Forescout、Claude Codeを使ってWAGO PLCのエクスプロイトを535.74ドルで移植——さらなる成果を狙ってコントローラーを文鎮化

に2026年9月1日、Forescout ResearchのVedere Labsは、次の実験を公開した。すなわち、以下を与えた：Claude Codeに端末と、リバースエンジニアリングツールGhidra、ファームウェアバイナリ、そして物理的なWAGO 750-831コントローラーを与え、次に、密接に関連する機器へ、すでに動作していた認証前リモートコード実行エクスプロイトを移植するよう指示した。その機器はWAGO 750-852。モデルはそれを成し遂げた。自身のシェルコードが消去され続ける理由を突き止め、トリガーシーケンスを変更し、認証情報なしで実機上で攻撃者が用意したARMシェルコードを実行した。費用は、8時間32分のセッション時間（数日間に分散）と、$535.74のAPI利用料、そして継続的な人間による誘導だった。後にこのエクスプロイトをコマンドアンドコントロール（C2）インプラントへ拡張しようとした試みは、フラッシュにマッピングされたメモリ領域へ書き込み、コントローラーを恒久的に文鎮化した — これは研究者自身のテストユニットであり、現場の機器ではなかった。この実験はAIインシデントアーカイブ内の1件の記録であり、同アーカイブには完全な記録セット、その出典、およびこのシリーズの隣接エントリが収められている。

Forescoutが実際にモデルに渡したもの

セットアップは見出しの数字よりも重要だ。なぜなら、実験が何を示し、何を示さないかを決めるからだ。Vedere Labs自身の説明は対話型の構成を描写している。Claude Codeにはターミナル、参照ファイル、Ghidraを含む分析ツール、そして192.168.2.14にある稼働中のターゲット、WAGO 750-831へのネットワークアクセスがあった。同機はファームウェアV01.04.16を実行していた。研究者はセッション中の任意の時点で介入できた。Cloud Security Allianceのこの事例に関する調査ノートによると、ターゲットファームウェアにはデバッガもソースコードもなかった。

この欠陥は既に知られており、既に文書化されていました。CVE-2021-31886は、Nucleus FTP serverにおけるスタックベースのバッファオーバーフローであり、TCPポート21上で認証前に過大なUSERコマンドを送信することで到達可能です。また、Forescoutの以前の研究では、750-852向けの動作するエクスプロイトが既に作成されていました。The Hacker NewsはCVSSスコアを9.8と報じており、これはNucleusを保守するSiemensによって割り当てられました。元のアドバイザリはCERT@VDEのVDE-2021-050です。

つまり、これは自律的な脆弱性発見ではなかった。既知のバグ1件、動作する参照エクスプロイト1件、同系デバイス1台、そして専門家の立ち会いのもとで行われた、監督付きの移植作業だった。Forescoutの表現はこの点について正確であり、同社自身の結論も、障壁は依然として高いというものだ。この実験が測っているのは、誰かがすでに破ったデバイスから同一ファミリーの次のデバイスへエクスプロイトを移す際の限界費用であり、Cloud Security Allianceの注記が述べているように、これは、あるモデルにおけるパッチギャップが全モデルにおけるパッチギャップになるかどうかを決める段階である。

8時間、そして256バイトのバッファ

最初に記録しておく価値があるのは、そのセッションのどれだけの時間が間違った方向に費やされたかだ。Forescoutによれば、モデルの最初のプロンプトで表面化したのはCVE-2021-31886ではなく、別の潜在的なFTPバグだった。研究者たちはそれを脇に置き、同社は手作業によるレビューから、それはCVEが割り当てられていない、別個の未特定の脆弱性かもしれないと示唆している。後のあるセッションでは、脆弱な関数を正しく追跡できず、無効なエクスプロイトを生成した。モデルは誤った仮説を追い、無関係なコードを逆コンパイルし、コンテキストを使い果たした。

確かに中間結果は1つ得られた。750-831をクラッシュさせるペイロードであり、これによりオーバーフローが2台目のデバイスに到達したものの、まだ制御された実行には至っていないことが証明された。クラッシュか制御かというこの違いが、セッションが行き詰まった点だった。モデルが構築したすべてのペイロードは実行される前に消去されており、その原因はターゲット側のごく普通のFTP処理だった。過大なUSERコマンドの後、通常の処理によって、攻撃者のシェルコードが入っていた256バイトのバッファがゼロで埋められた。Forescoutによると、原因を突き止めるには呼び出しチェーンとシンクを人手で解析する必要があり、そのルーチンをsub_100BA758。

修正はシーケンスの変更でした。750-852 のエクスプロイトは USER に続いて QUIT を送信しました。750-831 では、モデルは USER に続いてCWDを送る形に切り替え、コマンドの CRLF 終端子を省略したため、処理経路が通常どおり完了せず、バッファは実行されるのに十分な時間生き残りました。その後、エクスプロイトは Ethernet 受信コールバックのコンテキストで実行されました。Forescout によると、実証された機能はネットワークパケットの送信までにとどまります。

コード実行が安定すると、ペースは一変した。モデルは何もしないシェルコードから12分で2つの動作するネットワークペイロードへと移行した。1つは攻撃者が制御するホストへICMPエコー要求を送信するもの、もう1つは文字列「PWNED」を含むUDPパケットを送信するものだった。この12分という数字は記録全体の中で最も重要な数字であり、Forescoutの報告書が警告として扱っているものだ。難しいのは最初の一歩で、その後の段階はほぼ無償だった。

請求額：人間の方がもっと速くできたかもしれない移植に$535.74

最終的なリモートコード実行段階について、Forescoutは$535.74をAPI使用料として8時間32分のセッションにわたり使ったと報告しており、作業は一度に実行するのではなく数日間の研究に分散して行われた。公表しているトークン数は入力2.6kと出力1.3Mである。

その内訳は指摘に値するほど異例だ。長いエージェント型コーディングセッションでは、通常は入力側が支配的になる。モデルにはターンごとに増大するコンテキストが毎回再送されるためだ。8.5時間のセッションが入力2,600トークンとして請求されているのは、コンテキストに要したコストの完全な会計ではない。Forescoutは内訳を公表しておらず、同日に同じ段階を報じたSecurityWeekも「500ドル超」としか伝えておらず、トークン数は一切示していない。ドル総額は両方の報道が裏付ける数字だ。入力/出力の内訳は、完全な請求記録としてではなく、報じられたとおりに読むべきだ。

AI支援を正当化する論拠の中で、コストは最も弱い部分であり、Forescout自身もそう認めている。同社自身の評価は、研究者がこのエクスプロイトを「AIなしでも、より短時間かつ低コストで、しかもPLCを稼働させたまま移植できた可能性がある」というものだ。この実験は、モデルが専門家より安価だという論拠ではない。それは、その比較がどちらの方向に動いているかについての論拠である。

文鎮化したコントローラー

この記録のうち物理的な結果を伴う部分が、その障害です。コード実行が確立された後、後続のセッションがエクスプロイトをコマンドアンドコントロール用インプラントへ拡張しようとしました。Forescoutによると、ペイロードは次第に複雑化し、そのうちの1つはフラッシュにマップされたメモリ領域に書き込みました。コントローラは恒久的に使用不能になりました。

ここでは三つの点を切り分ける価値がある。デバイスは研究者自身のテスト用ハードウェアだったため、運用者が生産ラインを失うことはなく、記録上も実際の被害はない。損害をもたらしたのは、設備への正当なアクセス権を持つエージェントが、運用者から依頼された作業を行った結果であり、攻撃者によるものではない。そして、その書き込みは、サーバー上の一行の不具合コードでは通常そうならない形で不可逆だった。組み込みコントローラ上のフラッシュメモリは、元に戻せるファイルではない。Forescoutの問題設定は、そこから直接導かれる。同社が挙げる差し迫ったリスクは、エージェントが自ら判断してコントローラを攻撃することではなく、失敗が運用上の影響を伴う状況で「認可されたエージェントが物理システム上で誤った操作を行うこと」である。

何が確立されており、何が確立されていないのか

アーカイブはこの記録を、信頼度A、重大度中、異議なし、実際の被害の記録なしと評価しており、その条件において、これを裏付ける報道も妥当性を保っている。Forescoutの記事が主要な説明であり、一次的な記述だ。SecurityWeekは同じ日の2026年9月1日に独自の報道を公開した。The Hacker NewsとCloud Security Allianceの研究ラボはともに9月2日に公開した。これらのいずれも独立した技術的再現ではなく、そう主張してもいないが、メカニズム、2つのモデルバージョン、費用、12分間のペイロード実行、そして文鎮化については一致している。

その記録に基づき、認定する：

• 監督下での移植が成功したこと。CVE-2021-31886 の認証前エクスプロイトを WAGO 750-852 からファームウェア V01.04.16 の 750-831 へ適合させ、オペレーターが提供した ARM シェルコードが稼働中のデバイス上で実行された。

• メカニズム。通常のUSER処理によってゼロ化される256バイトのバッファ、QUITからCWDへの切り替え、および省略されたCRLF終端は、Forescoutと二次報道の両方によって一貫して説明されている。

• 最終段階の数値：8時間32分、$535.74、入力2.6kトークンと出力1.3Mトークン、コード実行から2つの動作するペイロードまで12分。

• C2拡張機能がコントローラーを使用不能にしたこと、およびそれがテスト用ユニットであったこと。

• Forescout自身の評価はコスト面で否定的である。人間の研究者であれば、おそらくこの移植をより速く安価に、しかもハードウェアを破壊せずに完了できたと明確に述べている。

確立されていない、または緊張状態にある：

• 独立した技術的検証。Cloud Security Allianceの分析を含め、公表されたすべての記述は、Forescoutによる自社の取り組みに関する説明に遡る。Forescout以外でそのポートを再現した者はいない。また、SecurityWeekの報道には独立した専門家のコメントが含まれていない。

• セッションのカレンダー上の日付。Forescoutは期間を示しており、日付は示していません。記録上、唯一確実な日付は公開日である2026年9月1日です。

• 基になるアドバイザリが対象としている{{1}}WAGO{{/1}}モデルの数。The Hacker News は CERT@VDE の VDE-2021-050 から、影響を受ける10モデルの一覧を再掲している。Cloud Security Alliance の注記では、その数は19とされている。アドバイザリ自体が権威であり、この不一致はどちらの数値を引用するよりも、アドバイザリを確認すべき理由である。

• 上記で説明したとおりの正確な入力トークンの計上。

• 失敗したインプラントが実際に何を行ったのか。Forescoutによれば、ペイロードがフラッシュにマッピングされた領域に書き込んだが、そのペイロード、アドレス、シーケンスを公開していないため、文鎮化を外部から再現することはできない。

WAGO側：利用可能な更新はありません

兄弟モデルへの移植が重要なのは、その兄弟モデルが修正される予定がないからだ。CERT@VDE の VDE-2021-050 は、Nucleus V1 リアルタイムオペレーティングシステムを実行する 750 シリーズのコントローラを影響を受けるものとして挙げ、次のように述べている：「現時点では、このバージョン向けのアップデートはありません。」The Hacker News は、影響を受けるリストにある 2 つのモデル、750-882 と 750-885/0xx-xxx が、アドバイザリの緩和策セクションと修復表の両方に記載されていないと指摘しており、その状況は不明なままである。

Nucleusを保守しているSiemensは、The Hacker Newsによると、Nucleus NETの全バージョンで修復は計画されていないと述べる一方、Nucleus ReadyStart V3のV2013.08.1以降のリリースではCVE-2021-31886がすでに修正されている。これは、古いスタックをファームウェアに搭載し、ベンダーが更新経路を公表していないコントローラーにとって、ほとんど慰めにならない。

この脆弱性は目新しいものではない。CVE-2021-31886は、2021年11月にForescoutとMedigateによってNUCLEUS:13という名称で公表された13件の脆弱性のうちの1件だった。The Hacker Newsはまた、2026年9月1日に、その公開エクスプロイトコードが簡単に見つかるかどうかを確認した。GitHubのリポジトリ検索では何も返らず、Exploit-DBとPacket Stormにもこの脆弱性は掲載されていなかった。ただし、GitHubの検索対象はファイル内容ではなくリポジトリ名と説明である点には留意が必要だ。Forescoutが8時間半と500ドル以上を費やした移植は、コピー＆ペーストによるものではなかった。

それでもForescoutがトレンドラインを重要だと述べる理由

Forescoutの結論は意図的に地味であり、記録の中でもどちらにも誤読されやすい部分だ。「可能ではあるが、聞こえるほど簡単ではない」と同社は書いている。同社は、以前の自社のNUCLEUS:13調査で、これらの問題は資産所有者の優先事項リストの上位に置くべきではないと結論づけたと指摘し、AIの進歩によって組織はその評価を見直すべきだと述べている。なぜなら、悪用に必要な労力が下がるにつれて、「悪用が難しい」ことはコントローラーの優先度を下げる理由としては弱くなるからだ。

Cloud Security Allianceの注記は、このパターンに有用な略記を与えている。最初の一歩は難しく、以降のステップは速い。最初の適応には8時間半、専門家による監督、そして破壊されたデバイス1台を要した。2回目と3回目のペイロードは12分で済んだ。最初の一歩が安価になれば、その比率は現状のままにはとどまらない。

その主張は特定の背景に照らせば説得力を持つが、Forescoutの実験とは別個のものであり、それに関する証拠として読むべきではない。The Hacker Newsは、2026年8月19日にNSA、CISA、FBI、エネルギー省、EPAが、インターネットに公開されたSiemens S7 PLCを標的とするAI生成の悪用スクリプトについて警告する共同勧告を発出したと報じている。当局は、この活動が持続的な偵察と能力開発を目的としていた可能性が高いと評価し、帰属は示さなかった。同じ媒体は、2026年7月27日以降、少なくとも7州の水道事業者への侵入をFBIとEPAが確認したと報じており、その一部では運用が低下した。攻撃者は、インターネットに面したRockwell Automation MicroLogixコントローラのIPアドレスとパスワードを、悪用を一切必要とせずに変更していた。共同勧告は、悪用生成のためのAIが、実用的なICS攻撃ツールを構築するために必要な「技術的専門知識と時間を劇的に削減している」と警告した。

運用担当者がそこから何を汲み取るべきか

現実的な対応は地味なものであり、AIに関する議論がどう決着するかには左右されない。ネットワーク上に750シリーズまたはその他のNucleusベースのコントローラが存在するか、またそれがどのファームウェアで動作しているかを特定する。更新が存在しない場合は、FTP、Telnet、Web管理を制限または無効化し、境界でポート21をブロックし、制御ネットワークをセグメント化し、管理インターフェースをインターネットに公開しない。異常なプロトコル使用、繰り返し発生するクラッシュ、予期しない外向き通信を監視する。コントローラのクラッシュは単なる停止ではなく、兆候である。

Cloud Security Allianceは、実験自体の論理から導かれる手順を追加している。それは、ベンダーのパッチ適用範囲が実際の露出と一致すると仮定するのではなく、同シリーズのモデルが脆弱性を共有しているかどうかを独立に検証することだ。それがForescoutが1組のデバイスに対して実行した検査であり、その主張は、最初のステップが安価になるにつれて同じ検査も安価になるというものだ。

物理システムの近くでエージェントを利用するチームにとって、この文鎮化は具体的な教訓となる。Forescoutの推奨は、安全性が重要な意思決定には人間の専門家を関与させ続けること、そして自律型防御への信頼を「制約され、観測可能で、検証可能」なものにすることだ。すなわち、ファームウェアやフラッシュへの書き込み前の承認ゲート、存在する場合はロールバック、そして非本番ハードウェアでのテストである。なぜなら、組み込みコントローラでは誤った書き込みはロールバックできないからだ。

この記録の受け取り方は、何を期待して読むかによって変わる。モデルを産業用コントローラに向けて放置できることを示す実証ではない。実施した同じ企業も、人間ならより速く、より安くその作業をこなせたはずだと言っている。示しているのは、かつて専門家を必要とした工程にかかる、測定されたコストだ。8時間半、535ドル、継続的な専門家の監督、そして壊れたコントローラ1台である。