Fortinet修防火墙却坚决不说漏洞：AI时代的「盲打补丁」为何让企业防御陷入死局

厂商催你半夜把全公司的核心防火墙重启升级，但死活不肯说修了什么致命漏洞，这补丁你敢打吗？

这几天全球几万家企业的网络管理员，就卡在这么一个尴尬的局面里。

网络安全巨头 Fortinet 刚刚向全球客户推送了一批固件更新。 这次更新覆盖了大家最常用的 FortiOS 防火墙系统和 FortiManager 管理平台。 官方发文催得很急，要求客户把这批更新当成最高优先级的紧急事件，能升级的赶快升级。 但网管点开安全公告一看，当场愣住了。 没有漏洞编号，没有危害等级评分，也没有任何技术细节。 厂商的原话大概是：东西修好了，大家赶紧打补丁，至于到底修了什么，等 11 月 10 号我们再告诉你。

把致命漏洞的细节生生扣住 19 天，这唱的是哪一出？

Fortinet 的首席信息安全官 Carl Windsor 给出了一个听上去很有道理的解释。 这批漏洞不是外部黑客攻击泄露的，也没人向他们提交过报告。 这是 Fortinet 联合 OpenAI、Anthropic、Google 和 SpaceX，用前沿人工智能模型对自家代码全面体检时主动挖出来的。 AI 钻进了深层的代码逻辑和通信协议，把藏了多年的高危漏洞直接翻了出来。

提前找到漏洞本来是好事，但 Fortinet 很快意识到一个棘手的问题。 防守方能用前沿 AI 找漏洞，那攻击方拿它来干什么？ 答案是补丁比对。

在网络安全圈，软件只要一发布更新，黑客就会把新版和旧版放在一起比对。 看看哪些代码被改动了，进而逆向推导出原来的漏洞在哪里、该怎么发起攻击。 在过去，这全靠顶尖黑客手工逆向汇编代码。 把补丁彻底拆解并写成成熟的攻击脚本，少说也要两到四周。 所以企业通常有一个月的心理安全期，可以先在备用机上测试，选个周末再安排停机维护。

但有了大模型之后，这个时间差被彻底抹平了。 Fortinet 发现，只要把新旧两版固件的二进制代码丢给 AI，模型几分钟就能标出所有被修改的边界检查，分析出内存布局。 把一个公开补丁变成致命武器，现在只要几个小时到几天。 攻击者的武器化速度，快到了防守方根本反应不过来。

所以 Fortinet 决定反其道而行之。 他们的逻辑很简单： 如果一边发补丁，一边把漏洞细节写进公告，等于直接给黑客递了施工图纸。 黑客用 AI 半天就能做出攻击工具，而大量企业连维护申请都没批下来。 那不如先发补丁，把漏洞说明扣下 19 天，给防御方抢一个打补丁的时间窗口。

这个算盘听上去天衣无缝，但一落到现实里，立刻撞上了一堵高墙。

因为企业网络不是个人电脑，不能弹个窗口就点稍后重启。 在银行、医院、跨国企业或者政府机构里，核心防火墙是所有网络流量的总闸门。 要让防火墙停机升级，网络管理员必须向公司的变更管理委员会提交审批报告。 管理委员会看着申请，第一句话肯定问： 这次停机维护的风险到底有多大？漏洞评分是几分？ 网管只能回答：厂商没给编号，也没给分数，就说特别严重。 委员会接着问：那这个漏洞影响哪个端口？我们能不能先在外部临时关掉那个端口，别让全公司断网？ 网管还是只能回答：不知道，厂商 11 月 10 号才肯说。

结果可想而知。 没有任何技术依据和风险指标，没有哪个委员会敢在工作日批准核心网络停机。

更讽刺的还在后面。 厂商把英文说明书扣下了，但修复后的固件文件是公开下载的。 人类网管需要看懂文字报告去向领导汇报、去走审批流程； 但黑客手里的 AI，根本不需要读你写的那几行英文说明。 对大语言模型来说，编译好的机器码本身就是最好的文本。 从 Fortinet 把新固件传上服务器的那一刻起，黑客早就把新旧固件扔进模型开始自动比对了。

黑客根本不用等 11 月 10 号。 真正两眼一抹黑的，恰恰是守在系统前面的企业网管。 他们手里既没有技术细节去配置临时拦截规则，也没有具体数据去说服管理层批准重启，只能在黑暗里干着急。

AI 确实把逆向代码的时间从几周压缩到了几个小时。 但它改变不了现实世界里人类组织的运转惯性。 代码的比对可以在瞬间完成，可大机构的审批流程依然走得慢吞吞。 当技术的攻防速度被算法彻底拉满，厂商想靠扣住说明书来争取时间，最后被卡在中间动弹不得的，往往是那些守规矩的防守者。