Forescout portierte einen WAGO-PLC-Exploit mit Claude Code für 535,74 US-Dollar — und machte den Controller unbrauchbar, als man mehr erreichen wollte

Am 1. September 2026 veröffentlichte Forescout Research mit Vedere Labs ein Experiment, in dem es Claude Code ein Terminal, das Reverse-Engineering-Tool Ghidra, eine Firmware-Binärdatei und einen physischen WAGO 750-831-Controller gab und das Modell dann bat, einen Pre-Authentication-Remote-Code-Execution-Exploit zu portieren, der bereits auf dem eng verwandten WAGO 750-852 funktionierte. Das Modell schaffte es: Es fand heraus, warum sein Shellcode immer wieder gelöscht wurde, änderte die Trigger-Sequenz und führte vom Angreifer gelieferten ARM-Shellcode auf echter Hardware ohne Anmeldedaten aus. Die Kosten beliefen sich auf 8 Stunden 32 Minuten Sitzungszeit, verteilt über mehrere Tage, $535.74 an API-Nutzung und kontinuierlicher menschlicher Steuerung. Ein späterer Versuch, den Exploit zu einem Command-and-Control-Implantat zu erweitern, schrieb in einen flash-gemappten Speicherbereich und machte den Controller dauerhaft unbrauchbar — das eigene Testgerät der Forscher, nicht Geräte im Feld. Das Experiment ist ein Eintrag in dem KI-Vorfallarchiv, das den vollständigen Bestand an Datensätzen, seine Quellen und die benachbarten Einträge in dieser Reihe enthält.

Was Forescout dem Modell tatsächlich übergab

Der Versuchsaufbau ist wichtiger als die Schlagzeile, denn er entscheidet darüber, was das Experiment zeigt und was nicht. Der eigene Bericht von Vedere Labs beschreibt einen interaktiven Aufbau: Claude Code hatte ein Terminal, die Referenzdateien, Analysewerkzeuge einschließlich Ghidra und Netzwerkzugriff auf ein Live-Ziel unter 192.168.2.14 – ein WAGO 750-831 mit der Firmware V01.04.16. Die Forschenden konnten jederzeit während der Sitzung eingreifen. Laut der Forschungsnotiz der Cloud Security Alliance zu diesem Fall gab es weder einen Debugger noch Quellcode für die Ziel-Firmware.

Die Schwachstelle war bereits bekannt und bereits dokumentiert. CVE-2021-31886 ist ein stackbasierter Pufferüberlauf im Nucleus FTP server, erreichbar vor der Authentifizierung auf TCP-Port 21 durch Senden eines überdimensionierten USER-Befehls, und Forescouts frühere Arbeit hatte bereits einen funktionierenden Exploit für das 750-852 hervorgebracht. The Hacker News gibt den CVSS-Score mit 9,8 an, vergeben von Siemens, das Nucleus pflegt. Die ursprüngliche Advisory ist CERT@VDEs VDE-2021-050.

Das war also keine autonome Schwachstellenerkennung. Es war ein überwachter Port: ein bekannter Fehler, ein funktionierender Referenz-Exploit, ein Schwestergerät, ein Experte zur Hand. Forescouts Formulierung ist diesbezüglich präzise, und seine eigene Schlussfolgerung lautet, dass die Hürde hoch bleibt. Was das Experiment misst, sind die Grenzkosten, einen Exploit von einem Gerät, das bereits jemand geknackt hat, auf das nächste Gerät derselben Familie zu übertragen – was, wie die Anmerkung der Cloud Security Alliance es formuliert, der Schritt ist, der entscheidet, ob eine Patch-Lücke bei einem Modell eine Patch-Lücke bei allen ist.

Acht Stunden und ein 256-Byte-Puffer

Das Erste, was festgehalten werden sollte, ist, wie viel von der Sitzung damit verbracht wurde, falsch zu liegen. Forescout sagt, bereits der allererste Prompt des Modells habe einen anderen potenziellen FTP-Bug zutage gebracht, nicht CVE-2021-31886; die Forscher legten ihn beiseite, und das Unternehmen sagt, eine manuelle Überprüfung lege nahe, dass es sich um eine separate, bislang nicht identifizierte Schwachstelle ohne zugewiesene CVE handeln könnte. Eine spätere Sitzung konnte die verwundbare Funktion nicht korrekt zurückverfolgen und erzeugte einen ungültigen Exploit. Das Modell verfolgte falsche Hypothesen, dekompilierte irrelevanten Code und lief aus dem Kontext.

Es erzielte immerhin ein Zwischenergebnis: eine Payload, die den 750-831 zum Absturz brachte, was bewies, dass der Overflow das zweite Gerät erreichte, ohne bereits kontrollierte Ausführung zu ermöglichen. Diese Unterscheidung – Absturz versus Kontrolle – ist der Punkt, an dem die Sitzung ins Stocken geriet. Jede Payload, die das Modell erstellte, wurde gelöscht, bevor sie ausgeführt werden konnte, und der Grund entpuppte sich als gewöhnliche FTP-Verarbeitung auf dem Ziel: Nach dem überlangen USER-Befehl setzte die normale Verarbeitung einen 256-Byte-Puffer auf null, der den Shellcode des Angreifers enthielt. Forescout zufolge erforderte das Auffinden des Verursachers eine menschengesteuerte Analyse der Aufrufkette und des Sinks, und identifiziert die Routine als sub_100BA758.

Die Korrektur war eine Änderung der Sequenz. Der Exploit für 750-852 sendete USER, gefolgt von QUIT. Beim 750-831 wechselte das Modell zu USER, gefolgt von CWD, und ließ den CRLF-Terminator beim Befehl weg, sodass der Verarbeitungspfad nie auf die übliche Weise abgeschlossen wurde und der Puffer lange genug überlebte, um ausgeführt zu werden. Der Exploit lief dann im Kontext des Ethernet-Empfangs-Callbacks. Laut Forescout endet die demonstrierte Fähigkeit beim Senden von Netzwerkpaketen.

Sobald die Codeausführung zuverlässig war, änderte sich das Tempo vollständig. Das Modell kam in 12 Minuten von No-Op-Shellcode zu zwei funktionierenden Netzwerk-Payloads: eines, das ICMP-Echo-Anfragen an einen vom Angreifer kontrollierten Host sendet, das andere ein UDP-Paket mit der Zeichenkette „PWNED“. Diese 12-Minuten-Zahl ist die folgenreichste Zahl im gesamten Bericht, und sie ist diejenige, die Forescouts Write-up als Warnung behandelt – der schwierige Teil war der erste Schritt, und die Schritte danach waren nahezu kostenlos.

Die Rechnung: $535.74 für einen Port, den ein Mensch möglicherweise schneller erledigt hätte

Für die abschließende Phase der Remote-Code-Execution meldet Forescout 535,74 $ an API-Nutzung über eine Sitzung von 8 Stunden und 32 Minuten, wobei sich die Arbeit über mehrere Tage der Recherche erstreckte, statt in einem einzigen Durchgang ausgeführt zu werden. Die veröffentlichten Token-Zahlen sind 2,6k Eingabe und 1,3M Ausgabe.

Diese Aufteilung ist ungewöhnlich genug, um sie gesondert hervorzuheben. In einer langen agentischen Coding-Sitzung dominiert normalerweise die Eingabeseite, weil dem Modell bei jedem Turn ein wachsender Kontext erneut übermittelt wird; eine 8,5-stündige Sitzung, die mit 2.600 Eingabe-Tokens abgerechnet wird, ist keine vollständige Abrechnung dessen, was der Kontext gekostet hat. Forescout veröffentlicht keine Aufschlüsselung, und SecurityWeek, die am selben Tag über dieselbe Phase berichtet, nennt nur „mehr als 500 Dollar“ und überhaupt keine Token-Zahlen. Die Dollarsumme ist der Wert, den beide Berichte stützen; die Aufteilung zwischen Eingabe und Ausgabe sollte so gelesen werden, wie sie berichtet wird, nicht als vollständiger Abrechnungsbeleg.

Die Kosten sind der schwächste Punkt in der Argumentation für KI-Unterstützung, und Forescout sagt das selbst. Die eigene Einschätzung des Unternehmens ist, dass ein Forscher diesen Exploit „ohne KI in kürzerer Zeit und zu geringeren Kosten hätte portieren können, während er die SPS am Leben erhalten hätte“. Das Experiment ist kein Argument dafür, dass das Modell billiger als ein Experte ist. Es ist ein Argument dazu, in welche Richtung sich dieser Vergleich bewegt.

Der gebrickte Controller

Der Fehlschlag ist der Teil dieses Datensatzes mit einem physischen Ergebnis. Nachdem die Codeausführung erreicht war, versuchte eine Folgesitzung, den Exploit zu einem Command-and-Control-Implantat auszubauen. Forescout zufolge wurden die Payloads zunehmend komplexer, und eine davon schrieb in einen auf Flash abgebildeten Speicherbereich. Der Controller war dauerhaft gebrickt.

Drei Dinge sollten hier getrennt werden. Das Gerät war die eigene Testhardware der Forscher, sodass kein Betreiber eine Produktionslinie verlor und das Archiv keinen realen Schaden verzeichnet. Der Schaden wurde von einem Agenten mit legitimem Zugriff auf die Geräte verursacht, der eine Aufgabe ausführte, um die seine Betreiber gebeten hatten – nicht von einem Angreifer. Und der Schreibvorgang war auf eine Weise irreversibel, wie es eine fehlerhafte Codezeile auf einem Server normalerweise nicht ist: Flash auf einem eingebetteten Controller ist keine Datei, die man zurücksetzen kann. Forescouts Einordnung folgt direkt daraus. Das unmittelbare Risiko, das darin benannt wird, ist nicht ein Agent, der von sich aus beschließt, einen Controller anzugreifen, sondern „ein autorisierter Agent, der auf einem physischen System die falsche Aktion ausführt“, wo ein Fehler betriebliche Konsequenzen hat.

Was gilt als gesichert und was nicht

Das Archiv bewertet diesen Datensatz mit Konfidenz A, Schweregrad mittel, nicht bestritten und ohne dokumentierten tatsächlichen Schaden – und die Berichterstattung dahinter ist gemessen an diesen Maßstäben belastbar. Forescouts Analyse ist die primäre Darstellung. SecurityWeek veröffentlichte am 1. September 2026, am selben Tag, einen eigenen Bericht; The Hacker News und das Forschungslabor der Cloud Security Alliance veröffentlichten beide am 2. September. Keine dieser Veröffentlichungen ist eine unabhängige technische Replikation, und keine behauptet, eine zu sein, doch sie stimmen beim Mechanismus, bei den beiden Modellversionen, bei den Kosten, beim zwölfminütigen Payload-Lauf und beim Bricking überein.

Festgestellt, auf Grundlage dieser Aufzeichnung:

• Dass eine überwachte Portierung erfolgreich war. Ein Pre-Authentication-Exploit für CVE-2021-31886 wurde vom WAGO 750-852 auf ein 750-831 mit Firmware V01.04.16 angepasst, und der vom Bediener bereitgestellte ARM-Shellcode wurde auf dem laufenden Gerät ausgeführt.

• Der Mechanismus. Der 256-Byte-Puffer, der durch normale USER-Verarbeitung auf Null gesetzt wird, der Wechsel von QUIT zu CWD und der ausgelassene CRLF-Terminator werden von Forescout und der Sekundärberichterstattung konsistent beschrieben.

• Die Zahlen für die letzte Phase: {{1}}8 Stunden 32 Minuten{{/1}}, {{2}}535,74 ${{/2}}, {{3}}2,6k Input- und 1,3M Output-Tokens{{/3}}, {{4}}12 Minuten von der Codeausführung bis zu zwei funktionierenden Payloads{{/4}}.

• Dass die C2-Erweiterung einen Controller unbrauchbar gemacht hat und dass es sich um ein Testgerät handelte.

• Dass Forescout's eigenes Urteil in Bezug auf die Kosten negativ ist. Es wird klar gesagt, dass ein menschlicher Researcher diesen Port wahrscheinlich schneller und kostengünstiger hätte durchführen können, und das ohne die Hardware zu zerstören.

Nicht etabliert oder im Spannungsverhältnis:

• Unabhängige technische Validierung. Jede veröffentlichte Darstellung, einschließlich der Analyse der Cloud Security Alliance, geht auf Forescouts Beschreibung ihrer eigenen Arbeit zurück. Niemand außerhalb von Forescout hat den Port reproduziert, und der Bericht von SecurityWeek enthält keinen unabhängigen Expertenkommentar.

• Die Kalenderdaten der Sitzungen. Forescout gibt Dauerangaben, nicht Daten an. Das einzige feste Datum in den Unterlagen ist das Veröffentlichungsdatum, der 1. September 2026.

• Wie viele WAGO-Modelle die zugrunde liegende Advisory abdeckt. The Hacker News gibt eine Liste von zehn betroffenen Modellen aus CERT@VDEs VDE-2021-050 wieder; die Mitteilung der Cloud Security Alliance beziffert die Zahl auf 19. Die Advisory selbst ist die maßgebliche Quelle, und die Diskrepanz ist ein Grund, sie zu prüfen, statt eine der beiden Zahlen zu zitieren.

• Die exakte Abrechnung der Eingabe-Token, wie oben beschrieben.

• Was das fehlgeschlagene Implantat tatsächlich bewirkte. Forescout zufolge schrieb eine Payload in einen flash-gemappten Bereich; weder die Payload noch die Adresse oder die Sequenz werden veröffentlicht, sodass sich das Bricking nicht von außen rekonstruieren lässt.

Seite von WAGO: kein Update verfügbar

Der Grund, warum eine Portierung auf ein Schwestermodell von Bedeutung ist, liegt darin, dass das Schwestermodell nicht behoben werden wird. CERT@VDE führt in VDE-2021-050 Steuerungen der 750er-Serie, auf denen das Echtzeitbetriebssystem Nucleus V1 läuft, als betroffen auf und erklärt: „Derzeit sind für diese Version keine Updates verfügbar.“ The Hacker News merkt an, dass zwei Modelle auf der Liste der betroffenen Produkte, das 750-882 und das 750-885/0xx-xxx, sowohl im Abschnitt zu Gegenmaßnahmen als auch in der Tabelle mit den Abhilfemaßnahmen des Advisories fehlen, wodurch ihr Status unklar bleibt.

Siemens, das Nucleus betreut, erklärt laut The Hacker News, dass für Nucleus NET in allen Versionen keine Behebung geplant sei, während Nucleus ReadyStart V3-Versionen ab V2013.08.1 CVE-2021-31886 bereits beheben. Das ist ein schwacher Trost für einen Controller, dessen Firmware mit dem älteren Stack ausgeliefert wird und dessen Hersteller keinen Aktualisierungspfad veröffentlicht hat.

Die Schwachstelle ist nicht neu. CVE-2021-31886 war eine von 13 Schwachstellen, die im November 2021 unter dem Namen NUCLEUS:13 von Forescout und Medigate offengelegt wurden. The Hacker News prüfte am 1. September 2026 außerdem, ob öffentlicher Exploit-Code dafür leicht zu finden war: Eine GitHub-Repository-Suche ergab nichts, und die Schwachstelle war nicht in Exploit-DB und Packet Storm zu finden – mit der Einschränkung, dass die GitHub-Suche Repository-Namen und -Beschreibungen statt Dateiinhalte abdeckt. Eine Portierung, die Forescout achteinhalb Stunden und mehr als fünfhundert Dollar kostete, war kein Copy-and-Paste.

Warum die Trendlinie laut Forescout trotzdem wichtig ist

Forescouts Fazit ist bewusst wenig spektakulär und zugleich der Teil der Ausführungen, der am ehesten in die eine oder andere Richtung missverstanden wird. „Man kann es tun, aber es ist nicht so einfach, wie es klingt“, schreibt das Unternehmen. Es merkt an, dass seine eigene frühere NUCLEUS:13-Studie zu dem Schluss kam, dass diese Probleme wahrscheinlich nicht ganz oben auf der Prioritätenliste eines Anlagenbetreibers stehen sollten, und erklärt, Fortschritte bei KI sollten Organisationen dazu veranlassen, diese Einschätzung zu überdenken – denn „schwer auszunutzen“ werde zu einem schwächeren Grund, eine Steuerung nachrangig zu behandeln, je geringer der für ihre Ausnutzung erforderliche Aufwand ist.

Die Notiz der Cloud Security Alliance liefert die nützliche Kurzformel für das Muster: schwieriger erster Schritt, schnelle Folgeschritte. Die erste Anpassung kostete achteinhalb Stunden, Expertenaufsicht und ein zerstörtes Gerät. Die zweite und dritte Payload dauerten zwölf Minuten. Wenn der erste Schritt günstiger wird, bleibt das Verhältnis nicht, wo es ist.

Dieses Argument ist vor einem bestimmten Hintergrund zu sehen, auch wenn es vom Forescout-Experiment getrennt ist und nicht als Beleg dafür gelesen werden sollte. The Hacker News berichtet, dass am 19. August 2026 die NSA, CISA, das FBI, das Department of Energy und die EPA eine gemeinsame Warnmeldung veröffentlichten, die vor KI-generierten Exploit-Skripten warnte, die auf internetexponierte Siemens-S7-SPSen abzielen; die Behörden bewerteten, dass die Aktivität wahrscheinlich auf dauerhafte Aufklärung und Fähigkeitsentwicklung abzielte, und nahmen keine Zuordnung vor. Dieselbe Quelle berichtet über Feststellungen des FBI und der EPA zu Eindringlingen in Wasserbetrieben in mindestens sieben Bundesstaaten seit dem 27. Juli 2026, von denen einige den Betrieb beeinträchtigten und bei denen Angreifer IP-Adressen und Passwörter auf internetexponierten Rockwell-Automation-MicroLogix-Controllern änderten, ohne dass überhaupt ein Exploit erforderlich war. Die gemeinsame Warnmeldung warnte, dass KI für die Exploit-Erzeugung „den erforderlichen technischen Sachverstand und den benötigten Zeitaufwand drastisch verringere“, um funktionsfähige ICS-Angriffstools zu erstellen.

Was ein Betreiber daraus mitnehmen sollte

Die praktische Antwort ist die unspektakuläre, und sie hängt nicht davon ab, wie der KI-Streit ausgeht. Stellen Sie fest, ob ein Controller der 750-Serie oder ein anderer Nucleus-basierter Controller im Netzwerk vorhanden ist und welche Firmware er ausführt. Wo kein Update verfügbar ist, beschränken oder deaktivieren Sie FTP, Telnet und die Web-Administration, blockieren Sie Port 21 an der Grenze, segmentieren Sie das Steuerungsnetzwerk und setzen Sie Verwaltungsschnittstellen nicht dem Internet aus. Überwachen Sie auf ungewöhnliche Protokollnutzung, wiederholte Abstürze und unerwarteten ausgehenden Datenverkehr – ein Absturz eines Controllers ist ein Signal, nicht nur ein Ausfall.

Die Cloud Security Alliance fügt einen Schritt hinzu, der sich aus der Logik des Experiments selbst ergibt: unabhängig zu überprüfen, ob Schwestermodelle eine Schwachstelle teilen, statt anzunehmen, dass der Patch-Umfang eines Anbieters der tatsächlichen Exposition entspricht. Das ist die Prüfung, die Forescout bei einem Gerätepaar durchgeführt hat, und ihr Argument lautet, dass dieselbe Prüfung in dem Maße günstiger wird, wie es der erste Schritt tut.

Für Teams, die Agenten in der Nähe physischer Systeme einsetzen, ist das Bricking die konkrete Lehre. Forescout empfiehlt, menschliche Expert:innen bei sicherheitskritischen Entscheidungen einzubeziehen und das Vertrauen in autonome Verteidigung „eingeschränkt, beobachtbar und überprüfbar“ zu gestalten – Freigabeschranken vor Schreibzugriffen auf Firmware oder Flash, Rollback, wo vorhanden, und Tests auf Nicht-Produktionshardware, denn auf einem Embedded Controller lässt sich ein fehlerhafter Schreibvorgang nicht rückgängig machen.

Der Bericht wird sich je nach den Erwartungen, die man an ihn hatte, unterschiedlich lesen. Er ist kein Nachweis dafür, dass man ein Modell auf eine Industriesteuerung ansetzen und dann sich selbst überlassen kann; dieselbe Firma, die den Versuch durchgeführt hat, sagt, ein Mensch hätte die Aufgabe schneller und kostengünstiger erledigen können. Was er jedoch zeigt, ist ein bezifferter Preis für den Schritt, der früher einen Spezialisten erforderte: achteinhalb Stunden, fünfhundertfünfunddreißig Dollar, durchgehende fachkundige Aufsicht und ein ausgefallener Controller.