> ## Content Index > Fetch the complete content index at: https://www.hubwiz.com/blog/llms.txt > Use this file to discover other available public pages before exploring further. # AI 复现 PLC 漏洞：28 分钟、6 美元、拿到控制器 root - URL: https://www.hubwiz.com/blog/ai-reproduce-plc-vulnerability-danfoss/ - Published: 2026-10-20T10:16:17.000Z - Updated: 2026-10-20T10:21:11.000Z - Description: 28 分钟、约 6 美元、公开固件：AI 复现 PLC 漏洞并链成 root。人仍然不可少——但披露到可利用的窗口在缩短。 - Author: admin - Tags: AI × 工业, PLC 安全, 漏洞复现, AI 攻击 **一句话结论**：安全厂商 Claroty 的 Team82 拿自己今年 8 月披露的 3 个 Danfoss 制冷控制器漏洞做实验——让 AI coding agent 只凭**公开的 CVE 编号和分类**、加上从官网就能下载的固件，重建全部漏洞利用：**约 28 分钟、约 6 美元、拿到 root**。人没有出局，但角色变了：识别 agent 的错误、问对问题、验证结果。 **披露**：本文编译自 Claroty Team82 研究员 Amir Zaltzman 的两篇原文——实验本体《Firmware to Root in 30 Minutes: How AI is Changing Threat Intelligence》（**2026-10-13**）与漏洞研究《Freeze the Controller, Defrost the Food》（2026-08-09），并参考 Industrial Cyber 2026-10-19 的报道补充法国超市攻击背景。Claroty 是 OT 安全厂商，实验在其**实验室设备**上进行；适用边界见文末。原文"MPC"为笔误，已按上下文统一为 MCP。 ## 背景：先有法国超市的攻击 10 月 11–12 日夜间，法国多家连锁超市的制冷系统被攻击：攻击者远程操纵温度控制和除霜设置，迫使门店丢弃生鲜和冷冻食品。约 300 家 Intermarché 和 Netto、100 家 Coopérative U、80 家 Carrefour、30 家 Monoprix 及多家 E.Leclerc 门店受影响；冷库和冰柜温度被拉到最高 50°C（有一家报道称 80°C），除霜周期从 1 小时延长到 8 小时以推迟报警。波尔多附近一家 Intermarché 的货值损失 2.1 万欧元，全国损失预计数百万到上千万欧元。法国国家网络安全局（ANSSI）已立案调查。受影响的系统包括 Copeland xweb、Danfoss AK-SC/AK-SM 系列与 Dixell xweb；Danfoss 曾在 2025 年 3 月和 8 月发布过安全通告。 正是这起事件促使 Team82 重看自己的研究。整个时间线是这样的： | 时间 | 事件 | | ----------------- | ---------------------------------------- | | 2025-03 / 2025-08 | Danfoss 发布安全通告，修复制冷系统漏洞 | | 2026-08-09 | Team82 发布 AK-SM 800A 漏洞研究（3 个 CVE），固件已修复 | | 2026-10-11/12 夜间 | 法国超市制冷系统遭远程操纵，大面积食品损失 | | 2026-10-13 | Team82 发文：AI 用 28 分钟、约 6 美元复现全部 3 个漏洞 | | 2026-10-19 | Industrial Cyber 报道，事件与实验串成一条链 | 他们 8 月发表的《Freeze the Controller, Defrost the Food》里，研究了 Danfoss AK-SM 800A——一款超市、冷库、仓库广泛部署的**集中式制冷管理系统**：单台设备聚合大量现场控制器，提供网页管理界面（StoreView），管理员可以从一个控制台监控制冷回路、设温度阈值、看历史报警、改运行计划、管用户权限、做远程维护。正因为技术员习惯远程管理它，它自带一个嵌入式 web 服务器——**这也成了最现实的远程入口**。 他们想回答一个 timely 的问题： > 一个 AI coding agent，能在多快、多便宜的前提下，复现我们披露过的 3 个漏洞？ ## 三个漏洞分别是什么 8 月那篇研究里，Team82 通过逆向固件、把每个漏洞从 HTTP 请求处理一路追到底层实现，发现了三个问题（Danfoss 已在新固件中修复）： | CVE | 类型 | 是什么 | | -------------- | ---------- | ------------------------------------------------- | | CVE-2025-41450 | 认证绕过 | 一个隐藏的 **"code-of-the-day"（当日口令）认证机制**可以被滥用，绕过正常登录 | | CVE-2025-41451 | 命令注入 → RCE | 不安全的命令拼接，可造成远程代码执行 | | CVE-2025-41452 | Nginx 配置注入 | **已登录用户**可注入任意 Nginx 配置指令，进而操纵 web 流量、制造拒绝服务 | 三个漏洞单独看都有限制，但组合起来就是完整攻击链：绕过登录 → 拿到命令执行 → 操纵流量/服务。用原话说，这是"未公开功能、不安全的命令构造、可动态修改的 web 服务器配置"三件事叠加，对**暴露在公网的信息物理系统**形成的攻击链。 暴露面在当时就量过了：仅 Censys 上按 AK-SM 800A 特征一扫，就有 **2,765 台**设备的管理界面直接可访问（很多显示着 StoreView 界面的特征标题）——管理员为了远程管理，把 web 控制台暴露在了公网。10 月的新实验再次在 Censys/Shodan 上确认："数千台可能暴露的设备"。 ## 实验设定：28 分钟，约 6 美元 - **模型与工具**：Anthropic Claude Sonnet 4.6（medium reasoning 档），跑在 AI 原生代码编辑器 Cursor 里。 - **起点**：公开的 CVE 编号与漏洞分类、固件包、分析工具。**没有提供任何私有研究成果或内部分析**。 - **固件获取**：直接从 Danfoss 官网下载，无需注册，没有加密门槛。 - **成本与耗时**：从初始分析到可用的 exploit，约 **28 分钟**，AI 用量约 **6 美元**（原文标题里写"30 分钟"，正文给出的是 28 分钟）。 ## 结果：两个自动复现，一个靠人救回来 Agent 一开始就成功复现了两个漏洞（**CVE-2025-41451** 和 **CVE-2025-41452**）。但轮到认证绕过（**CVE-2025-41450**）时，它卡住了——而且是"自信地走错路"： > "Agent 起初复现了两个漏洞（CVE-2025-41451 和 CVE-2025-41452），但在分析认证绕过（CVE-2025-41450）时失败，并且非常自信地沿着一条错误路线推进。"——Amir Zaltzman 这不难理解：41450 的核心是一个**没有文档的隐藏认证机制**，需要先在 67 MB 的主应用程序二进制里定位它、再理解它的判定逻辑——这是整个链里最依赖"人眼 + 经验"的一步。 研究者的干预分两步： 1. **重定向调查方向**：指出 agent 当前路线不对，把它拉回正轨； 2. **给工具**：为 agent 接入 **Ghidra MCP 集成**，针对那 67 MB 的二进制做定向反编译和交叉引用分析（Ghidra 是开源逆向工程平台）。 有了正确的工具和指引后，agent 复现了认证绕过，并与命令注入漏洞**链成 root 级命令执行**。 ## 人为什么仍然不可少 Team82 的总结是：研究者始终是必要的，但"动手量"大幅下降。人的专业知识用在三件事上： - **识别错误结果**——发现 agent 正在自信地跑偏； - **问对问题**——把调查重定向到正确方向； - **验证结论**——确认复现是真实的，而不是 agent 的"言之凿凿"。 一旦工具和方向给对，后续的大量分析和复现工作，agent 就自己完成了。 ## 为什么这件事重要 Team82 引用了 Anthropic 近期对 GLM-5.3 的分析——高级网络能力正在**最强大的专有模型之外**变得可获得。这个实验回答的是它对 OT 安全的现实含义： > "一个并不顶尖的 AI coding 模型，加上公开可得的漏洞信息、唾手可得的固件和分析工具，就能在几分钟、几美元内复现已知漏洞。" 需要强调的是：**这不是从零开始的自主漏洞发现**。公开 CVE 提供了起点，人的引导修好了 agent 的跑偏。但"低成本 + 少时间 + 少量人工 + 设备暴露在公网"这四项组合起来，意味着对现实中的攻击者来说，**复现已知漏洞正变得越来越可行**。 对依赖制冷和其他 OT 系统的组织，Team82 留下的判断是： - **从漏洞公开到"实际可利用"之间的窗口，可能正在缩短。** - **"固件公开可得""设备连着网""工业设备看起来很复杂"——这三件事都不应该被当成安全。** ## 译者注：把我们已有的事实串起来 - 这不是"AI 能攻击 PLC"的第一个证据。我们此前编译过[五部门公告 AA26-231A](https://www.hubwiz.com/blog/ai-generated-plc-attacks-aa26-231a-ot-defense/)：攻击者已经在用 AI 生成针对西门子 S7 的攻击脚本。这次的差别在于**环节提前了**——上一次 AI 生成的是"攻击脚本"，这一次 AI 复现的是"漏洞本身"，并且把成本量化了：**28 分钟、6 美元**。 - 法国超市事件加上这次实验，链条是完整的：**过时设备 + 公网暴露 + 公开固件 + 公开 CVE + AI = 现实损失**。 - 实验里最值得注意的工程细节，其实是那个 **Ghidra MCP 集成**：让 agent 能做定向反编译和交叉引用，等于把"逆向工程老手的核心手法"工具化、交给 agent 复用。这个做法对所有"AI + 二进制/OT 分析"的团队都可直接借鉴。 - 对 OT 负责人，可操作的是四条： 1\. **暴露面清点**：用 Censys/Shodan 搜自己的设备（这次是 2,765 台在册），别假设"没人找得到"； 2\. **把"披露到可利用的窗口"纳入补丁策略**：28 分钟意味着等下一个维护窗口，可能已经来不及； 3\. **过时设备单独管理**：不再收更新的控制器，至少要断网隔离，而不是"看起来复杂没人会动"； 4\. **验证你自己的应急假设**：如果温度被改到 50°C、除霜被改成 8 小时，你的报警链路多久能发现？ - 边界：实验在实验室设备上进行、有公开 CVE 起点、有人工引导；它证明的是"复现已知漏洞的成本暴跌"，**不是**"AI 可以自主发现 0-day"。 --- **相关阅读**：[AI × 工业 / PLC 完全指南](https://www.hubwiz.com/blog/ai-industrial-stack/) ｜ [AI 生成的 PLC 攻击：五部门公告 AA26-231A 与 OT 防守](https://www.hubwiz.com/blog/ai-generated-plc-attacks-aa26-231a-ot-defense/) ｜ [接手别人的 PLC 程序前，先做这 4 步](https://www.hubwiz.com/blog/taking-over-legacy-plc-program-4-steps/) **Sources** - Amir Zaltzman, *Firmware to Root in 30 Minutes: How AI is Changing Threat Intelligence*, Claroty Team82, 2026-10-13：[https://www.claroty.com/team82/research/firmware-to-root-in-30-minutes-how-ai-is-changing-threat-intelligence](https://www.claroty.com/team82/research/firmware-to-root-in-30-minutes-how-ai-is-changing-threat-intelligence?ref=hubwiz.com) - Amir Zaltzman, *Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers*, Claroty Team82, 2026-08-09：[https://www.claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers](https://www.claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers?ref=hubwiz.com) - Industrial Cyber, *Claroty Team82 shows AI can rebuild Danfoss controller exploits in 28 minutes…*, 2026-10-19：[https://industrialcyber.co/ai/claroty-team82-shows-ai-can-rebuild-danfoss-controller-exploits-in-28-minutes-putting-internet-facing-ot-at-risk/](https://industrialcyber.co/ai/claroty-team82-shows-ai-can-rebuild-danfoss-controller-exploits-in-28-minutes-putting-internet-facing-ot-at-risk/?ref=hubwiz.com) - Industrial Cyber, *French supermarket cyberattack exposes risks of unsecured remote access and legacy refrigeration systems*, 2026-10-16：[https://industrialcyber.co/control-device-security/french-supermarket-cyberattack-exposes-risks-of-unsecured-remote-access-and-legacy-refrigeration-systems/](https://industrialcyber.co/control-device-security/french-supermarket-cyberattack-exposes-risks-of-unsecured-remote-access-and-legacy-refrigeration-systems/?ref=hubwiz.com) - 本站，*AI 生成的 PLC 攻击：AA26-231A 与 OT 防守*： *本文由 hubwiz 编译整理，转载请注明出处。* > **这是「AI × 工业 / PLC」专题的一部分。**完整地图见：[AI × 工业 / PLC 完全指南](https://www.hubwiz.com/blog/ai-industrial-stack/)