> ## Content Index > Fetch the complete content index at: https://www.hubwiz.com/blog/llms.txt > Use this file to discover other available public pages before exploring further. # AI 挖出 4 个工控漏洞：9.8 分那个可远程执行代码 - URL: https://www.hubwiz.com/blog/ai-agent-found-four-epics-vulnerabilities/ - Published: 2026-10-31T12:41:15.000Z - Updated: 2026-10-31T12:41:41.000Z - Description: 3 小时 49 分，4 个未知漏洞，全程只有一条指令。EPICS 之后，OT 的"靠隐蔽性防守"结束了。 - Author: admin - Tags: OT 安全, AI Agent, 工控漏洞, EPICS 一个自主 AI agent 用了 **3 小时 49 分**，在一个几十年历史、被广泛使用的开源工控软件里找到 **4 个此前未知的漏洞**，其中一个是 **CVSS 9.8** 的严重漏洞，可导致堆上越界写、进而可能远程执行代码。 这次被挖的是 **EPICS**（Experimental Physics and Industrial Control System），由洛斯阿拉莫斯与阿贡国家实验室最初开发，用来搭分布式 SCADA 系统、把操作员接到物理设备上。它被全球约 **90 个**大型科研、高校与工业项目使用，包括阿贡的先进光子源（APS）与 **ITER 聚变堆的控制系统**。 修复版本是 **EPICS Base 7.0.11**。CISA 已在**周二发布通告**，提醒组织尽快升级。 ## 一、四个漏洞：一个 9.8，一个 8.2 按 The Register 的报道，四个漏洞全部影响 EPICS Base： | 漏洞 | 评级 | 后果 | | --------------- | --------------- | --------------------------- | | CVE-2026-114595 | **CVSS 9.8 严重** | 整数溢出，导致攻击者可控的堆上越界写，可能远程执行代码 | | CVE-2026-114596 | **CVSS 8.2 高危** | 消息长度校验不当，导致越界内存写、控制流受影响 | | 另外两个 | 高危 | 同属内存安全问题（细节以 CISA 通告为准） | CISA 通告的措辞是标准的那一套，但每一条都很重："成功利用这些漏洞可使攻击者造成拒绝服务、破坏内存、泄露敏感信息，或可能执行任意代码。" ## 二、谁找的：一个"不用人插手"的 agent 发现者是一个叫 **Cipher** 的自主 agent，来自 Causal Security。公司联合创始人 Shubham Raj 对 The Register 的说法是： > 初始调查完全不需要人工介入；之后下达了一条指令，授权在一个安全环境里做更深入的**可利用性测试**。 也就是说，人类在整件事里只做了一个决定——"可以往下验证"。发现可疑点、判断是否可利用、写出验证，都是 agent 自己做的。 Raj 对 Cipher 的定位是"一个能跨技术栈推理的完全自主的超级黑客"。这个说法是厂商自述，读者可以打折听；但有两点是可核实的：**它之前找到的东西**，以及**这次找到的漏洞编号与修复版本已经进入公开流程**。 ## 三、为什么这件事比"又发现几个洞"更值得注意 **第一，前置条件低得吓人。** 真实设施里的利用前提只有一条：能到达控制网上的 EPICS 服务。这在网段划分不充分、或别的系统能碰到 EPICS 网络时就会发生。Raj 说得很直白——只要找到一个配置错误或可达的网络，攻击执行起来"相当容易"。 **第二，攻击者不需要懂物理。** 这是全篇最关键的一句： > 攻击者不需要理解粒子加速器的物理，也能破坏控制它的软件。让关键进程崩掉、或者中断监控与控制，本身就已经是很严重的运行后果。正在改变的是：发现这些弱点，不再需要多年专门知识。 他甚至给了场景：一台加速器正在做昂贵实验，攻击者让控制器崩溃、打断关键测量，实验就得中止——损失是实验进度、停机时间和恢复成本。如果能写出 RCE，还能操纵读数、干扰控制功能、破坏相连设备。 **第三，这不是孤立事件。** 同一家公司的 Cipher 今年早些时候在北美与欧洲的**电网系统**里找到多条关键攻击路径，直接促成了 **10 月 8 日**的 CISA 通告。两个月内，从电网到科研装置，路径一致：**AI 在降低"发现 OT 弱点"的成本。** 报道的落脚点是所有 OT 从业者都听过的那句话的反面：这些系统过去可以靠**隐蔽性（obscurity）**防守——没人知道你的协议、你的固件、你的奇怪实现。当发现成本从"一个专家几周"降到"一个 agent 几小时"，隐蔽性就不再是防线。 ## 四、防守侧：NIST 刚发的十条 有意思的是时间线。10 月 30 日，也就是 EPICS 通告之后两天，NIST 发布了一份关于 **AI agent 身份与访问管理（IAM）** 的博文，提出十条设计原则。作者是 Harold Booth、Bill Fisher、Ryan Galluzzo、Tom Clancy，成果会用于 NIST 国家网络安全卓越中心（NCCoE）的相关示范。 十条大意如下： | # | 原则 | 解决什么 | | -- | ----------------------------------------------------------------------------- | ------------------------------------------------- | | 1 | agent 有唯一、**可加密验证**的身份，与人类账号、服务账号可区分，理想情况绑定具体 workload、环境与已批准配置；IAM 生命周期与人类分离 | 防止 agent 冒充用户/服务账号；让自主行为能回溯到具体软件组件 | | 2 | agent 与任务发起者在执行全程**加密关联**（链式信任）；权力下放给子 agent 时**权限必须衰减**，下游不能比上游权限更大 | 委托、审计、不可否认 | | 3 | **零常驻权限**：空闲时没有任何权限；最小权限 + 职责分离 | 防止被劫持后直接触达敏感数据 | | 4 | 授权必须**即时、限时、限定受众**；每次工具调用/API 调用/资源访问都做运行时验证；**不要长期 bearer token 与静态密钥** | 被窃取的长期凭证等于永久后门；被劫持的 agent 要能被中途掐断 | | 5 | **人类监督**：组织要定义触发人工复核的风险阈值，升级时要给复核者足够信息；还要考虑**"同意疲劳"**（升级太频繁，人就开始凭习惯点同意） | 失灵、幻觉或被操纵的 agent 可能造成不可逆后果 | | 6 | 任务发起者可签发**加密签名的 mandate**，写明预期结果与约束；下游验签后用于授权、审计与不可否认 | 让"我让它做什么"这件事本身可验证 | | 7 | **架构上分离**"决定 agent 想做什么"与"控制它被允许访问什么" | LLM 把数据与指令混在同一条 token 流里，光靠护栏挡不住 prompt injection | | 8 | **确定性**的访问决策为主，概率性信息只能辅助 | 降低注入与提权的影响面 | | 9 | 持续监控：agent 专用指标、阈值与策略；对风险姿态与环境变化要响应 | 长跑 agent、跨多工具的 agent 风险更高 | | 10 | 独立于 agent 的、**防篡改且仅追加**的证据链，记录身份、委托意图与动作 | 被攻陷的 agent 可能删改自己的日志 | NIST 还专门举了"confused deputy"（混淆代理）的例子：用 prompt injection 骗一个权限很宽的 agent 去做它本来不该做的事。他们的结论是——**单条原则挡不住，必须多条一起上**：第 2 条（委托与链接）负责让它可追溯，第 3 条（最小权限）限制影响范围，第 7 条（架构分离）减少注入入口，第 8 条（确定性决策）严格强制范围。 同时他们也承认现实：现有标准与技术**未必能支撑所有部署形态下的全部十条**。 ## 五、编者补充：把两件事连起来看 把 EPICS 与 NIST 这两件事放在同一周，能得出一个不太好听但很有用的判断：**进攻侧的"发现成本"在下降，防御侧的"授权成本"还没跟上。** 具体到三条能立刻做的动作： **第一，先算"可达性"，再谈"漏洞"。** EPICS 那四个洞的前提是"能到达控制网"。这意味着你能做的最有效的一件事不是打补丁（虽然必须打），而是把"谁能到达什么"重新画一遍：科研装置、产线、公用工程网络里，有哪些服务其实不需要被那么多人访问？站内[AI 生成 PLC 攻击与 OT 防御](https://www.hubwiz.com/blog/ai-generated-plc-attacks-aa26-231a-ot-defense/)里有同一件事的另一种证据——暴露在公网上的 102 端口数量。 **第二，假设"agent 会被说服"。** 这是 NIST 第 7、8 条的实质：不要把安全寄托在"模型不会被骗"上，而要把"想做什么"和"被允许做什么"放在两个系统里。如果你的 agent 能读一段工单文本，就能触发一次写操作，那它就是一个 confused deputy 的候选。 **第三，日志要放在 agent 删不到的地方。** 第 10 条听起来最不起眼，实际最难做到——大多数自建 agent 把日志写在同一个容器里，agent 有写权限就有删权限。站内[Agent 审计日志：把"谁做的"变成可证物](https://www.hubwiz.com/blog/agent-audit-logs-witness-suspect/)整篇都在讲这件事。 对工业现场读者再加一条边界：**发现漏洞不等于能造成物理后果**。Raj 自己也说，操纵具体物理过程需要额外知识；不需要的是"找到并触发"这一步。这正是防御方要分层的原因——把"能触发"和"能造成后果"之间的距离拉大（分区、单向网关、联锁、人工确认）。 **边界**：本文编译 The Register 的报道与 NIST 官方博文的转述，未做独立验证；CVE 编号、评级、修复版本以 CISA 通告与 EPICS 官方为准。"Cipher 的能力"属于厂商陈述，文中已标注。涉及生产控制系统的补丁与变更，请在维护窗口内按内部规程执行，不要在现场运行状态下直接升级控制软件。 **来源**： - 《AI 'hacker' finds 4 severe bugs in popular industrial control software in under 4 hours》, The Register，2026-10-27：[https://www.theregister.com/security/2026/10/27/ai-hacker-finds-4-severe-bugs-in-popular-industrial-control-software-in-under-4-hours/5305811](https://www.theregister.com/security/2026/10/27/ai-hacker-finds-4-severe-bugs-in-popular-industrial-control-software-in-under-4-hours/5305811?ref=hubwiz.com) \- 《NIST outlines 10 design tenets to strengthen AI agent identity and access management, proposes safeguards》, Industrial Cyber，2026-10-30：[https://industrialcyber.co/nist/nist-outlines-10-design-tenets-to-strengthen-ai-agent-identity-and-access-management-proposes-safeguards/](https://industrialcyber.co/nist/nist-outlines-10-design-tenets-to-strengthen-ai-agent-identity-and-access-management-proposes-safeguards/?ref=hubwiz.com) 本文由汇智网编译整理，转载请注明出处。 > **这是「AI × 工业 / PLC」专题的一部分。**完整地图见：[AI × 工业 / PLC 完全指南](https://www.hubwiz.com/blog/ai-industrial-stack/)