Fortinet 稱 AI 協助找出嚴重漏洞，先修補後公布詳情

Fortinet 稱 AI 協助找出旗下產品的嚴重漏洞

網絡安全公司 Fortinet 10 月 21 日起為 FortiOS、FortiManager、FortiAnalyzer、FortiMail 及 FortiAuthenticator 五款產品推出安全更新，修補多個嚴重及高危漏洞，並促請客戶立即升級，優先處理連接互聯網的設備。FortiOS 是 FortiGate 防火牆及 VPN 閘道的作業系統，不少機構的網絡邊界都靠它把關。

Fortinet 資訊保安總監 Carl Windsor 10 月 21 日在公司網誌表示，這批修補包括公司「前沿 AI 輔助安全測試計劃」找出的漏洞，並感謝 Anthropic、OpenAI、Google 及 SpaceX 在過程中的合作。他指這些 AI 模型分析程式碼路徑、協定處理及設定邏輯的深度和速度，是傳統模糊測試及人手審查無法比擬的。

先修補，11 月 10 日才公布詳情

Fortinet 未有交代個別漏洞的內容，公開安全公告要待 11 月 10 日的 Patch Tuesday 才在其產品安全事故應變小組（PSIRT）頁面發布。Windsor 形容這做法是在「負責任的透明度」與客戶安全之間取得平衡。據資安新聞網站 Daily CyberSecurity 報道，Fortinet 未有報告這批漏洞已被利用，暫時亦未有 CVE 編號或公開的概念驗證攻擊程式。

Fortinet 同時承認，同類 AI 能力亦逐漸落入攻擊者手中，開放權重模型的進步令情況更明顯。網誌列出客戶須從速升級的原因：AI 工具可協助攻擊者在數小時或數日內逆向分析修補並寫出可用的攻擊程式；修補一旦公開，改動位置本身就會暴露弱點；AI 亦能把多個低危漏洞串連成嚴重攻擊。

FortiOS 的修補版本為 8.0.2、7.6.8、7.4.13 及 7.2.14。未能即時升級的客戶，Fortinet 建議把管理介面限制於受信任的 IP 位址，不讓 FortiManager 的管理介面暴露於互聯網，並為所有管理員帳戶啟用多重驗證。

研究員：其中一個是管理介面的路徑遍歷漏洞

英國資安研究員 Kevin Beaumont 在 Mastodon 指，FortiOS 8.0.2 修補的漏洞之中，有一個是管理介面的路徑遍歷漏洞。他批評 Fortinet 把不向客戶披露漏洞說成透明，形容這是保護公司多於保護客戶，又指 Fortinet 多年來慣常在修補推出後很久才發出 CVE，呼籲它「像其他廠商一樣」發出 CVE 編號。

來源

• Fortinet Releases Security Hardening Release for Multiple Products（Fortinet 網誌）
• Fortinet Urges Fast Upgrades as AI-Found Flaws Hit FortiOS, FortiManager and FortiAnalyzer（Daily CyberSecurity）
• Kevin Beaumont on FortiOS 8.0.2（Mastodon）