研究人员介绍Anthropic的Mythos如何协助构建完整利用链时，Rejetto已经修复了HTTP File Server的关键漏洞：3.2.1版于2026年7月13日发布，Horizon3在9月30日公开技术分析，VulnCheck则在10月1日观察到利用尝试。真正值得关注的并非一天没有补丁的空窗，而是补丁已存在两个多月，部分对外服务似乎仍未获得保护。
CVE-2026-61500影响HFS 3.0.0至3.2.0。Horizon3表示，AI辅助研究把可预测随机数、登录流程暴露的数值和签名会话Cookie连接成通向管理员代码执行的路径。这显示了一种重要研究能力，却不能证明普遍的全自主入侵能力，也不是对全球感染规模的测量。
签名密钥为什么能够被恢复
HFS通过Web服务器分享文件。3.x是基于TypeScript重写、运行于Node.js并使用Koa的分支；早期2.x采用Delphi。在受影响版本中，HFS用JavaScript的Math.random()生成默认Cookie签名密钥。它是通用伪随机数发生器，不是密码学安全随机源。
签名Cookie只有在密钥保持秘密且不可预测时，才能保障完整性。HFS还在无需认证的登录流程中暴露同一个发生器输出的全精度数值。这些数值与启动时生成密钥所用的输出并不独立：伪随机发生器从内部状态出发，沿确定性序列运行。
Horizon3称，专门负责密码分析的代理识别出启动密钥使用了三次随机数取样，并把外露数值关联到V8的xorshift128+实现。一旦获得足够的关联观测，其可逆状态就能被向后推算。可逆性并不意味着所有应用都可被利用；HFS同时提供了可观测输出，以及这些输出与秘密之间的联系。
所演示的案例使用12次观测和微软的可满足性模理论求解器Z3，恢复符合约束的内部状态。已有Cookie及其消息认证码让候选密钥能够离线核验。这是数学状态重建，不是反复在线猜密码；Cookie经过签名却没有加密，客户端可以读取自己的会话数据。
恢复密钥后，攻击者可以制作声明管理员身份、同时具有有效签名的Cookie。报道中的利用链会检查内置管理员账户是否存在。HFS接受管理员会话后，其原本合法的自定义服务器端JavaScript功能便成为任意命令执行的入口。这是通过伪造身份取得特权功能，不只是利用格式错误的输入攻击解析器。
修复同时改变了这一关联的两端：签名密钥使用密码学安全随机字节，外露登录标识符使用随机UUID。显式配置高强度签名密钥可以缓解链条的一部分，但不能代替安装3.2.1或更新的稳定版本。
AI究竟完成了什么
扫描器早就能够标记认证代码附近的Math.random()。难点在于把这条警告与可观察输出、确切会话格式、恢复的密钥及有实际影响的特权操作联系起来。每一步都会增加不确定性和专业工作量，令部分调查在经济上不值得继续。
Horizon3表示，Mythos跨文件、框架行为和发生器数学性质连接了这些环节，并产出可在主机上执行命令的有效概念验证。人类研究人员在披露前审查并复现了结果。完整利用比无法解释的崩溃或可疑代码行更能明确处置优先级。
这是Project Glasswing中的一个案例，使用自定义运行框架，让专门代理并行研究。人类选择目标、组织调查、验证结果并协调报告。它不是普通消费级聊天机器人在无人协助下瞬间攻破任意代码仓库。
Anthropic的能力报告也把完整利用作为影响证据。潜在变化在于经济性：过去需要昂贵密码学专长的调查，可能变得值得开展。各个技术成分并不陌生，真正有用的是把它们组合成经过验证的链条。
公开案例没有提供衡量总体生产率所需的分母：总计算量、失败运行、误报和被弃置的发现仍然不明。一次出色成功不能证明系统发现关键漏洞有多稳定，也无法说明其成本是否适合更大规模的研究项目。
披露之后有尝试，并不等于已有感染统计
7月13日的补丁比9月30日的技术说明早了两个多月。因此，VulnCheck在10月1日的观测针对的是已有修复方案的系统，并非管理员面对一个刚披露且无补救办法的新漏洞。
报道说，最初流量利用位于中国的托管基础设施攻击美国系统；后来有两个同属一个子网的美国地址发出请求，看起来是代理，并且还观察到日本目标。基础设施的地理位置不能识别实际操作者，也不能证明政府支持。
这些检测说明有人尝试利用，并不说明多少目标接受了伪造管理员会话或执行了命令。它们不足以推算全球失陷数量，也不能证明大规模持续活动。后续载荷和已确认受害者证据会显著改变判断。
大约一天的间隔也不证明攻击者使用了AI，或在一夜间独立解决了全部数学步骤。他们可能改用了披露材料、提前研究，或利用其他信息。扫描器、补丁差异分析、利用框架和人工逆向早已能够支持快速复用。
Anthropic的协调披露政策通常包括通知维护者、人类审查和90天披露周期，并通常等待补丁发布45天后才公开完整技术细节。本案从补丁到分析的时间更长。缓冲期能够提供更新机会，却不能保证管理员已找齐所有受影响服务。
处置计时应止于实际部署得到验证
轻量文件服务器容易脱离常规资产和负责人管理：临时传输服务一直未撤销，旧容器镜像被固定使用，或者遗忘的端口转发使主机持续暴露。用户数量少，不会让无需认证的代码执行失去作为入侵入口的价值。
有意义的指标，是从修复可用到所有对外暴露的脆弱实例都已更新、隔离或移除的时间，而不是补丁工单被分派的日期。资产清单、容器仓库、终端安装、云工作负载和外部可达服务都需覆盖。核验必须确定实际响应请求的是哪个二进制文件或镜像。
版本区分同样重要。2024年进入CISA已知被利用漏洞目录的CVE-2024-23692，影响的是不同的2.x代码库。它不是本次密码学利用链，也不能说明每个HFS安装都已失陷。
对仅供有限用户使用的部署，VPN、白名单或认证网关可以减少不必要暴露，但不能代替升级。可信终端可能被攻破，配置可能变化，原本假定存在的边界也可能失效。
应检查9月30日前后及之后的日志，关注重复认证活动、异常管理员会话、配置变更和陌生服务器端代码。这些是调查线索，不是普适且确定的攻击指标。若主机已确认失陷，仅升级无法清除账户、计划任务、启动脚本或其他服务中的持久化机制；隔离、保全证据、轮换凭据、评估相连资源，以及在无法确认完整性时重建，仍是相关响应措施。
发现能力必须接上修复执行
对开发者而言，教训不止一个函数调用。通用伪随机数发生器不应生成认证秘密、重置令牌、密码学随机数或安全敏感的会话标识。审查需要追踪共享状态及泄露的关联输出：签名中间件无法把可预测的输入密钥变安全。
AI可以协助追踪跨文件关系，测试理论弱点能否触及真实特权。人类验证仍须检查受影响版本、环境假设，以及测试框架中的演示是否适用于实际部署。
三个后续发展能说明更广泛影响：观测是否从探测升级为带有入侵后载荷的持续攻击；对外暴露的受影响版本是否消失；以及后续Glasswing报告能否持续做到可复现、影响重大且维护者可承受，而不是形成低价值报告洪流。
HFS案例支持一个较窄却重要的结论：AI辅助研究系统帮助专业人员证明了一条不常见的端到端利用链。它最终能产生多少防御价值，仍取决于维护者消化发现，以及管理员把可用修复变成经过验证的保护。
来源
Horizon3技术分析 · HFS 3.2.1版本说明 · Mythos能力报告 · 已观察攻击流量 · Anthropic披露政策 · 较早的HFS漏洞 · 原始新闻记录