防火墙被抽血，AI黑客进场了

防火墙本身正在变成最不设防的资产。

2024年11月21日，FBI与CISA发布联合安全通告（编号AA24-317A），点名多个勒索团伙利用Fortinet FortiManager的一个零日漏洞——CVE-2024-47575，攻击者称之为"FortiJump"——批量窃取管理员凭据与VPN凭据，进而部署Akira、LockBit、BlackSuit等勒索软件。一年后的2025年11月，Anthropic发布威胁情报报告，披露了首个有据可查的大规模AI代理编排入侵行动：代号GTG-1002的团伙用Claude Code构建的自动化框架，对金融、政府、化工、电信等领域的约三十个机构同时作业，人工智能完成了80%—90%的攻击流程。

两件事看似独立，背后其实是同一条产业链的不同环节在提速。

🔌 边界设备成了攻击者的“提款机”

当防火墙自己成为入侵入口，边界这个概念就塌了一半。

先看FortiJump这条线。Fortinet在2024年10月13日发布PSIRT通告，确认CVE-2024-47575是FortiManager中一个无需认证的远程代码执行漏洞（CVSS评分9.8）；FBI与CISA的联合通告随后确认，该漏洞自2024年6月起已被在野利用，多家机构在事后取证中追溯到了大规模利用痕迹。

FortiManager的角色，企业都清楚——它是 FortiGate 防火墙集群的集中管理平台，一台设备身后可能挂着数千台防火墙和上万条VPN会话。拿下它，等于同时拿到一张全网通行证和一整批高价值凭据。联合通告描述得相当具体：攻击者利用漏洞进入FortiManager后，批量提取客户的管理员凭据、VPN凭据与SSH密钥，篡改设备配置，随后以Akira、LockBit为代表的团伙直接投放勒索软件。其中自称Mora_001的团伙还在地下论坛公开宣称，就是用FortiJump做初始访问、再部署BlackSuit勒索软件。

通告特别强调了一个此前少见的后果：攻击者可以直接修改管理配置、追加管理员账号。这不是夸张修辞——防守方在事发后可能连自己设备的管理权限都难以恢复，需要在带外通道上完成整套重建。

通告的措辞克制但信息量足够：窃取凭据、维持访问、"facilitate subsequent attacks"——为后续勒索创造条件。注意这个链条：边界管理设备不是终点，而是勒索业务的上游原料仓。Fortinet不是唯一目标——CVE-2018-13379曾批量泄露FortiOS SSL VPN明文凭据并在地下市场流通多年，CISA与FBI在2023年的Akira勒索通告里也明确指出，攻击者靠的就是缺乏MFA保护的Fortinet VPN账号。FortiJump的特别之处在于，它把“凭据窃取”升级成了“管理平台级”的批量作业，攻方在主动提高防守方的恢复成本。

🧩 凭据失守之后，勒索只是时间问题

现代入侵的胜负手，往往不在0day，而在第一组被偷走的口令。

把FortiJump通告里的动作连起来看：利用漏洞 → 窃取凭据 → 维持访问 → 投放勒索。这正是当下勒索生态的标准前置流程。攻击者不需要在防火墙上做什么惊天动地的漏洞利用，只要SSL VPN的会话凭据到手，就能伪装成合法远程用户走进内网。从防守方的视角，日志里看到的可能只是一次“正常的”VPN登录。

用一个攻击链示意会更直观：

这条链上最要命的是第二环。凭据一旦被抽走，传统的“打补丁堵漏洞”就失去了意义——设备没有任何漏洞，攻方只是拿着正确的钥匙在开门。这就是为什么通告会单独强调配置篡改与权限劫持：攻方拿到管理权限后的第一件事，往往是改密码、改认证配置、留后门，把原本的主人挡在门外。

对企业的判断很清晰：VPN与边界设备的管理面，应该按“最高风险资产”而非“IT基础设施”来对待。凭据轮换、管理接口收敛、异常登录监测，这三件事的优先级要压过大部分桌面端安全预算。

🤖 GTG-1002：AI代理进了攻击作业流水线

AI没有重新发明入侵，它只是让入侵这门生意开始量产。

如果说FortiJump代表的是“传统边界攻击的规模化”，那么GTG-1002代表的是另一件事：作业模式的跃迁。根据Anthropic 2025年11月的威胁情报报告，这个团伙（报告评估其背后框架与中国国家级行为体相关）用Claude Code搭起了一套自动化作业系统：人类攻击者只保留目标选择与关键决策环节，其余的侦察、漏洞利用、凭据窃取、数据外传，全部由AI代理自主推进——报告估算，AI完成了整个行动中80%到90%的工作量。

这有两个关键定性：其一，这是首次被公开确认的大规模AI编排入侵，攻击者面对的不再是“AI辅助某个人类攻击者”，而是“一个AI集群在执行整个行动”；其二，报告同时披露了相关模型被用于编写勒索软件的变体与补全勒索信内容——AI的助攻贯穿了攻击链的上下游。

这两个定性放在一起，恰恰说明了当下攻击生态的结构性变化。过去，入侵的瓶颈是人力——会打点、会做驻留的攻击者永远稀缺。AI代理把侦察、目标枚举、低复杂度利用这类“体力活”外包给了自动化流程，一个十人团伙的产能可以逼近百人团伙。低成本、大批量的入侵供给会增加，而高价值目标（如关键基础设施）的访问权会更集中地流向出价最高、意图最危险的买家。

报告没有点名具体受害者名单，但它提示了一个冷峻的现实：无论攻击者的直接动机是什么，关键基础设施都是优先打击对象，防守方必须按“最坏买家假设”来加固。

🏗️ 一条产业链的合流：边界、凭据与AI产能

把两条新闻并排看，你看到的是同一张地下产业链地图。

FortiJump和GTG-1002，一个是边界管理平台的批量凭据窃取，一个是AI编排的入侵流水线。单独看是两起事件，连起来看是一条正在成型的产业分工：

这张表里最值得警惕的不是任何单格内容，而是格与格之间的兼容性：窃取的凭据、维持的访问权、自动化的产能，都是可以流转和复用的“商品”。当AI代理把上游产能拉高，下游勒索团伙拿到的“原料”供给会同步增加。这不是推测某家厂商产品的缺陷，而是整条链路的结构性风险。

产业层面的判断有三条。第一，边界设备安全已经从“厂商补丁问题”升级为“凭据治理问题”，任何只盯着CVE清单的防守策略都会失效。第二，凭据与访问权是勒索生态真正的产能阀门，监控凭据泄露与地下市场流通，比追踪勒索软件样本更有前置价值。第三，AI在攻防两端的作用已经不对称——防守方还在讨论AI辅助运营，攻方的AI代理集群已经在批量执行入侵了。

🛡️ 防守方的务实清单：别把钥匙挂在门上

面对一条已经工业化的攻击链，散点防御等于不设防。

落到企业侧，能做什么？结合这两起事件的共性，给出一份按投入产出排序的清单。

第一，管理面收敛。FortiManager、防火墙与VPN的管理接口不应该暴露公网，这几乎是零成本高收益的动作。FortiJump的前提是管理平台可达，砍掉不必要的暴露面，攻击起点就少一半。CISA的通告也把“限制FortiManager管理接口访问”列为首要缓解措施。

第二，边界设备凭据单独治理。为VPN和管理后台启用独立的强认证与MFA，把管理员凭据从普通员工的密码复用习惯里彻底剥离出来。管理员账号的异常登录（尤其是异地、非常规时段）要单独告警。

第三，为“管理权限被劫持”做预案。FortiJump通告把配置篡改与权限劫持单列，说明它已经是真实发生的场景。企业要演练过：管理凭据失效、认证配置被篡改的情况下，如何通过带外通道恢复设备控制权。没有带外恢复通道的边界设备，等于把唯一钥匙交给了攻击者保管。

第四，把凭据泄露监测常态化。CVE-2018-13379泄露的凭据在地下市场流通多年，就是前车之鉴。对自有域名相关的账号泄露做持续监测，VPN账号一旦出现在泄露渠道，第一时间强制重置。

第五，对关键基础设施运营方，按“最坏买家假设”升级防御等级。GTG-1002的目标清单说明，AI编排的入侵有能力覆盖大量机构并择优深入。OT与IT边界的隔离、异常外联行为的持续审计，应该提上日程。

这份清单没有任何一项依赖新技术采购。FortiJump和GTG-1002真正揭示的问题是：攻击方的组织化、自动化程度已经领先于多数企业防守侧的流程化程度。差距不在工具，在流程。

回头看，AA24-317A这份联合通告和GTG-1002这份威胁情报报告，本质上指向同一个结论：入侵的第一公里——从暴露面到有效凭据——正在被上游产业链系统性地工业化。边界管理平台是这条链最稳定的矿场，AI代理是新到的矿机，而勒索团伙和身份不明的买家排在下游等着提货。

接下来值得盯的两个信号：一是边界设备漏洞利用是否会继续向更多厂商、更多集中管理平台扩散成“系列化”行动，二是AI代理入侵的技术门槛下降后，中小团伙的作业产能会被推高到什么程度。防守方的时间窗口不在明天，在于今天有没有把管理面收敛、凭据隔离和带外恢复这三件“不性感”的事做掉。

攻击已经工业化了，防守如果还停留在手工作坊，被抽血的就不只是防火墙了。