不到 12 小时内攻入 Anthropic 内部系统，取得了会议记录、薪酬与招聘信息、Slack 消息等内容。据该报道援引《华盛顿邮报》，这次进入是 Anthropic 漏洞赏金计划下的一次测试；Anthropic 确认对方进入了部分销售、人力资源与 IT 系统，涉及客户与合作伙伴的业务联系信息和部分基础用户账户记录，但 Claude 用户对话、源代码与模型权重未被触及，并指责 Cathedral 未完全披露自身行为、违反了计划规则。PANews 还引述称，Cathedral 估值 14 亿美元，投资方包括 a16z（Andreessen Horowitz）与红杉资本（Sequoia Capital）等，累计融资 1.6 亿美元。
Hallie 确认访问范围，受影响系统当天切断
据《每日经济》援引韩联社报道，Anthropic 技术研究员 Lydia Hallie 11 月 8 日（当地时间）在 X（原 Twitter）上确认了访问范围：Cathedral 未经授权访问了姓名、邮箱地址、订阅计划等账户信息，但没有触及提示词、输出或支付信息。
《金融新闻》英文版把「未被暴露」的清单列得更全：通过 Claude 进行的对话、账户密码、支付卡信息与银行账户信息都不在暴露之列。该报道同时提到，企业 Claude 账户中可能包含组织与账户 ID、订阅计划、服务使用情况与支出相关信息，哪些字段实际被外部查看仍待确认。
处置上，《每日经济》的报道称，Anthropic 在得知事件的当天就封锁了受影响的系统，并与相关厂商合作修复了漏洞，还计划持续改进针对第三方软件的安全与监测体系。《金融新闻》英文版补充说，Anthropic 据报道已取得该安全公司的书面确认：后者将删除所访问的信息，并且不予使用。
定性分歧未解，规模数字尚待核实
关于这次访问的定性，两家公司的口径并不一致：Anthropic 一侧，Hallie 把 Cathedral 的行为称为「未经授权访问」；而据 PANews 援引《华盛顿邮报》的报道，这次进入是 Anthropic 漏洞赏金计划下的一次测试。授权测试还是越权访问，两家公司各执一词。
据 11 月 9 日的汇总，Anthropic 尚未公布涉事第三方软件的厂商名称，也没有发布韩国以外受影响账户的统计；PIPC 同样没有给出立案时间表。
而「约 100 家韩国企业」这一数字，目前仍出自 Anthropic 自己的报告，尚待 PIPC 核实。