OT 安全

AI 挖出 4 个工控漏洞：9.8 分那个可远程执行代码

3 小时 49 分，4 个未知漏洞，全程只有一条指令。EPICS 之后，OT 的"靠隐蔽性防守"结束了。

一个自主 AI agent 用了 3 小时 49 分，在一个几十年历史、被广泛使用的开源工控软件里找到 4 个此前未知的漏洞，其中一个是 CVSS 9.8 的严重漏洞，可导致堆上越界写、进而可能远程执行代码。

这次被挖的是 EPICS（Experimental Physics and Industrial Control System），由洛斯阿拉莫斯与阿贡国家实验室最初开发，用来搭分布式 SCADA 系统、把操作员接到物理设备上。它被全球约 90 个大型科研、高校与工业项目使用，包括阿贡的先进光子源（APS）与 ITER 聚变堆的控制系统。

修复版本是 EPICS Base 7.0.11。CISA 已在周二发布通告，提醒组织尽快升级。

一、四个漏洞：一个 9.8，一个 8.2

按 The Register 的报道，四个漏洞全部影响 EPICS Base：

漏洞	评级	后果
CVE-2026-114595	CVSS 9.8 严重	整数溢出，导致攻击者可控的堆上越界写，可能远程执行代码
CVE-2026-114596	CVSS 8.2 高危	消息长度校验不当，导致越界内存写、控制流受影响
另外两个	高危	同属内存安全问题（细节以 CISA 通告为准）

CISA 通告的措辞是标准的那一套，但每一条都很重："成功利用这些漏洞可使攻击者造成拒绝服务、破坏内存、泄露敏感信息，或可能执行任意代码。"

二、谁找的：一个"不用人插手"的 agent

发现者是一个叫 Cipher 的自主 agent，来自 Causal Security。公司联合创始人 Shubham Raj 对 The Register 的说法是：

初始调查完全不需要人工介入；之后下达了一条指令，授权在一个安全环境里做更深入的可利用性测试。

也就是说，人类在整件事里只做了一个决定——"可以往下验证"。发现可疑点、判断是否可利用、写出验证，都是 agent 自己做的。

Raj 对 Cipher 的定位是"一个能跨技术栈推理的完全自主的超级黑客"。这个说法是厂商自述，读者可以打折听；但有两点是可核实的：它之前找到的东西，以及这次找到的漏洞编号与修复版本已经进入公开流程。

三、为什么这件事比"又发现几个洞"更值得注意

第一，前置条件低得吓人。 真实设施里的利用前提只有一条：能到达控制网上的 EPICS 服务。这在网段划分不充分、或别的系统能碰到 EPICS 网络时就会发生。Raj 说得很直白——只要找到一个配置错误或可达的网络，攻击执行起来"相当容易"。

第二，攻击者不需要懂物理。 这是全篇最关键的一句：

攻击者不需要理解粒子加速器的物理，也能破坏控制它的软件。让关键进程崩掉、或者中断监控与控制，本身就已经是很严重的运行后果。正在改变的是：发现这些弱点，不再需要多年专门知识。

他甚至给了场景：一台加速器正在做昂贵实验，攻击者让控制器崩溃、打断关键测量，实验就得中止——损失是实验进度、停机时间和恢复成本。如果能写出 RCE，还能操纵读数、干扰控制功能、破坏相连设备。

第三，这不是孤立事件。 同一家公司的 Cipher 今年早些时候在北美与欧洲的电网系统里找到多条关键攻击路径，直接促成了 10 月 8 日的 CISA 通告。两个月内，从电网到科研装置，路径一致：AI 在降低"发现 OT 弱点"的成本。

报道的落脚点是所有 OT 从业者都听过的那句话的反面：这些系统过去可以靠隐蔽性（obscurity）防守——没人知道你的协议、你的固件、你的奇怪实现。当发现成本从"一个专家几周"降到"一个 agent 几小时"，隐蔽性就不再是防线。

四、防守侧：NIST 刚发的十条

有意思的是时间线。10 月 30 日，也就是 EPICS 通告之后两天，NIST 发布了一份关于 AI agent 身份与访问管理（IAM） 的博文，提出十条设计原则。作者是 Harold Booth、Bill Fisher、Ryan Galluzzo、Tom Clancy，成果会用于 NIST 国家网络安全卓越中心（NCCoE）的相关示范。

十条大意如下：

#	原则	解决什么
1	agent 有唯一、可加密验证的身份，与人类账号、服务账号可区分，理想情况绑定具体 workload、环境与已批准配置；IAM 生命周期与人类分离	防止 agent 冒充用户/服务账号；让自主行为能回溯到具体软件组件
2	agent 与任务发起者在执行全程加密关联（链式信任）；权力下放给子 agent 时权限必须衰减，下游不能比上游权限更大	委托、审计、不可否认
3	零常驻权限：空闲时没有任何权限；最小权限 + 职责分离	防止被劫持后直接触达敏感数据
4	授权必须即时、限时、限定受众；每次工具调用/API 调用/资源访问都做运行时验证；不要长期 bearer token 与静态密钥	被窃取的长期凭证等于永久后门；被劫持的 agent 要能被中途掐断
5	人类监督：组织要定义触发人工复核的风险阈值，升级时要给复核者足够信息；还要考虑"同意疲劳"（升级太频繁，人就开始凭习惯点同意）	失灵、幻觉或被操纵的 agent 可能造成不可逆后果
6	任务发起者可签发加密签名的 mandate，写明预期结果与约束；下游验签后用于授权、审计与不可否认	让"我让它做什么"这件事本身可验证
7	架构上分离"决定 agent 想做什么"与"控制它被允许访问什么"	LLM 把数据与指令混在同一条 token 流里，光靠护栏挡不住 prompt injection
8	确定性的访问决策为主，概率性信息只能辅助	降低注入与提权的影响面
9	持续监控：agent 专用指标、阈值与策略；对风险姿态与环境变化要响应	长跑 agent、跨多工具的 agent 风险更高
10	独立于 agent 的、防篡改且仅追加的证据链，记录身份、委托意图与动作	被攻陷的 agent 可能删改自己的日志

NIST 还专门举了"confused deputy"（混淆代理）的例子：用 prompt injection 骗一个权限很宽的 agent 去做它本来不该做的事。他们的结论是——单条原则挡不住，必须多条一起上：第 2 条（委托与链接）负责让它可追溯，第 3 条（最小权限）限制影响范围，第 7 条（架构分离）减少注入入口，第 8 条（确定性决策）严格强制范围。

同时他们也承认现实：现有标准与技术未必能支撑所有部署形态下的全部十条。

五、编者补充：把两件事连起来看

把 EPICS 与 NIST 这两件事放在同一周，能得出一个不太好听但很有用的判断：进攻侧的"发现成本"在下降，防御侧的"授权成本"还没跟上。

具体到三条能立刻做的动作：

第一，先算"可达性"，再谈"漏洞"。 EPICS 那四个洞的前提是"能到达控制网"。这意味着你能做的最有效的一件事不是打补丁（虽然必须打），而是把"谁能到达什么"重新画一遍：科研装置、产线、公用工程网络里，有哪些服务其实不需要被那么多人访问？站内AI 生成 PLC 攻击与 OT 防御里有同一件事的另一种证据——暴露在公网上的 102 端口数量。

第二，假设"agent 会被说服"。 这是 NIST 第 7、8 条的实质：不要把安全寄托在"模型不会被骗"上，而要把"想做什么"和"被允许做什么"放在两个系统里。如果你的 agent 能读一段工单文本，就能触发一次写操作，那它就是一个 confused deputy 的候选。

第三，日志要放在 agent 删不到的地方。 第 10 条听起来最不起眼，实际最难做到——大多数自建 agent 把日志写在同一个容器里，agent 有写权限就有删权限。站内Agent 审计日志：把"谁做的"变成可证物整篇都在讲这件事。

对工业现场读者再加一条边界：发现漏洞不等于能造成物理后果。Raj 自己也说，操纵具体物理过程需要额外知识；不需要的是"找到并触发"这一步。这正是防御方要分层的原因——把"能触发"和"能造成后果"之间的距离拉大（分区、单向网关、联锁、人工确认）。

边界：本文编译 The Register 的报道与 NIST 官方博文的转述，未做独立验证；CVE 编号、评级、修复版本以 CISA 通告与 EPICS 官方为准。"Cipher 的能力"属于厂商陈述，文中已标注。涉及生产控制系统的补丁与变更，请在维护窗口内按内部规程执行，不要在现场运行状态下直接升级控制软件。

来源： - 《AI 'hacker' finds 4 severe bugs in popular industrial control software in under 4 hours》, The Register，2026-10-27：https://www.theregister.com/security/2026/10/27/ai-hacker-finds-4-severe-bugs-in-popular-industrial-control-software-in-under-4-hours/5305811 - 《NIST outlines 10 design tenets to strengthen AI agent identity and access management, proposes safeguards》, Industrial Cyber，2026-10-30：https://industrialcyber.co/nist/nist-outlines-10-design-tenets-to-strengthen-ai-agent-identity-and-access-management-proposes-safeguards/

本文由汇智网编译整理，转载请注明出处。