文章总结： 文档报道了2026年初两起重大安全事件：一是黑客利用DeepSeek和Claude等大模型将针对FortiGate设备的攻击自动化、流水线化，攻陷大量设备，强调AI加速了攻击流程；二是开源AIAgent框架OpenClaw因漏洞和供应链问题被大规模利用，导致3万实例沦陷，标志着AIAgent生态首次面临武器化攻击风险。文章建议企业加强边缘设备防护、实施严格的隔离与监控措施以应对AI驱动的威胁。
综合评分： 91
文章分类： AI安全,威胁情报,安全大事件,漏洞分析,红队
黑客用 DeepSeek、Claude 把攻击做成了“流水线”，全球批量攻击FortiGate设备；OpenClaw 被大规模利用，3万实例沦陷；
黑白之道
2026年2月27日 10:12
山东
黑客用 DeepSeek、Claude 把攻击做成了“流水线”，全球批量攻击FortiGate设备；
黑客正利用DeepSeek和Claude来自动化、流水线、高频率、大规模地攻击全球的FortiGate防火墙。
2026年2月初，研究人员发现一台运行SimpleHTTP的服务器（212.11.64[.]250:9999）因目录权限配置不当，公开暴露了1,400+文件、139个子目录，其中包括被盗的FortiGate配置、Active Directory映射、凭据与哈希转储、漏洞利用代码以及详细的攻击手册。更关键的是：这台基础设施并非单纯“文件共享盘”。在Hunt.io的Attack Capture中，它被识别为仍在活跃的C2与中转/投放节点，具备实际作战用途。据悉，该基础设施由瑞士的一家服务商托管。
披露信息显示，这些数据与多起已确认的入侵有关联，包括：亚太地区某工业气体公司、土耳其某电信服务商，以及亚洲某大型媒体公司。同时，材料中还出现了对韩国、埃及、越南、肯尼亚等地区目标进行侦察的线索。
历史遥测还表明：同一主机在2025年12月中旬也曾出现类似“开放目录”暴露，目录中不仅包含大量相同工具链，还出现更多受害者数据，说明这并非偶发泄露，而是长期运作中的一环。此外，该服务器上的日志与SSH历史记录显示，它曾直接修改多个国家/地区FortiGate设备的配置，进一步坐实其在真实攻击中的操作角色。
大模型被用在“提速”，而不是“挖新洞”。
与“AI帮助发现新漏洞”的研究型场景不同，本次更值得关注的是：攻击者用大模型扩容并提速渗透流程中大量重复、标准化的工作。
- DeepSeek：用于消化侦察输出与FortiGate配置备份，生成结构化攻击计划，例如通往Domain Admin的优先路径、关键凭据的重点搜寻位置，以及高价值内部目标（如Oracle数据库、生物识别设备等）。
- Claude：其编码/代理能力被用于在入侵过程中生成漏洞评估报告，并被配置为运行或编排常见进攻工具（如 mpacket、Metasploit模块与哈希破解工具），在部分环节几乎不需要逐条人工确认。
两个关键组件：ARXON（MCP桥）+ CHECKER2（并行扫描编排）。
攻击链条中出现一个自定义的Model Context Protocol（MCP）服务器ARXON，作为数据与模型之间的“桥”，并为每个目标维护持续增长的知识库。其自动化流程大致为：吸收被盗VPN / FortiGate配置→推导内网拓扑→调用DeepSeek 生成攻击规划→再将与具体脚本/动作绑定的任务交给 Claude 执行或生成。
另一个组件CHECKER2使用Go编写，并通过Docker部署，用于并行进行VPN 扫描与目标排队。日志显示有2,500+台FortiGate设备、覆盖100+个国家/地区被加入队列，准备进行自动化访问尝试。
材料还记录了一次针对工业气体公司的完整入侵链条：攻击者从分支机构一台FortiGate-40F设备的只读管理员权限起步，拉取完整配置备份，获得网络分段拓扑、SSL VPN设置、50个VPN用户信息，以及与AD相关的LDAP绑定细节。文中推测攻击者可能结合Fortinet的CVE-2019-6693（硬编码加密密钥问题）相关脚本解密存储凭据并进行验证，随后通过SSL VPN进入内网分段开展自动化探测与横向。在此过程中，日志出现了Impacket的ntlmrelayx.py等工具活动，并提到对QNAPNAS、Veeam备份服务器（SMB signing未启用）等资产的关注。
从“开源框架”到“自研套件”：自动化程度持续升级。
2025年12月的暴露记录显示，攻击者早期使用过HexStrike（开源MCP框架）让大模型操控渗透工具；到2026年2月，该操作者已用自研的ARXON与CHECKER2组件取代HexStrike，显示其从“半手动的AI辅助测试”转向一套面向FortiGate边缘设备的全自动化利用流水线。
多家安全厂商的威胁情报进一步将这套基础设施与一名讲俄语、以经济利益为目的的攻击者关联起来：该攻击者在2026年1月至2月中旬期间，至少在55个国家/地区攻陷了600+台FortiGate防火墙。其主要手法并非依赖零日漏洞，而是滥用暴露在公网的管理接口以及薄弱的单因素凭证。
对防御方而言，这一案例凸显了几项优先事项：尽可能通过关闭公网FortiGate 管理端口来降低攻击面；对所有VPN与管理访问强制启用MFA/强MFA；并及时修补被广泛利用的Fortinet漏洞（如CVE‑2019‑6693）以及更新的FortiOS相关问题。同时，应持续监控：是否出现未授权的VPN账号、来自陌生基础设施的异常SSH登录、以及边缘防火墙上“悄无声息”的策略变更。因为在AI驱动的工作流加持下，从初始入侵到横向移动、再到获取域控权限（Domain Admin/域控主导权）的时间窗口会被显著压缩。
原文链接：
Hackers Exploit DeepSeek and Claude AI to Launch Global Attacks on FortiGate Devices
OpenClaw 被大规模利用，3万实例沦陷：AI Agent 安全时代已至
导语：2026年初，一款名为 OpenClaw 的开源 AI Agent 框架在爆火 72 小时后，遭遇大规模系统性攻击。这不是普通漏洞事件，而是 AI Agent 生态首次被武器化。超过 30,000 个实例被攻陷——这标志着 Agent 安全时代正式来临。
事件概述
2026年初，OpenClaw 在技术社区迅速走红。然而，就在大规模部署后的 72 小时内，多支黑客组织开始针对性攻击。
安全研究机构披露：
- 超过 30,000 个实例被攻陷
- 用于窃取 API Key、劫持消息流量
- 通过 Telegram 等渠道分发信息窃取型恶意软件
这不是一次普通的漏洞利用事件，而是 AI Agent 生态首次遭遇大规模武器化攻击。
一、OpenClaw 为何成为高价值攻击目标
OpenClaw 由开发者 Peter Steinberger 创建，后加入 OpenAI。该框架定位为自主执行任务的 AI Agent，核心架构具备以下特征：
- ✅ 具备系统级访问权限
- ✅ 支持持久化记忆
- ✅ 可读取环境变量与凭证
- ✅ 可调用外部服务 API
- ✅ 支持社区技能市场
- ⚠️ 默认监听端口 18789
风险本质：一旦攻击者获得执行权限，不仅能窃取数据，还能利用 Agent 代替用户执行操作，形成持续性控制。
二、72小时内爆发的攻击链
1. 远程代码执行漏洞（CVE-2026-25253）
攻击者利用高危 RCE 漏洞实现任意命令执行，随后：
- 读取环境变量
- 提取 OpenAI、GitHub、AWS 等 API Key
- 建立持久后门
- 进行横向移动
⚠️ 若 OpenClaw 部署在 CI/CD 环境或开发服务器，影响范围将迅速扩大。
2. “ClawHavoc” 供应链攻击
1月29日，被命名为 “ClawHavoc” 的攻击活动被发现。
攻击者伪装成加密工具的 setup 脚本：
- macOS 上投放 Atomic Stealer
- Windows 上植入键盘记录器
大量用户在不知情的情况下执行恶意脚本，导致系统与凭证被全面接管。该攻击利用了开源社区的信任机制，通过伪装正常 GitHub 账号发布更新，绕过基本审查。
3. 技能市场投毒
OpenClaw 允许开发者上传”技能（Skills）”扩展功能，但平台缺乏代码审核与签名机制。
攻击者上传带后门的技能，一旦用户自动更新：
- 恶意代码立即执行
- OAuth Token 被实时窃取
- API Key 被回传至远程服务器
这是典型的自动化供应链污染模式。
4. 大规模公网暴露
2月中旬扫描显示：
- 超过 300,000 个 OpenClaw 实例运行在默认端口 18789
- 大量实例未启用认证机制
多处蜜罐记录显示：实例暴露后数分钟内即遭扫描与利用尝试——攻击已实现自动化批量利用。
三、为何这是 AI 安全的转折点
传统 Web 服务被攻破，通常带来数据泄露风险。
但 AI Agent 被攻破，风险升级为 “行为劫持”：
| 传统攻击 | AI Agent 攻击 |
| — | — |
| 窃取数据 | 操控 Agent 执行恶意操作 |
| 被动泄露 | 主动伪造合法请求 |
| 单点损失 | 自动滥用账户权限 |
| 可控范围 | 扩散至企业内部系统 |
当一个系统具备”代用户行动”的能力，其安全模型必须重构。
OpenClaw 事件说明：自主 AI 框架正在成为新的攻击面。
四、暴露的结构性问题
此次事件暴露出多个设计缺陷：
- ❌ 默认高权限运行
- ❌ 未限制系统调用
- ❌ 无技能签名机制
- ❌ 默认端口暴露公网
- ❌ 缺乏威胁建模
AI 框架在追求功能能力的同时，未建立完整的安全基线。这为攻击者提供了极低门槛的利用环境。
五、企业侧加固建议
对于正在测试或使用类似自主 Agent 框架的企业，应立即采取以下措施：
🔒 运行隔离
- 使用容器或沙箱运行
- 禁止 root 权限
- 限制系统调用
🔐 凭证管理
- 禁止明文环境变量
- 使用专用 Secrets 管理系统
- 启用短期 Token
🌐 网络控制
- 禁止默认端口公网暴露
- 增加反向代理认证
- 启用 IP 白名单
📦 插件管理
- 禁止自动更新
- 实施代码签名校验
- 建立技能白名单机制
📊 行为监控
- 监控异常 Shell 调用
- 审计外联流量
- 检测异常文件访问
结语：Agent 安全时代已经开始
OpenClaw 事件不是孤例，而是趋势。
当 AI Agent 具备系统访问能力与自动执行能力，其安全风险已经超越传统应用。攻击者正在将其纳入自动化攻击工具链。
未来，AI 框架若不采用 “安全优先设计”，将持续成为高危入口。
这场攻防战，已经进入新的阶段。
本文基于公开安全研究报告整理，仅供参考。
文章来源 ：安在
黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！
如侵权请私聊我们删文
END
精彩推荐
乘风破浪|华盟信安线下网络安全就业班招生中！
【Web精英班·开班】HW加油站，快来充电！
始于猎艳，终于诈骗！带你了解“约炮”APP
文章来源：数说安全
黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！
如侵权请私聊我们删文
END
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：黑白之道 《黑客用 DeepSeek、Claude 把攻击做成了“流水线”，全球批量攻击FortiGate设备；OpenClaw 被大规模利用，3万实例沦陷；》