导语：
11 月 18 日，安全防线仍被 FortiOS 零日、Okta 会话泄露和 AI 深伪 BEC 持续冲击，英国 NCSC 发布《AI Phishing Response》更新，微软/Google/CrowdStrike 的自治紫队框架在金融和制造业快速落地。零信任的边界已扩展到“身份 + 会话 + 工具 + 算力”。
1. FortiOS 零日与会话风险
- APT 利用 LLM 自动生成混淆载荷，通过 ClientHello 触发堆溢出植入“RogueBeacon”，再用 AnyDesk/ScreenConnect 持久化。Fortinet 提供热补丁并建议启用客户端证书、IP 白名单、日志镜像、闲置账号清理。
- Okta 旧版 Support Portal Cookie 被恶意扩展窃取，攻击者可直接访问客户后台、重置 MFA。Okta 强制失效旧 Cookie，要求 FIDO2、浏览器完整性检测、扩展黑名单。
2. AI BEC/Phishing 新态势
- 攻击者在 Teams/Zoom/Meet 中实时扮演 CFO/供应商，语音、表情、背景噪声均由模型驱动；脚本自动翻译并适配本地法规语气。
- NCSC 建议为高价值会议启用回拨验证、声纹、会话水印，对财务流程实施延迟支付与双重审批。
3. 自治紫队框架落地
- Security Copilot + Chronicle + Charlotte 提供开放 API，自动运行 MITRE 场景、生成检测指标、推送补救任务，并把结果写入 CMDB/GRC/SIEM。
- 制造业用户将紫队结果与 OT 日志对齐，缩短 OT 侧检测时间。
4. 企业策略
- 身份/会话治理：启用硬件密钥、Token Binding、设备指纹，限制扩展读取敏感 Cookie；VPN/防火墙启用客户端证书与地理限制。
- AI 滥用检测：部署语音/视频水印、声纹、行为分析；定期开展 AI BEC 演练，强化延迟支付与二次确认。
- 紫队常态化：用 Copilot/Chronicle/Cortex 自动执行攻击脚本，统计 MTTD/MTTR，输出整改任务。
- 供应链责任：在合同中写入 SBOM、日志访问、补丁 SLA，满足 CRA/NIS2 要求。
行动清单
- 清理历史 Okta 会话，启用 FIDO2、浏览器完整性、扩展黑名单。
- 为 FortiOS/Citrix/Palo Alto 等边界设备部署补丁、客户端证书、IP 白名单。
- 建立自治紫队流水线，每周运行至少一个场景，并将结果写入 GRC。
- 针对财务/供应链开展 AI BEC 实战演练，完善延迟支付与回拨确认。
风险提示
- 扩展生态复杂：未集中管理浏览器策略，恶意扩展仍可窃取会话；需 MDM + 浏览器策略双控。
- AI 检测误判：水印/声纹可能影响正常会议，需要人工复核通道。
- 数据孤岛：紫队演练若未写入 CMDB/GRC，整改无法追踪；需要统一数据管道。
结语
算力加速了攻防，对策必须落在身份、会话、工具、算力的全链治理上。把 AI 滥用检测与紫队自动化纳入日常运营，是新一代零信任的核心。
