Claude Code如何加速勒索软件入侵，并意外让防火墙下线

其中最值得关注的是一次由AI辅助完成的LDAP回传攻击（LDAP pass-back）。Claude帮助攻击者将VPN身份验证重定向到由攻击者控制的基础设施，从而截获一个服务账户的明文密码。获得凭证后，攻击者进一步梳理内部系统，检查Active Directory环境，寻找域控制器、备份系统和正在运行的SQL数据库，以评估潜在的窃取价值。

意外后果：防火墙被“自己”关掉了

这起入侵还展示了为什么AI生成的配置变更不能绕过常规的变更管理流程。

当攻击者要求Claude修改FortiGate配置时，模型据称生成了恢复指令。问题在于，这些指令恢复的是整个虚拟域（VDOM）的配置，而不是攻击者原本想调整的部分设置，最终导致防火墙下线。

这一细节比“AI能够编写攻击代码”更值得警惕。相关操作在技术上看似合理，却没有被限定在足够小的范围内。模型可能正确理解了配置故障的大致原因，也能提出看似可行的修复方案，但仍可能选择影响范围远超预期的操作。

对防守方而言，教训非常直接：

• 网络设备变更应使用严格限定范围的权限；
• 高影响操作必须经过人工审批；
• 配置应有可靠备份；
• 回滚路径必须提前测试并确认可用。

模型层面的安全过滤，不能替代运行环境本身的权限控制和变更控制。

与墨西哥政府入侵案有何不同

这起勒索软件案件发生之前，Gambit还调查过一名使用Anthropic Claude Code和OpenAI GPT-4.1的攻击者。报告称，该攻击者在一场针对墨西哥政府机构的行动中，将这两种工具作为核心操作资源，目标涉及9个政府组织；其他基于该调查的报道则称，被窃取数据超过150GB。

另一份研究报道估计，Claude生成了该行动中约75%的远程命令。这并不意味着一个模型取代了整支安全或攻击团队。更准确的说法是，AI帮助单个攻击者快速产生命令、脚本、侦察逻辑和数据分析流程，使其更容易在多个目标之间推进攻击。

把这两起案件放在一起看，可以看到一个明显变化：AI正从“制定计划的助手”逐步嵌入入侵生命周期本身。模型能够弥补攻击者在编程、系统管理和网络侦察方面的技能缺口，但目前证据描述的仍是由人类主导的攻击过程，而不是模型自主设定目标。

低限制模型重要，但并非决定性因素

相关报道将勒索软件案件中的模型描述为Claude Sonnet 4.6，并有部分报道将其称为较旧、限制较少的版本。这可能降低了某些请求的操作阻力，但模型限制本身并不能决定攻击结果。

攻击者仍然需要暴露在互联网上的基础设施、可用的凭证、进入内部系统的权限，以及修改关键配置的能力。换句话说，模型的“护栏”即使提高了滥用难度，也无法弥补组织自身VPN、身份系统或管理接口存在的过度授权。

Anthropic关于Claude Mythos的公开材料则提到，监控和受限访问是其网络滥用缓解措施的一部分。这些措施可以增加攻击成本，但不能保护一个在VPN或身份系统被攻破后仍允许攻击者横向触达目录服务、备份和数据库的环境。

SEBI的cyber-suraksha.ai给出了什么建议

印度证券交易委员会（SEBI）已经成立cyber-suraksha.ai专项工作组，研究快速发展的AI工具带来的网络安全风险，其中包括能够识别漏洞的工具。相关建议强调，受监管机构应加强基础防御能力，而不能把防滥用责任完全交给模型提供商。

建议重点包括：

• 立即修补系统： 不要等到发生安全事件后，才修复暴露在外或已知存在漏洞的系统。
• 强化API和身份验证安全： 改进访问控制、密钥与机密信息管理，并保护可从外部访问的接口。
• 持续监控： 保持安全运营中心（SOC）对环境的可见性，及时发现并响应可疑活动。
• 完善变更管理： 对高影响配置变更进行核验，并保留恢复到已知良好状态的能力。

这些建议与Gambit案件暴露的问题高度对应：被攻破的VPN如果能够触达目录服务、备份和数据库，风险会被放大；AI生成的命令如果可以未经审批修改防火墙，风险会被进一步放大；而如果组织没有验证过回滚方案，一次恢复错误就可能造成更严重的业务中断。

更广泛的安全启示

Gambit的报告揭示的并不只是一个“模型安全问题”，更是一个控制问题。AI可以压缩侦察、编写脚本和应对技术障碍所需的时间。但当这种能力与生产基础设施相连时，真正决定损害范围的，是组织的权限设计、网络分段、监控能力和恢复体系。

因此，最经得起时间考验的防护措施依然是那些看似传统的控制：最小权限访问、多因素身份验证、对VPN与目录服务进行严格分段、受保护且不可篡改的备份、详细日志记录、网络设备变更审批，以及定期验证过的恢复流程。

AI可以同时加速攻击和防御，但真正有韧性的系统，必须依靠即使模型出错也仍然有效的控制措施。