AI × 工业

AI 复现 PLC 漏洞：28 分钟、6 美元、拿到控制器 root

28 分钟、约 6 美元、公开固件：AI 复现 PLC 漏洞并链成 root。人仍然不可少——但披露到可利用的窗口在缩短。

一句话结论：安全厂商 Claroty 的 Team82 拿自己今年 8 月披露的 3 个 Danfoss 制冷控制器漏洞做实验——让 AI coding agent 只凭公开的 CVE 编号和分类、加上从官网就能下载的固件，重建全部漏洞利用：约 28 分钟、约 6 美元、拿到 root。人没有出局，但角色变了：识别 agent 的错误、问对问题、验证结果。

披露：本文编译自 Claroty Team82 研究员 Amir Zaltzman 的两篇原文——实验本体《Firmware to Root in 30 Minutes: How AI is Changing Threat Intelligence》（2026-10-13）与漏洞研究《Freeze the Controller, Defrost the Food》（2026-08-09），并参考 Industrial Cyber 2026-10-19 的报道补充法国超市攻击背景。Claroty 是 OT 安全厂商，实验在其实验室设备上进行；适用边界见文末。原文"MPC"为笔误，已按上下文统一为 MCP。

背景：先有法国超市的攻击

10 月 11–12 日夜间，法国多家连锁超市的制冷系统被攻击：攻击者远程操纵温度控制和除霜设置，迫使门店丢弃生鲜和冷冻食品。约 300 家 Intermarché 和 Netto、100 家 Coopérative U、80 家 Carrefour、30 家 Monoprix 及多家 E.Leclerc 门店受影响；冷库和冰柜温度被拉到最高 50°C（有一家报道称 80°C），除霜周期从 1 小时延长到 8 小时以推迟报警。波尔多附近一家 Intermarché 的货值损失 2.1 万欧元，全国损失预计数百万到上千万欧元。法国国家网络安全局（ANSSI）已立案调查。受影响的系统包括 Copeland xweb、Danfoss AK-SC/AK-SM 系列与 Dixell xweb；Danfoss 曾在 2025 年 3 月和 8 月发布过安全通告。

正是这起事件促使 Team82 重看自己的研究。整个时间线是这样的：

时间	事件
2025-03 / 2025-08	Danfoss 发布安全通告，修复制冷系统漏洞
2026-08-09	Team82 发布 AK-SM 800A 漏洞研究（3 个 CVE），固件已修复
2026-10-11/12 夜间	法国超市制冷系统遭远程操纵，大面积食品损失
2026-10-13	Team82 发文：AI 用 28 分钟、约 6 美元复现全部 3 个漏洞
2026-10-19	Industrial Cyber 报道，事件与实验串成一条链

他们 8 月发表的《Freeze the Controller, Defrost the Food》里，研究了 Danfoss AK-SM 800A——一款超市、冷库、仓库广泛部署的集中式制冷管理系统：单台设备聚合大量现场控制器，提供网页管理界面（StoreView），管理员可以从一个控制台监控制冷回路、设温度阈值、看历史报警、改运行计划、管用户权限、做远程维护。正因为技术员习惯远程管理它，它自带一个嵌入式 web 服务器——这也成了最现实的远程入口。

他们想回答一个 timely 的问题：

一个 AI coding agent，能在多快、多便宜的前提下，复现我们披露过的 3 个漏洞？

三个漏洞分别是什么

8 月那篇研究里，Team82 通过逆向固件、把每个漏洞从 HTTP 请求处理一路追到底层实现，发现了三个问题（Danfoss 已在新固件中修复）：

CVE	类型	是什么
CVE-2025-41450	认证绕过	一个隐藏的 "code-of-the-day"（当日口令）认证机制可以被滥用，绕过正常登录
CVE-2025-41451	命令注入 → RCE	不安全的命令拼接，可造成远程代码执行
CVE-2025-41452	Nginx 配置注入	已登录用户可注入任意 Nginx 配置指令，进而操纵 web 流量、制造拒绝服务

三个漏洞单独看都有限制，但组合起来就是完整攻击链：绕过登录 → 拿到命令执行 → 操纵流量/服务。用原话说，这是"未公开功能、不安全的命令构造、可动态修改的 web 服务器配置"三件事叠加，对暴露在公网的信息物理系统形成的攻击链。

暴露面在当时就量过了：仅 Censys 上按 AK-SM 800A 特征一扫，就有 2,765 台设备的管理界面直接可访问（很多显示着 StoreView 界面的特征标题）——管理员为了远程管理，把 web 控制台暴露在了公网。10 月的新实验再次在 Censys/Shodan 上确认："数千台可能暴露的设备"。

实验设定：28 分钟，约 6 美元

模型与工具：Anthropic Claude Sonnet 4.6（medium reasoning 档），跑在 AI 原生代码编辑器 Cursor 里。
起点：公开的 CVE 编号与漏洞分类、固件包、分析工具。没有提供任何私有研究成果或内部分析。
固件获取：直接从 Danfoss 官网下载，无需注册，没有加密门槛。
成本与耗时：从初始分析到可用的 exploit，约 28 分钟，AI 用量约 6 美元（原文标题里写"30 分钟"，正文给出的是 28 分钟）。

结果：两个自动复现，一个靠人救回来

Agent 一开始就成功复现了两个漏洞（CVE-2025-41451 和 CVE-2025-41452）。但轮到认证绕过（CVE-2025-41450）时，它卡住了——而且是"自信地走错路"：

"Agent 起初复现了两个漏洞（CVE-2025-41451 和 CVE-2025-41452），但在分析认证绕过（CVE-2025-41450）时失败，并且非常自信地沿着一条错误路线推进。"——Amir Zaltzman

这不难理解：41450 的核心是一个没有文档的隐藏认证机制，需要先在 67 MB 的主应用程序二进制里定位它、再理解它的判定逻辑——这是整个链里最依赖"人眼 + 经验"的一步。

研究者的干预分两步：

重定向调查方向：指出 agent 当前路线不对，把它拉回正轨；
给工具：为 agent 接入 Ghidra MCP 集成，针对那 67 MB 的二进制做定向反编译和交叉引用分析（Ghidra 是开源逆向工程平台）。

有了正确的工具和指引后，agent 复现了认证绕过，并与命令注入漏洞链成 root 级命令执行。

人为什么仍然不可少

Team82 的总结是：研究者始终是必要的，但"动手量"大幅下降。人的专业知识用在三件事上：

识别错误结果——发现 agent 正在自信地跑偏；
问对问题——把调查重定向到正确方向；
验证结论——确认复现是真实的，而不是 agent 的"言之凿凿"。

一旦工具和方向给对，后续的大量分析和复现工作，agent 就自己完成了。

为什么这件事重要

Team82 引用了 Anthropic 近期对 GLM-5.3 的分析——高级网络能力正在最强大的专有模型之外变得可获得。这个实验回答的是它对 OT 安全的现实含义：

"一个并不顶尖的 AI coding 模型，加上公开可得的漏洞信息、唾手可得的固件和分析工具，就能在几分钟、几美元内复现已知漏洞。"

需要强调的是：这不是从零开始的自主漏洞发现。公开 CVE 提供了起点，人的引导修好了 agent 的跑偏。但"低成本 + 少时间 + 少量人工 + 设备暴露在公网"这四项组合起来，意味着对现实中的攻击者来说，复现已知漏洞正变得越来越可行。

对依赖制冷和其他 OT 系统的组织，Team82 留下的判断是：

从漏洞公开到"实际可利用"之间的窗口，可能正在缩短。
"固件公开可得""设备连着网""工业设备看起来很复杂"——这三件事都不应该被当成安全。

译者注：把我们已有的事实串起来

这不是"AI 能攻击 PLC"的第一个证据。我们此前编译过五部门公告 AA26-231A：攻击者已经在用 AI 生成针对西门子 S7 的攻击脚本。这次的差别在于环节提前了——上一次 AI 生成的是"攻击脚本"，这一次 AI 复现的是"漏洞本身"，并且把成本量化了：28 分钟、6 美元。
法国超市事件加上这次实验，链条是完整的：过时设备 + 公网暴露 + 公开固件 + 公开 CVE + AI = 现实损失。
实验里最值得注意的工程细节，其实是那个 Ghidra MCP 集成：让 agent 能做定向反编译和交叉引用，等于把"逆向工程老手的核心手法"工具化、交给 agent 复用。这个做法对所有"AI + 二进制/OT 分析"的团队都可直接借鉴。
对 OT 负责人，可操作的是四条： 1. 暴露面清点：用 Censys/Shodan 搜自己的设备（这次是 2,765 台在册），别假设"没人找得到"； 2. 把"披露到可利用的窗口"纳入补丁策略：28 分钟意味着等下一个维护窗口，可能已经来不及； 3. 过时设备单独管理：不再收更新的控制器，至少要断网隔离，而不是"看起来复杂没人会动"； 4. 验证你自己的应急假设：如果温度被改到 50°C、除霜被改成 8 小时，你的报警链路多久能发现？
边界：实验在实验室设备上进行、有公开 CVE 起点、有人工引导；它证明的是"复现已知漏洞的成本暴跌"，不是"AI 可以自主发现 0-day"。