文章总结： 本文介绍大模型辅助补丁分析工作流，通过LLMAgent自动化完成固件逆向、协议状态测试与威胁溯源，快速拆解MikroTik路由器高危漏洞链CVE-2026-67279与CVE-2026-86060，实现无认证提权攻击。文章详述四大核心模块、漏洞原理及野外攻击特征，强调AI压缩分析周期但需人工核验，并提出厂商应同步公开IOC与缓解方案。
综合评分： 85
文章分类： 漏洞分析,ai安全,安全工具,安全运营,威胁情报
大模型辅助补丁分析工作流：拆解路由器高危漏洞链
原创
黑鸟
黑鸟
黑鸟
2026年9月23日 23:57
广东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
AI技术正在彻底改变网络安全漏洞研判的节奏，以往需要安全研究员耗费数天甚至数周的固件补丁逆向、漏洞溯源工作，如今依托LLM agent(大语言模型智能代理)可以压缩至数小时完成。
cert.pl最新发布《MikroTrick: technical analysis, disclosure process, and the use of LLM agents》，关于MikroTrick的高危漏洞链，就是典型的AI辅助安全分析实战案例，整套完整的LLM补丁分析工作流，快速挖掘出RouterOS系统中两个关键高危漏洞，同时还原出已经在野外大范围利用的无认证提权攻击链路。
本文将结合真实漏洞复盘，通俗易懂拆解LLM辅助补丁分析完整工作流，同时完整保留MikroTrick漏洞链全部核心技术细节，让普通网络从业者也能看懂AI如何赋能漏洞挖掘、补丁diff分析、威胁溯源，清晰认知当下网络安全攻防的全新技术格局。
2026年9月3日，MikroTik紧急推送多分支RouterOS安全补丁，覆盖7.25beta3、7.24.2、7.23.4、6.49.21等多个主流版本，仅告知用户为重要安全更新、需立即升级设备，并未公开任何漏洞细节与攻击原理。厂商常规的静默补丁策略，本意是预留时间让全网设备完成修复，避免漏洞细节提前泄露被攻击者滥用。
但这一次，传统的补丁防护窗口期被彻底打破。
依托成熟的LLM辅助补丁分析工作流，安全团队在补丁发布后极短时间内，就完成了固件差异比对、二进制逆向、漏洞原理验证，成功挖掘出CVE-2026-67279、CVE-2026-86060两个高危漏洞，串联形成可完整利用的MikroTrick攻击链。同时大量设备日志证实，该漏洞在补丁发布前就已出现野外攻击痕迹，威胁风险极高。
传统固件补丁分析高度依赖人工操作，研究员需要手动完成新旧固件拆解、代码比对、反汇编审计、协议状态测试、漏洞复现验证等全流程工作，不仅效率极低，还容易因人工疏漏遗漏关键漏洞点，无法适配快速迭代的设备固件更新节奏。
而本次研判使用的LLM辅助工作流，是一套标准化、自动化的漏洞分析体系，依托专用AI模型与自研实验室基础设施，替代绝大部分重复性人工工作，仅保留核心核验环节由人工完成，整体工作效率实现量级提升。本次分析主要调用GPT5.5-cyber、GPT5.6-sol专用安全模型，同时搭配GLM、DeepSeek、Qwen、PLLuM等本地开源大模型，形成云端+本地的双层AI分析架构。
整套工作流核心分为四大模块，也是本次挖掘MikroTrick漏洞的核心流程：
-
自动化实验环境搭建：通过libvirt工具链，LLM agent可自主完成虚拟机部署、快照创建与恢复、多版本RouterOS环境搭建、实验状态初始化等操作，本次分析累计搭建40台CHR虚拟机、39组专属快照，覆盖6.43.11至7.25beta3共24个系统版本，实现全版本漏洞兼容测试。
-
静态代码智能审计：AI自动提取RouterOS固件文件，调用radare2、Ghidra工具完成二进制反汇编，对比补丁前后代码差异，结合SSH协议RFC4253、RFC4252、RFC4254官方标准，智能识别代码逻辑缺陷、状态异常、参数校验缺失等漏洞特征。
-
协议状态自动化测试：LLM擅长将网络协议转化为状态机模型，系统性遍历各类异常场景，包括协议流程重执行、消息跳过、报文乱序、通道提前创建、认证阶段重密钥等非常规操作，精准捕捉常规测试难以发现的逻辑漏洞。
-
野外威胁智能溯源：补丁发布后，LLM agent持续监控MikroTik官方论坛、Reddit、trzepak.pl等公开渠道，自动抓取设备异常日志、攻击痕迹、用户报错信息，快速关联漏洞利用特征，还原真实野外攻击链路。
整套工作流彻底改变了传统漏洞分析模式，AI负责海量数据初筛、重复性测试、协议遍历、环境搭建，人工仅负责歧义结果处理、漏洞有效性核验、利用链串联确认，大幅缩短漏洞研判周期。
依托上述LLM辅助分析体系，安全团队在补丁发布后一小时内就定位到两个核心高危漏洞，双漏洞组合形成MikroTrick无认证提权攻击链，攻击者无需账号密码、无需SSH密钥、无需完成任何身份认证，即可直接获取路由器root权限。
1. 前置漏洞：CVE-2026-67279 SSH状态机逻辑缺陷
SSH协议标准流程分为传输层密钥协商、用户身份认证、通道处理三个固定阶段，正常情况下，设备必须完成用户认证、返回SSH_MSG_USERAUTH_SUCCESS成功报文后，才会开启会话通道、允许执行命令与控制台操作。
RouterOS存在特殊逻辑缺陷，设备在用户认证未完成阶段，若触发SSH rekey(密钥重协商)操作，系统状态流转会出现错误。正常 rekey 仅更新传输层密钥、不改变协议流程状态，但漏洞版本系统会无条件从重协商状态直接跳转至通道处理阶段，直接跳过核心的用户身份认证环节。
该漏洞本身不会直接赋予攻击者任何权限，也不会创建有效会话身份，但它打通了攻击的前置条件，让未认证客户端可以成功创建SSH会话通道，为后续参数注入、权限劫持提供了可行入口，也是整条攻击链的核心突破口。
2. 核心提权漏洞：CVE-2026-86060 用户名参数注入漏洞
完成通道绕过之后，攻击者利用第二个关键漏洞实现完整权限接管。RouterOS登录核心进程/nova/bin/login的启动参数存在严重校验缺失问题，系统sshd进程在处理SSH连接时，会直接将用户提交的用户名参数无校验传递给login进程。
正常用户名仅作为身份标识，但以-开头的字符串会被系统识别为程序执行参数而非普通用户名，login进程支持-N特殊语法，可通过数字读取对应文件描述符中的自定义数据。
攻击者提交用户名为-2时，login进程会读取2号文件描述符数据，而该文件描述符与SSH伪终端通道互通，攻击者可自主通过SSH通道传递自定义权限掩码数据。本次野外攻击中，攻击者传入655358权限值，对应设备最高权限full用户组策略掩码。
简单来说，攻击者通过特殊用户名诱导系统读取可控数据，直接覆盖设备默认权限配置，实现无认证获取最高管理员权限。
3. MikroTrick完整攻击链路
第一步攻击者与设备建立TCP连接，完成基础SSH密钥协商，提交非法用户名-2并触发认证失败，保留恶意用户名参数；第二步在认证阶段主动发起SSH rekey密钥重协商，利用CVE-2026-67279漏洞跳过认证流程，直接进入通道处理状态；第三步通过伪终端通道传递自定义最高权限掩码，利用CVE-2026-86060漏洞劫持login进程权限；最终成功获取路由器完整管理控制台权限，完成无条件接管。
该攻击会留下特殊日志特征，设备会记录user-2登录失败记录，同时生成ssh:-2远程创建ops高权限账号的日志，这也是野外攻击最核心的特征IOC(入侵指标)。
本次MikroTrick漏洞的快速披露，充分体现出LLM辅助补丁分析工作流的核心价值，也暴露了AI安全研判的固有短板，为行业AI赋能安全研判提供了清晰参考。
1. 核心优势：极致压缩分析周期
传统人工分析多版本固件补丁差异、遍历协议异常状态、搭建复现环境，至少需要数天时间，且极易出现测试遗漏。而LLM agent可以全天候自动化完成环境搭建、二进制比对、协议状态遍历、日志抓取分析，批量测试数十个系统版本，快速锁定漏洞引入版本与修复版本。
尤其在协议状态分析场景，AI对状态机模型的遍历能力远超人工，能够精准发现认证阶段重密钥、参数异常传递、状态非法跳转等精细化逻辑漏洞，这也是本次快速挖掘出SSH状态缺陷的关键。同时AI可实时监控全网公开情报，第一时间汇总野外攻击痕迹，快速验证漏洞可利用性。
2. 固有局限：无法替代人工核验
整套工作流中，AI仅作为高效辅助工具，无法独立完成漏洞确认与原理验证。AI输出的反汇编分析结果、漏洞猜想、协议异常结论，经常存在逻辑偏差、伪代码失真、参数解析错误等问题，甚至会生成虚假无效特征。
所有漏洞结论必须经过人工二次核验，包括重复复现测试、阴性对照实验、多版本交叉比对、日志与代码联动验证，只有完全可复现、特征稳定的缺陷，才会被判定为有效漏洞。前期环境配置、实验范围界定、歧义结果修正，也完全依赖人工把控。
依托LLM情报溯源能力，本次漏洞的野外攻击时间线被完整还原，最早攻击日志可追溯至2026年9月2日，早于官方补丁发布时间，说明该漏洞在补丁推送前就已被地下团伙掌握并批量利用。
目前已监测到的核心攻击特征包括固定攻击IP 82.192.72.4 用户异常登录失败记录、远程创建高权限ops账号、设备诊断文件生成与外传、fetch命令批量数据窃取等，部分设备还会出现SSH进程崩溃的异常现象，即使设备开启SSH密钥强加密模式，依然可被无认证突破。
攻防不对称性已经彻底扭转，漏洞分析的人力成本、时间成本被AI极致压缩，攻击者同样可以利用同类AI工具快速拆解补丁、开发攻击脚本，批量扫描入侵全网脆弱设备。
这也对设备厂商和运维人员提出了全新要求，厂商发布安全补丁的同时，必须同步公开攻击特征、IoC检测规则、临时缓解方案，不能单纯依赖静默补丁防护；企业运维则需要建立常态化漏洞监测、固件升级、设备加固机制，不再被动等待漏洞曝光后紧急抢修。
安全行业的AI赋能已经不是未来趋势，而是当下正在落地的实战能力，熟练掌握LLM辅助漏洞研判、补丁分析、威胁溯源，将成为网络安全运维的核心必备技能。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：黑鸟 黑鸟
黑鸟《大模型辅助补丁分析工作流：拆解路由器高危漏洞链》