2026-10-24 13:48:36 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

假 AI 工具正在变成企业窃密诱饵：员工主动下载，也可能把凭据交出去

汇能云安全

2026年10月22日 10:02
广东

去阅读

10月22日，星期四，您好！中科汇能与您分享信息安全快讯：

LiteLLM 1.107.0 被投毒：AI 服务最危险的入口，可能就在开发者的安装命令里

LiteLLM 1.107.0 版本在 PyPI 遭到供应链入侵，Aikido 披露，七个已经分发的 wheel 包都被植入了信息窃取程序和远程访问木马，更麻烦的是，受影响内容不只停留在开发者电脑上，相关恶意版本还进入了 Docker 镜像。凡是把 LiteLLM 接入模型网关、内部 AI 平台、自动化服务或构建流水线的团队，都需要把这次事件当成一次真实的凭据暴露风险来处理。这类投毒的破坏力不在于代码有多复杂，而在于软件本身本来就处在信任链里。开发者可能在虚拟环境中安装，CI 系统可能自动拉包，容器构建又会把依赖固化进镜像。一旦恶意代码读取环境变量、配置文件、SSH 密钥或云平台令牌，攻击者拿到的就可能是模型 API 密钥、代码仓库权限，甚至生产环境的访问入口。只删掉本地目录，并不能证明风险已经结束。使用过 1.107.0 的组织应立即锁定受影响时间段，隔离相关开发机、Runner 和 AI 服务，回滚到经过核验的可信版本，并轮换所有可能出现在环境中的 API 密钥、云凭据、数据库密码和代码仓库令牌。还要检查 Docker 基础镜像、构建缓存、制品仓库和部署记录，重点关注异常外联、陌生子进程以及密钥在非正常时间段被调用的情况。以后对 AI 依赖同样要做版本锁定、来源校验和软件物料清单。

FortiSIEM 出现免登录 RCE 公开 PoC：安全平台本身也必须按边界资产管理

Fortinet FortiSIEM 7.5.0 被披露存在 CVE-2026-106173，远程攻击者无需登录即可写入文件并执行代码，随后又有公开的概念验证代码出现。官方信息显示，FortiSIEM 7.5.1 已经修复该问题，7.6 版本不受影响。对企业来说，这不是普通的管理软件更新，而是安全运营平台本身可能被反过来利用的问题。很多组织把 SIEM 当成 “监控中心”，却忘了它通常拥有大量日志、连接和管理权限。如果攻击者控制了 FortiSIEM 节点，影响可能包括植入后门、篡改告警、窃取日志和凭据，并借助平台所在网络位置继续摸排其他系统。公开 PoC 意味着攻击者不需要从零研究漏洞，互联网上暴露的管理接口更容易成为自动化扫描目标。当前公开信息没有证明所有部署都已遭到入侵，但未修补且可从不可信网络访问的设备，应视为高优先级风险资产。管理员应立即确认 FortiSIEM 的准确版本和管理面暴露范围，按官方公告升级到 7.5.1 或使用不受影响的 7.6 版本。无法立刻升级时，应先限制来源地址、关闭不必要的公网访问，并通过边界设备阻断异常请求。升级前后都要保存日志，排查陌生文件、异常进程、管理员账号变化、计划任务和非业务出站连接。若发现可疑迹象，不要只重装节点，还要轮换平台保存或调用过的凭据，并检查同网段系统是否出现横向访问。

Node.js 一次修十个漏洞：DNS、TLS 和解压组件都可能成为应用入口

Node.js 针对 26.x、24.x 和 22.x 分支发布安全更新，共修复十项漏洞，其中四项被列为高危，涉及 DNS 查找、TLS 证书检查和 Brotli 解压。公开发布信息给出的修复版本是 26.12.1、24.22.1 和 22.23.4，最严重的潜在后果是通过 Brotli 解码器走到远程代码执行。Node.js 本身并不只运行在网页后端，也经常被用于构建工具、API 网关、消息处理服务和内部自动化任务，因此影响面不能只看 “有没有 Node 网站”。这类运行时漏洞容易被忽视，是因为业务代码可能完全没有变化，风险藏在底层解析和网络处理组件里。一个对外服务如果接收压缩内容、执行域名解析或建立加密连接，就可能调用受影响路径。即使暂时没有看到在野利用，也不能把长期不更新当成低风险策略，尤其是公网 API、代理服务和多租户平台。开发团队应盘点生产主机、容器、Serverless 函数、构建机和开发环境中的 Node.js 实际版本，不能只看项目的 package.json。升级后要重新构建镜像并验证依赖兼容性，避免旧运行时继续留在制品仓库和自动扩容模板里。安全团队应检查异常 DNS 请求、证书校验失败、畸形压缩数据、进程崩溃和服务端主动外联。暂时无法升级的系统，应限制不可信输入和公网暴露，同时建立明确的替换时间表。

Gentlemen 勒索软件先关防护再毁备份：企业恢复能力不能只靠一份副本

名为 The Gentlemen 的勒索软件行动正在通过一套连续动作削弱受害组织的恢复能力。其 Windows 恶意软件会关闭 Microsoft Defender 实时保护，添加范围很宽的排除项，停止与备份相关的服务，并删除卷影副本，随后再对文件进行加密。这个攻击顺序很有代表性：攻击者并不只是把文件锁住，而是先让检测、阻断和恢复三道防线同时失效。很多企业会把 “有备份” 当成勒索事件的最后保险，但如果备份服务可以被普通服务器账号停止，备份副本也和生产域共享权限，攻击者就可能在加密前先把恢复路径清掉，关闭防护和删除卷影副本也是非常明确的入侵信号，不应被当作普通运维变更。当前摘要没有给出固定受害者清单，因此不应把某个行业或地区说成唯一目标，但所有 Windows 服务器和终端都应排查类似行为。建议立即检查 Defender 策略、排除项、服务状态、卷影副本和备份任务是否出现非计划变化，并将这些变更接入集中告警。备份系统要使用独立账号、最小权限和不可被域管理员直接删除的隔离副本，关键备份还应定期做离线恢复演练。发现加密、批量改名或安全服务被停用时，应先隔离主机、保全内存和日志，暂停无关账号和共享凭据，不要急着重装或删除样本，避免丢失溯源证据。

BRONZE SANDCASTLE 把合法 Windows 程序变成后门：可信软件也可能被 “旁加载” 利用

安全研究人员披露，疑似与中国有关联的攻击者 BRONZE SANDCASTLE 正在利用受信任的 Windows 应用加载隐藏后门。攻击者把恶意文件放在合法程序旁边，让原本正常的程序在启动时加载攻击者控制的组件，再收集系统信息并窃取 Active Directory 凭据，它没有修改原始应用，却借助应用的可信外观绕过部分安全判断，说明 “程序有签名” 与 “启动链没有被篡改” 并不是一回事。这种旁加载方式对企业尤其危险，因为很多终端都安装了大量办公软件、运维工具和厂商客户端，安全团队如果只按文件名、签名或杀毒告警判断，可能忽略同目录中的异常 DLL、配置文件和启动参数。一旦攻击者拿到域凭据，后续风险就不再局限于单台电脑，可能扩展到文件服务器、管理平台和其他域成员。公开摘要没有给出具体受害者名单，因此这里不把事件扩大到某个行业，但 Windows 域环境应认真排查。企业应建立关键软件的可信基线，记录程序、DLL、配置文件和启动参数的组合关系，不能只维护一个可执行文件清单。重点核查系统目录和应用安装目录中新出现的旁加载文件、异常时间戳、陌生签名以及由办公程序拉起的脚本和网络连接。域安全方面要限制高权限账号登录普通终端，启用凭据保护和分层管理，并在发现异常主机后立即重置可能暴露的域凭据、撤销会话和检查横向访问记录。

APT28 潜入北约国家造船商网络：隐蔽 SSH 隧道让窃密变成长期驻留

Symantec 威胁狩猎团队披露，俄罗斯网络间谍组织 APT28 曾使用 Hookedge 后门进入一个北约成员国的海军造船商网络，窃取登录材料并建立隐藏的 SSH 隧道，入侵至少持续了两个月。公开报道没有点名具体国家和造船企业，因此不能把未公开信息补充成确定事实。但 “国防工业供应链、凭据窃取、长期隧道” 这几个要素已经说明，攻击目标不是一次性破坏，而是持续获取情报和保持访问。反向或隐藏 SSH 隧道的危险在于，连接往往由内网主机主动发起，传统上只盯入站流量的防火墙未必能及时发现。攻击者如果先取得一台办公或研发主机，再利用其正常出网能力建立通道，就可能逐步接触工程文件、供应商资料和身份系统。造船、航空、军工等企业还面临合作方和外包维护账号带来的额外路径，单纯更换一台被发现的电脑并不能消除整个入侵链。相关单位应盘点 Windows 和 Linux 主机上的 SSH 客户端、服务、计划任务、启动项、公钥和已知主机记录，重点寻找未备案的远程连接、长时间保持的外联以及异常端口。出口访问策略要按业务需要收紧，研发网、办公网和供应商接入区必须有清晰边界。发现可疑隧道后，应同时检查凭据、会话、跳板机和横向访问记录，并在完成取证前保留相关日志和磁盘镜像，避免只删后门却留下攻击者重新进入的条件。

333 个 Tor 出口节点被劫持：加密连接建立前，登录凭据可能已经被截走

研究人员披露，一场从 10 月 2 日开始的活动曾控制 333 个 Tor 出口节点，并把 SSH 连接重定向到用于窃取密码的服务器，同时针对未加密的电子邮件流量。报道引用的规模约为 3000 个 Tor 出口中十分之一。这里需要区分两个概念：Tor 网络可以隐藏访问来源，但出口节点并不等于端到端加密终点；如果应用自身没有可靠加密，出口位置仍可能观察或篡改流量。对企业来说，最直接的风险是把 “走 Tor” 误当成 “凭据安全”。SSH 如果使用弱密码、没有严格校验主机密钥，或者用户在异常提示下继续登录，攻击者就可能收集口令并进一步尝试访问云服务器、代码仓库和运维平台。摘要没有说明所有 Tor 用户或所有 SSH 连接都受到影响，也没有给出具体受害者数量，因此不能把事件描述成普遍性失陷，但使用匿名网络访问生产资产的组织应重新检查控制措施。管理员应禁止生产 SSH 依赖密码登录，改用经过妥善保护的密钥、硬件令牌或其他强认证，并在集中配置中固定和审计主机密钥。关键运维连接尽量通过企业控制的 VPN、跳板机或专用网络完成，不要让管理员直接从不受控的匿名出口访问服务器。发现口令曾在可疑路径中使用时，应立即轮换凭据、撤销旧密钥、检查登录来源和命令历史，并排查同一账号是否被用于其他系统。网络匿名性不能替代应用层加密和身份验证。

Chrome 一次修复 353 个漏洞：浏览器已经是企业最重要的安全边界之一

Google 发布 Chrome 156 安全更新，面向 Windows、macOS 和 Linux 修复 353 个安全问题，其中包括六个严重漏洞，涉及图形、无障碍、渲染和通信功能。官方给出的版本包括 Linux 156.0.8078.47，Windows 和 Mac 也在同一版本线推送修复。更新会在未来几天到几周逐步到达用户，这意味着企业不能只等待员工自己点击 “重启浏览器”，而要确认更新策略是否真的覆盖了所有终端。浏览器承载着邮箱、办公平台、财务系统、云控制台和大量身份 Cookie，已经不只是一个打开网页的工具。浏览器渲染或通信组件出问题后，攻击者可能通过恶意页面、广告或被入侵的网站触发异常行为；如果终端还保留高权限会话，浏览器漏洞的后果可能远超单次网页崩溃。公开摘要没有说明 353 个漏洞全部可被远程利用，因此不应夸大为每个用户都会被攻击，但延迟更新会扩大暴露窗口。企业应通过终端管理平台核验 Chrome 实际版本和自动更新状态，覆盖 Windows、Mac、Linux、VDI 和共享办公设备。更新后要检查浏览器扩展、策略文件、异常崩溃和由浏览器启动的脚本或命令行工具。高权限管理账号应使用隔离浏览器或专用终端，减少普通浏览活动与生产控制台共享会话。对暂时无法升级的设备，应限制访问高风险网站和敏感系统，并设置明确的替换期限，而不是长期依赖 “目前没发现异常”。

Oracle 十月补丁一次修复 1295 个问题：大型平台的补丁治理不能只看一个编号

Oracle 发布 2026 年 10 月关键补丁更新，覆盖旗下软件组合的 1295 个安全修复，其中包括 Oracle E-Business Suite 中的最高严重级别漏洞。公开摘要称，该漏洞可能让无需登录的攻击者通过网络访问接管受影响的 Workflow 组件。1295 这个数字是整个产品组合的修复总量，不代表每个客户都要处理全部问题；真正需要做的是把本单位部署的产品、版本、模块和暴露面对应起来。Oracle 平台常常连接财务、人力、采购、供应链和审批流程，漏洞影响的不只是某一台应用服务器。尤其是未授权网络攻击与业务组件接管结合时，攻击者可能从应用入口接触高价值数据，或者利用应用权限执行后续操作。企业如果只依赖数据库团队 “统一打补丁”，却没有把应用中间件、E-Business Suite 模块和外围接口纳入资产清单，容易出现补丁已发布但实际系统仍裸奔的情况。使用 Oracle 产品的组织应立即按照官方 CPU 清单筛选适用产品，明确每个实例的版本、模块、互联网暴露情况和业务负责人，优先处理无需认证且可网络访问的组件。升级前要做备份、兼容性验证和回滚准备，升级后检查认证、Workflow、接口调用和批处理任务是否正常。安全团队应回看异常登录、未授权请求、配置变化、管理员权限和敏感数据访问记录；如果系统直接暴露公网且长期未修补，应先限制访问并开展入侵排查，不能把安装补丁当作唯一动作。

假 AI 工具正在变成企业窃密诱饵：员工主动下载，也可能把凭据交出去

随着企业员工越来越依赖 ChatGPT、Claude 和 Microsoft Copilot 等工具，攻击者开始把恶意程序包装成 “AI 助手”“模型客户端” 或 “效率插件”，诱导用户主动下载。ANY.RUN 的研究被 CyberSecurityNews 引用，指出这类仿冒 AI 应用可能窃取凭据、投放恶意软件并进入企业环境。它利用的不是用户对陌生软件的盲目好奇，而是企业正在快速推进 AI 应用、员工又希望尽快解决工作问题的现实需求。这类攻击的难点在于，下载行为看起来像正常工作流程。员工可能通过搜索结果、社交平台、第三方下载站或同事转发的链接获取工具，随后按页面提示关闭防护、授予浏览器权限或使用企业账号登录。恶意程序一旦读取浏览器会话、SSH 密钥、API 令牌和本地配置，就可能绕过单纯的密码修改，继续访问邮件、代码仓库和云服务。企业如果没有统一的 AI 工具清单，安全团队很难判断哪些安装行为是业务需要、哪些已经越过边界。组织应建立经过审核的 AI 工具目录和软件分发渠道，限制普通员工安装未知可执行文件及浏览器扩展，并把 AI 应用纳入供应商和数据安全审查。终端侧重点监测下载后立即启动的程序、读取浏览器凭据、请求高权限和连接新域名等行为。员工若已运行可疑 AI 安装包，应先隔离设备，再撤销会话、轮换 API 密钥和企业密码，检查异常登录与数据访问，不要只卸载程序。对 AI 工具的管理重点不是禁止创新，而是让合法工具有明确来源、权限和责任边界。

信息来源：人民网国家计算机网络应急技术处理协调中心国家信息安全漏洞库今日头条 360威胁情报中心中科汇能GT攻防实验室安全牛 E安全安全客 NOSEC安全讯息平台火绒安全亚信安全奇安信威胁情报中心 MACFEESy mantec白帽汇安全研究院安全帮卡巴斯基安全内参安全学习那些事安全圈黑客新闻蚁景网安实验室 IT之家IT资讯黑客新闻国外天际友盟