AI 用 4 小时 07 分走完一次医院入侵|每日安全简报 1028

人被机器催着干活，防守这边还按周报的节奏走。

奇安信红雨滴团队披露一起针对医院 Web 服务器的入侵取证：10 月 16 日，Webshell 经任意文件上传漏洞落进站点图片目录，第二天走完整条链。团队判定有 AI 参与了执行层，具体模型与是否全程无人值守，仍需平台运行记录确认。

「这条最该被记住的不是『AI 会攻击』，而是它试错的成本已经低到可以按秒算 —— 方案 A 不行，两分钟就换方案 B。防守方还在等日志落盘、等值班的人上班，这就没法打了。干运维的兄弟们，今天先做两件事：一是把 IIS 的日志实时外送到另一台机器，别留在这台服务器上；二是给『生产目录里出现编译动作』单独设一条告警，这条规则能救你一次。把这条转给你们管 IIS 和 Web 站的同事。」

PoC 都公开了，你还在等下个维护窗口。

Linux 内核的 execve 路径曝出释放后重用漏洞，奇安信已复现并在 10 月 27 日发布预警。PoC、EXP 与技术细节都已公开，暂时没看到在野利用 —— 但这个洞能做的事，比一般提权多走一步。

「PoC 公开 + 提权到 root + 容器逃逸，这三样凑齐，接下来就等自动化工具把它打包了。多租户云主机、CI 构建机、跑不受信代码的沙箱，优先级最高 —— 这三类机器天生就允许陌生代码进来跑。麻烦的是它不能热补，得排重启窗口，所以别拖成『下个季度再说』：本周把清单拉出来，先升那些跑着别人代码的机器。做云平台和 DevOps 的朋友，这条转给你们群里，比转十条安全资讯有用。」

医院停机不是 IT 事故，是急救半径缩小。

新墨西哥大学健康科学中心 10 月 26 日上午检测到网络入侵，四十分钟后要求医护关掉电脑、拔掉网线，当天下午宣布分流救护车、取消所有门诊。受影响的是该州唯一的一级创伤中心。

「医疗行业的老问题一直没变：可用性就是生命安全。这次最值得学的不是攻击手法，是医院的反应速度 —— 四十分钟内决定断网，这个决心很多单位下不了。做医院信息化的同行，你们的应急预案里有没有写『断网状态下怎么挂号、怎么开单、怎么发药』？如果只有『恢复备份』四个字，那份预案等于没有。这条转给医院和医疗集团的 IT 负责人，让他们对着改一版。」

船东第一次能自己查一句话：我这条船上的这台设备，有没有已知问题。

10 月 27 日，Cydome、ClassNK、Bureau Veritas、MTS-ISAC 与 Rakuten Maritime 联合上线 Blue Initiative —— 一个面向船舶与港口系统的免费公开漏洞索引。

「航运供应链的透明度，往前走了一步。国内做船舶设备、港口自动化、造船配套的厂商，别觉得这条跟你没关系 —— 你的产品装上船，就要按船东的合规清单被问一遍『这台设备有没有未修的已知漏洞』。现在这类垂直库出来了，问的人会越来越多，答不上来就是丢单。做外贸和出口配套的老铁，提前把自己产品的 CVE 台账建起来。这条转给做船舶、港口、外贸的同行。」

合规不是抄一张清单，是把条款翻译成你车间里那台设备该怎么改。

OT-ISAC 10 月报告把亚太关基政策分成三类讲清楚：已生效的强制要求、已批准但未来生效的、以及草案与非强制指引。报告提醒运营方，别把「政策动向」直接当成合规义务。

「这波亚太新规，真正影响国内企业的方式不是『你去合规』，而是『客户在合同里加一条审计问卷』。做出口、有海外工厂、给跨国客户供货的制造企业，早半年准备比临时补材料便宜得多。而且注意那个细节：日本的标准并不管 PLC 具体怎么配 —— 这意味着『买个合规产品就完事』的思路走不通，它要的是你能拿出管理层签字的风险决策记录。这条转给你们做海外业务和供应链合规的同事。」

今天这五条，看着散，其实都在说同一个变化 —— 攻击的边际成本在往下掉，防守的固定成本在往上涨。AI 让一个人干完一个团队的活，PoC 公开让「会写代码」不再是门槛，可防守这边该盘的资产还得盘、该打的补丁还得打、该留的日志还得留。这时候比谁钱多没用，比谁的基本功扎实才有用。先把「看得见」和「补得上」这两件事做扎实：资产清得清、日志送得出，补丁排得进窗口、效果验证得了，做到八十分，比买一堆高级设备管用得多。