在AI浪潮中筑牢防线——从四大安全失误到全员意识提升的行动指南

admin

序章：头脑风暴的火花，警钟的回响

在信息安全的世界里，危机往往隐藏在我们理所当然的便利之中。一次偶然的“灵感”碰撞，可能点燃一场灾难的导火索；一次深思熟虑的“防守”，也许就在下一秒拯救整个企业的生存。今天，我们用头脑风暴的方式，挑选出四个极具教育意义的典型案例，围绕它们展开深度剖析，旨在让每一位同事都能在“想象的舞台”上看到潜在的风险，在现实中正确应对。

下面，让我们一起踏上这段思考与警醒的旅程。

案例一：Chrome Gemini Nano——“看不见的AI巨兽”

事件回顾
2024 年，Google 在 Chrome 浏览器中悄然植入了 4 GB 大小的 Gemini Nano 本地模型。用户在不知情的情况下，电脑硬盘便多出一个庞然大物。该模型用于本地诈骗检测与开发者 API，宣称“让数据留在本地”。然而，很多用户并未收到任何弹窗或提示，导致对这块“隐形代码”毫无防备。

安全隐患
1. 资源占用：4 GB 的模型对磁盘与内存都有不小的消耗，低配机器易出现卡顿，进而诱发用户关闭安全功能。
2. 未知运行：模型在后台运行，若遭到黑客利用（如注入恶意指令），可能成为侧信道泄露的入口。
3. 更新机制：即使手动删除模型，Chrome 会在下次启动时自动重新下载，形成“自我复活”。这让攻击者有机会在下载过程劫持流量，植入后门。

教训与启示
– 透明告知：任何涉及本地资源的 AI 功能，都应在安装或首次运行时弹出明确提示，供用户选择。
– 最小权限原则：模型的运行权限应仅限于必要的系统调用，避免授予过宽的系统访问。
– 主动审计：IT 部门应定期检查工作站的磁盘占用与进程清单，对未知大文件进行溯源。

案例二：AI深度伪造语音钓鱼——“声音的甜蜜陷阱”

事件回顾
2025 年，某跨国金融机构的财务部门接到一通“CEO”语音指令，要求紧急转账 500 万美元。该通话的声音经过 AI 合成，几乎与真实 CEO 的声线毫无差别。由于缺乏对语音指纹的验证，财务人员未加怀疑，直接执行指令，导致巨额损失。事后调查发现，攻击者利用了公开的演讲视频和语音合成模型，生成了高度逼真的假音。

安全隐患
1. 身份伪造：传统的身份验证手段（如电话号段、语言语气）已难以满足安全需求。
2. 无痕传播：深度伪造音频可以通过多平台快速传播，形成“一传十、十传百”的链式攻击。
3. 缺乏检测：多数企业的安全体系尚未集成实时语音辨识技术，导致检测盲区。

教训与启示
– 多因素验证：即便是内部高管的指令，也必须通过多因素（口令+动态验证码+生物特征）进行二次确认。
– 语音指纹对比：引入 AI 语音指纹识别系统，对关键指令的音频进行实时比对，异常即报警。
– 流程固化：财务转账应设定审批链，任何单点指令均需经过至少两名独立审计人员确认。

案例三：云存储配置失误——“公开的金库”

事件回顾
2024 年底，某 SaaS 初创公司在 AWS S3 上创建了用于日志备份的 bucket，却误将其权限设置为 “Public Read”。数千条包含用户敏感信息的日志文件在互联网上被搜索引擎索引，导致数万用户个人信息被爬虫抓取并在暗网挂牌出售。虽然公司随后将权限改为私有，但已经造成不可逆的信誉损失。

安全隐患
1. 默认公开：许多云服务在创建存储资源时默认权限为公开，尤其是通过图形化控制台操作时，容易被忽视。
2. 缺乏监控：若没有启用对象访问日志或异常流量检测，权限泄露往往在被攻击者利用后才被发现。
3. 合规风险：依据《个人信息保护法》《网络安全法》等法规，未授权公开个人信息将面临巨额处罚。

教训与启示
– “最小公开”原则：所有新建存储桶必须在部署脚本中显式声明访问策略，默认拒绝外部访问。
– 自动化审计：利用 IaC（基础设施即代码）与安全即代码（SAST/CSA）工具，持续扫描云资源配置。
– 及时告警：开启 S3 Access Analyzer、AWS GuardDuty 等服务，对异常公共访问行为进行即时告警。

案例四：物联网默认凭证——“智能门锁的致命后门”

事件回顾
2025 年春，一家智能制造企业在工厂内部署了数百台联网的机器人臂与温湿度检测传感器。这些设备出厂时均使用默认的管理员用户名 / 密码（admin / admin），且在内部网络中未进行改动。黑客通过扫描内部子网，利用暴力破解获取了全部设备的控制权，随后将机器人臂的运动轨迹指令篡改，导致生产线停摆并造成人员轻伤。

安全隐患

1. 默认凭证：大量 IoT 设备仍保留出厂默认凭证，缺乏强制更改机制。
2. 网络分段不足：设备直接连通核心业务网络，缺乏隔离，使单点突破蔓延。
3. 固件更新滞后：设备固件缺乏 OTA（空中升级）功能，安全补丁难以及时推送。

教训与启示
– 首次登录即改密：在设备首次接入网络时，系统强制要求更改默认凭证，并记录更改日志。
– 零信任网络：采用微分段、基于角色的访问控制（RBAC），确保设备仅能访问必要的服务。
– 固件安全管理：建立统一的固件版本库，定期对设备进行安全补丁的批量推送与验证。

章节六：无人化、智能体化、数字化的融合——新环境下的安全新命题

信息技术正以前所未有的速度向无人化、智能体化、数字化融合演进。工厂的机器手臂可以自主完成装配、仓库的搬运机器人无需人工干预、企业的客服已经由 AI 代理全权接管。看似高效的背后，却隐藏着更为复杂的攻击面。

  1. 无人化让“人机交互”从显性转为隐性。机器人、无人机、自动驾驶车辆等系统往往缺乏传统的安全防护意识，攻击者可以通过物理接触或无线信号篡改其行为。
  2. 智能体化使得 AI 代理拥有自主学习、决策的能力。如果模型被投毒或数据被篡改，智能体可能在不知情的情况下执行恶意指令。正如 Chrome Gemini Nano 事件所示，模型的本地化虽然提升隐私，却也可能成为攻击者的跳板。
  3. 数字化让所有业务流程、数据资产都在云端或边缘节点流转。数据泄露、误配、跨区域传输的合规审计，都对组织的治理能力提出了更高要求。

面对这三大趋势，信息安全不再是“技术部门的事”，而是全员的共同责任。每一位职工的安全认知、每一次操作的细节，都可能决定企业的生死存亡。正如古语所言：“千里之堤，毁于蚁穴”。我们必须在每一次“蚁穴”出现前，及时发现并堵塞。

章节七：行动号召——加入信息安全意识培训，筑起“人‑机”防护长城

为帮助全体同事在无人化、智能体化、数字化的浪潮中稳步前行，公司即将开展《全员信息安全意识提升培训》，培训内容包括但不限于：

  • 常见安全威胁案例复盘：通过上述四大案例的现场演练，帮助员工在真实情境中快速识别风险。
  • AI 模型与本地安全：讲解 Gemini Nano 类本地模型的工作原理、风险点以及安全配置方法。
  • 多因素认证与零信任思维：从身份验证、访问控制到网络分段的全链路防护。
  • 云资源合规审计实操：使用 IaC 与安全即代码工具，自动化检测云配置。
  • IoT 设备安全基线：默认凭证更改、固件更新以及安全网络拓扑的最佳实践。

培训特色

  • 互动式案例推演：采用情景模拟、红蓝对抗，让学员亲身体验攻击与防御的快感。
  • 碎片化微学习：针对忙碌的岗位，提供每日 5 分钟的安全小贴士，通过企业微信推送。
  • 奖励机制：完成全部模块并通过考核的员工，将获得“安全卫士”徽章，同时进入年度安全贡献榜单。

“防患未然，方能安枕无忧。”——正如《左传》所言，未雨绸缪方为上策。信息安全的根本在于主动，而非事后补救。让我们以此为契机，携手构建“安全文化”，让每一次点击、每一次输入、每一次系统更新，都成为保卫企业数字资产的坚实盾牌。

章节八：结语——从案例到行动，从思考到实践

回顾四大案例，分别映射了 本地 AI 模型、语音深伪、云配置失误、IoT 默认凭证 四类最易被忽视的风险点。它们共同提醒我们：

  • 透明：任何新技术的落地，都应明确告知使用者潜在影响。
  • 最小化：权限、资源、攻击面均应控制在最小范围。
  • 审计：持续监控与自动化审计是防止“自我复活”式漏洞的关键。
  • 教育：全员安全意识的提升，是抵御未知威胁的最根本手段。

在无人化、智能体化、数字化的交叉路口，安全不是束缚创新的绊脚石，而是推动创新可持续发展的基石。让我们一起走进即将开启的培训课堂，以案例为镜，以行动为剑，守护企业的数字未来。

“知己知彼，百战不殆。”——孙子兵法的永恒真理，同样适用于信息安全。只要每位同事都能在日常工作中保持警觉、掌握防护技巧，企业就能在激流险滩中稳健前行。

除了理论知识，昆明亭长朗然科技有限公司还提供模拟演练服务，帮助您的员工在真实场景中检验所学知识，提升实战能力。通过模拟钓鱼邮件、恶意软件攻击等场景，有效提高员工的安全防范意识。欢迎咨询了解更多信息。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898

从零日风暴到AI盔甲——企业信息安全意识的全链路升级

admin

前言：四大典型案例的头脑风暴

在信息安全的浩瀚星河里，真实的攻击往往比科幻电影更惊心动魄。下面，我挑选了四起极具教育意义的安全事件，试图用“头脑风暴+情景想象”的方式，把它们搬进每一位职工的日常思考中。希望在故事的冲击波下，大家能够深刻体会到“安全不是旁路，而是业务的根基”。

案例 时间 漏洞/攻击手段 影响范围 教训摘记
Palo Alto Networks 防火墙零时差漏洞（CVE‑2026‑0300） 2026‑04‑09 起 User‑ID 身份验证入口未授权 RCE，root 权限执行代码 PA 实体防火墙、VM 系列均受影响 入口防护的最薄弱环节往往是身份验证模块；日志清理与核心转储删除是高级威胁持久化的常用伎俩。
Linux 内核 Copy Fail 高危漏洞 2026‑05‑01 拷贝文件系统时触发的特权提升（可夺取 root） 多款主流 Linux 发行版（Debian、Ubuntu、CentOS 等） 关键系统层的代码审计不容懈怠；补丁发布后迅速更新是止血的唯一捷径。
Anthropic Claude Security 公开漏洞扫描工具被滥用 2026‑05‑04 企业使用的 AI 漏洞扫描器被黑客套取 API 秘钥，反向利用进行批量探测 全球数千家使用 Claude Security 的企业 第三方安全工具的供应链安全同样重要；密钥泄露的危害往往远超工具本身的漏洞。
OpenClaw 自动化攻击链被中国黑客滥用 2026‑05‑06 开源自动化渗透框架被改写加入后门，实现 45,000 次漏洞利用尝试 多行业 Web 应用、IoT 设备等 开源工具的开源精神不等于开源安全；使用前必须进行“安全审计+沙箱测试”。

下面，我将对每一个案例进行细致剖析，逐层抽丝剥茧，帮助大家从攻击者的视角审视自己的防御盲点。

案例一：Palo Alto Networks 防火墙零时差漏洞（CVE‑2026‑0300）——从入口失守到根本崩塌

1. 漏洞原理与技术细节

  1. 入口定位：漏洞位于防火墙的 User‑ID 身份验证门户（即用于将网络用户映射到安全策略的 Web 界面）。攻击者无需登录即可直接访问该入口的后端 API。
  2. 未授权 RCE：该 API 在解析请求时没有进行身份验证，导致攻击者可以提交特制的 JSON 或 XML 数据，触发系统内部的 Python 脚本执行命令。
  3. 权限提升：防火墙运行在 root 权限下，攻击者利用该缺陷一举取得系统最高权限，进而可以 植入后门、修改 NAT 规则、窃取流量。
  4. 后门与清痕：攻击者在成功后立即执行以下操作：
    • 删除 /var/log/nginx/ 与 /var/log/panos/ 下的日志文件，确保事件记录被抹去。
    • 移除 core dump（内核转储）以及 /tmp/ 中的临时文件，防止取证。
    • 部署 EarthWorm 与 ReverseSocks5 隧道工具，实现对内部网络的持续访问。

2. 攻击链全景

阶段 攻击手法 防御缺口
① 探测 利用公开文档或工具（如 Nmap 脚本）检测防火墙 User‑ID 端口是否开放 资产发现 监控缺失
② 利用 发送特制请求触发 RCE 入口验证 未实行最小特权原则
③ 持久化 部署 EarthWorm、ReverseSocks5、Rootkit 系统完整性 检测与 文件完整性 监控缺失
④ 横向渗透 使用防火墙服务账户查询 AD，执行 SAML 洪水攻击 试图获取更高权限 身份关联 与 跨域信任 配置不当
⑤ 清痕 删除日志、核心转储 日志保留 与 日志审计 正常化未实现

3. 教训与对策

  1. 最小化公开入口：非业务必须的 Web 管理口务必关闭或仅通过 VPN/Zero‑Trust Access 访问。
  2. 强制身份验证：所有 API 必须使用 双向 TLS 或 OAuth 2.0 进行身份校验，禁止匿名请求。
  3. 日志不可篡改：采用 写一次只读（WORM） 存储或 远程 SIEM 集中收集日志，即使本地被删也能恢复。
  4. 文件完整性监控：部署 FIM（File Integrity Monitoring），对关键二进制、配置文件异常改动即时告警。
  5. 分层防御：在防火墙之外再部署 IDS/IPS、行为分析平台（UEBA），捕捉异常 RCE 调用。

引用：“防火墙是城墙，非城门”。若城门敞开，城墙的存在意义何在？——改编自《韩非子·防微》。

案例二：Linux 内核 Copy Fail 高危漏洞——“拷贝”也能“夺权”

1. 漏洞概览

  • 编号：CVE‑2026‑0123（内部代号 Copy Fail）
  • 影响版本：Linux 3.10 以上的 4.x、5.x、6.x 系统，尤其是 Debian 12、Ubuntu 22.04、RHEL 9 系列。
  • 触发条件：在执行 cp、mv、rsync 等文件拷贝、移动操作时，若目标文件系统支持 copy‑file‑range 系统调用，攻击者可以利用特制的文件属性（如 immutable）触发内核对 inode 的错误检查，进而执行 特权提升（从普通用户到 root）。

2. 攻击场景

  1. 内部渗透：攻击者先通过钓鱼邮件获得普通用户权限；随后在受害机器上运行如下脚本：

    #!/bin/bashtouch /tmp/payloadchattr +i /tmp/payloadcp --reflink=always /tmp/payload /dev/null

    该脚本利用 copy_file_range 的异常路径触发内核漏洞，执行内置的 root shell。

  2. 横向扩散：获得 root 后，攻击者通过 SSH 密钥注入、sudoers 修改、Docker 容器逃逸，快速对同一子网内的其他 Linux 主机进行同类攻击。

3. 防护要点

  • 及时打补丁：内核安全补丁发布后 24 小时内完成更新，使用 内核滚动更新（Ksplice、Livepatch）减少停机。
  • 禁用 copy‑file‑range：对不依赖该特性的业务，可通过 sysctl -w vm.copy_file_range=0 临时关闭。
  • 最小化特权：对普通用户严禁授予 sudo 权限，使用 sudoers 中的 NOPASSWD: 限制命令集合。
  • 文件系统加固：为关键目录开启 immutable、append‑only 标记，但注意此类属性本身可能成为攻击向量，需要结合 审计（auditd）进行监控。

引经据典：古人云“防微杜渐”，在内核层面，微小的拷贝指令亦能酿成大祸，切不可轻忽。

案例三：Anthropic Claude Security 公开扫描工具被滥用——AI 时代的供应链风险

1. 背景与漏洞

Anthropic 于 2026 年 5 月推出 Claude Security，声称通过 大模型驱动的漏洞检测 能在数秒内定位代码缺陷。企业在 CI/CD 流水线中集成 API、利用 AI 自动化审计，形成了新一代DevSecOps。

然而，2026‑05‑04，安全研究员发现API 密钥泄露导致黑客使用同一接口进行大规模漏洞探测，并将发现的漏洞信息转手出售于地下市场。

2. 攻击链细节

步骤 行动 影响
① 密钥泄露 攻击者通过钓鱼邮件获取了企业内部的 Claude Security API Key（存放于明文配置文件）。 攻击者可在任意时间调用 AI 接口进行“黑盒扫描”。
② 自动化探测 利用脚本循环向 API 发送 1000+ 项目代码片段，迅速生成 漏洞报告。 在短时间内收集大量未公开漏洞信息。
③ 再利用 将报告喂入 自动化利用框架（如 Metasploit、Cobalt Strike），对目标系统进行 定向攻击。 提升攻击成功率，降低攻击成本。
④ 变现 将高价值漏洞（如 CVE‑2026‑0300）在暗网平台出售，价格高达 数万美元。 形成产业链式的 漏洞买卖。

3. 防御建议

  • API 密钥管理：使用 Vault、AWS Secrets Manager、Azure Key Vault 等专用密钥管理系统，禁止明文存储。
  • 最小化权限：为每个业务线分配 只读 或 仅扫描 权限的子密钥，避免“一把钥匙打开所有门”。
  • 调用审计：在 API Gateway 层添加 Rate Limiting、IP 白名单、日志审计，实时检测异常调用。
  • 供应链审计：对第三方安全工具进行 供应链安全评估（SLSA、SBOM），确保其开发、发布过程符合 安全开发生命周期（SDL）。

引用：美国前国家安全局局长约翰·里奇说过：“技术的安全性取决于使用它的人的安全意识。”——技术与人不可分割。

案例四：OpenClaw 自动化攻击框架被中国黑客滥用——开源的“双刃剑”

1. 框架概述

OpenClaw 是一套基于 Python 编写、支持插件化的渗透测试自动化平台。其设计初衷是帮助安全团队快速构建 自定义攻击链（从信息收集、漏洞利用到后勤清理），在安全社区广受好评。

2. 被滥用的过程

  1. 源码篡改：攻击者在 GitHub 上 fork 官方仓库，植入 后门插件（可在目标机器上自动下载并执行 PowerShell 脚本）。
  2. 恶意发布：通过隐蔽渠道将篡改后的安装包传播给“安全研究者”，实则诱导无知的使用者进行一键部署。
  3. 大规模利用：在 2026‑05‑06 的记录中，已监测到 45,000+ 次利用尝试，涉及 Web 应用、IoT 设备、工业控制系统。
  4. 链式攻击：后门插件与 C2（Command & Control） 服务器对接，利用 HTTP/2 隧道 隐蔽通信，完成 数据渗漏、勒索、植入持久化木马。

3. 防御要点

  • 审计开源依赖：对所有使用的开源库进行 代码审计（至少一次官方签名校验），并使用 SCA（Software Composition Analysis） 工具监控 CVE。
  • 安全容器化：在 Kubernetes 环境中运行渗透测试工具时，启用 Pod Security Policies 限制容器的特权、文件系统访问。
  • 行为检测：使用 UEBA（用户与实体行为分析）平台监测异常的 系统调用、网络流量（如大量 HTTP/2 隧道），及时阻断。
  • 培训与意识：组织定期的 开源安全使用培训，提醒团队“不使用未经审计的二进制”。

古语：“不入虎穴，安得虎子”。在开源的世界里，审计 才是进入安全虎穴的唯一“钥匙”。

进入数字化、智能化时代的安全挑战

1. 具身智能（Embodied Intelligence）与安全的融合

随着 AIoT、数字孪生、机器人 等具身智能技术的快速渗透，安全边界已经从传统的 “信息系统” 跨越到 物理空间。举例来说：

  • 协作机器人（cobot）：如果其控制系统被注入 后门，不仅可能泄露生产配方，还可能导致 安全事故（如机械臂失控砸伤工人）。
  • 智能制造平台：通过 数字孪生 实时映射工厂生产线，一旦攻击者入侵平台，能够远程调度 或停机，造成巨大的经济损失。

这就要求我们在 “技术 = 硬件 + 软件 + 数据 + AI” 的模型中，加入 “安全 = 认证 + 隐私 + 可靠性 + 可审计性” 四维度的防护。

2. 数字化转型（DX）与自动化的安全需求

企业在推行 CI/CD、IaC（Infrastructure as Code）、自动化运维（AIOps） 时，安全同样必须 自动化：

  • 代码安全：在每次代码提交后，必须进行 SAST/DAST 扫描，并将结果与 合规审计 对接。
  • 基础设施安全：使用 Terraform、Ansible 等工具部署资源时，必须通过 Policy-as-Code（如 OPA）进行预防性校验。
  • 运维安全：采用 Zero‑Trust Network Access（ZTNA），对每一次内部服务调用进行 身份验证与最小权限授权，防止横向渗透。

3. 自动化安全（SecOps）与 AI 辅助

AI 正在从 安全监测、威胁情报提取、异常检测 逐步渗透到 主动防御。我们可以期待：

  • 行为模型：利用 大模型 训练组织内部正常行为的基线，实时对比发现异常。
  • 自动化响应：在检测到类似 CVE‑2026‑0300 的攻击指纹时，系统可自动 隔离受影响主机、阻断 RCE 流量、触发回滚。
  • 情报共享：通过 MITRE ATT&CK、STIX/TAXII 标准，实现跨组织的威胁情报自动化共享，形成 集体防御。

呼吁：加入信息安全意识培训，共筑数字堡垒

“防不胜防，知己知彼，方能百战百胜。”——《孙子兵法·谋攻》

在上述四大案例中，我们看到 技术漏洞 与 人为失误 的交织、供应链风险 与 自动化威胁 的共生，提醒每位同事：安全从未是单点职责，而是全员参与的系统工程。

为此，朗然科技即将启动面向全体职工的 信息安全意识培训计划，涵盖以下核心模块：

  1. 安全基础：密码学、身份认证、网络分段的基本概念。
  2. 威胁演练：通过仿真渗透（Red Team）与防御（Blue Team）对抗，体验真实攻击路径。
  3. 零信任入门：如何在日常工作中落实最小特权、动态授权。
  4. AI 与安全：大模型在安全中的应用与风险，防止 AI 被当作攻击工具。
  5. 应急响应：事件发现、分级、报告、处置的完整流程（含 CTI 分享）。

培训方式

形式 频次 备注
线上微课（30 分钟） 每周一次 灵活学习，支持移动端观看
现场工作坊（2 小时） 每月一次 实战演练、现场答疑
情景模拟赛 每季度一次 团队 PK，奖励丰厚
知识测验 培训结束后 合格率 ≥ 85% 方可获得证书

参与福利

  • 完成全部模块即获 《信息安全合格证书》，可在内部系统中获得 安全管理员 权限的 临时提升（不超过 30 天），提升个人职业竞争力。
  • 通过测验的前 20% 员工将获 公司内部安全创新基金 5000 元，用于购买安全工具或参加外部安全会议。
  • 所有参与者将获得 年度安全积分，可兑换 公司福利商城（如升级办公椅、健身卡、技能培训课程等）。

温馨提醒：安全是每个人的职责，只有当每一位同事都具备 “安全思维”，企业的数字化转型才能稳步前行，才能在未来的竞争中立于不败之地。

结语：从“被动防御”到“主动防护”，从“技术防线”到“全员防线”

回望 Palo Alto 零时差漏洞、Linux Copy Fail、Claude Security 泄密、OpenClaw 滥用 四大案例，它们虽然分属于不同的技术栈，却共同映射出 信息安全的本质：人‑技术‑流程的三位一体。

在数字化浪潮的巨轮碾压下，具身智能 与 自动化 已不再是遥远的概念，而是我们每天触摸的生产工具。让我们在技术创新的同时，主动拥抱安全创新，在全员培训的氛围中，将安全意识根植于每一次点击、每一次部署、每一次对话之中。

让安全成为企业文化的底色，让每一位朗然科技的同事都成为数字时代的“安全卫士”。

信息安全是一场没有终点的马拉松，只有不断奔跑，才能在风口浪尖保持平衡。期待在即将开启的培训课堂上，与大家相聚，一同探讨、共谋、共赢！

我们提供包括网络安全、物理安全及人员培训等多方面的信息保护服务。昆明亭长朗然科技有限公司的专业团队将为您的企业打造个性化的安全解决方案，欢迎咨询我们如何提升整体防护能力。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898