A Forescout portou um exploit de PLC WAGO com o Claude Code por US$ 535,74 — e brickou o controlador ao tentar ir além

Em 1 de setembro de 2026, a Forescout Research, por meio do Vedere Labs, publicou um experimento no qual forneceu ao Claude Code um terminal, a ferramenta de engenharia reversa Ghidra, um binário de firmware e um controlador físico WAGO 750-831, e então pediu que ele portasse um exploit de execução remota de código pré-autenticação que já funcionava no WAGO 750-852, intimamente relacionado. O modelo conseguiu: descobriu por que seu shellcode continuava sendo apagado, alterou a sequência de acionamento e executou shellcode ARM fornecido pelo atacante em hardware real sem credenciais. O custo foi 8 horas e 32 minutos de tempo de sessão distribuído ao longo de vários dias, US$ 535,74 em uso de API e supervisão humana contínua. Uma tentativa posterior de estender o exploit para um implante de comando e controle gravou em uma região de memória mapeada em flash e inutilizou permanentemente o controlador — a própria unidade de teste dos pesquisadores, não equipamento em campo. O experimento é um registro no arquivo de incidentes de IA, que contém o conjunto completo de registros, suas fontes e as entradas vizinhas nesta série.

O que a Forescout realmente entregou ao modelo

A configuração importa mais do que o número de destaque, porque determina o que o experimento demonstra e o que não demonstra. O relato da própria Vedere Labs descreve um arranjo interativo: o Claude Code tinha um terminal, os arquivos de referência, ferramentas de análise, incluindo o Ghidra, e acesso de rede a um alvo ativo em 192.168.2.14 — um WAGO 750-831 executando firmware V01.04.16. Os pesquisadores podiam intervir a qualquer momento durante a sessão. Não havia depurador nem código-fonte do firmware do alvo, de acordo com a nota de pesquisa da Cloud Security Alliance sobre o caso.

A falha já era conhecida e já estava documentada. CVE-2021-31886 é um estouro de buffer baseado em pilha no servidor FTP Nucleus, alcançável antes da autenticação na porta TCP 21 pelo envio de um comando USER de tamanho excessivo, e o trabalho anterior da Forescout já havia produzido um exploit funcional para o 750-852. O The Hacker News relata a pontuação CVSS como 9.8, atribuída pela Siemens, que mantém o Nucleus. O comunicado original é o VDE-2021-050 do CERT@VDE.

Portanto, isto não foi descoberta autônoma de vulnerabilidades. Foi um porte supervisionado: um bug conhecido, um exploit de referência funcional, um dispositivo irmão, um especialista à disposição. A linguagem da Forescout é precisa quanto a isso, e sua própria conclusão é que a barreira continua alta. O que o experimento mede é o custo marginal de mover um exploit de um dispositivo que alguém já comprometeu para o próximo dispositivo da mesma família — o que, como observa a nota da Cloud Security Alliance, é a etapa que decide se uma lacuna de correção em um modelo é uma lacuna de correção em todos eles.

Oito horas, e um buffer de 256 bytes

A primeira coisa que vale registrar é quanto da sessão foi gasto em erro. A Forescout diz que o primeiro prompt do modelo revelou um possível bug de FTP diferente, não o CVE-2021-31886; os pesquisadores o deixaram de lado, e a empresa diz que uma revisão manual sugere que pode ser uma vulnerabilidade separada, anteriormente não identificada, sem CVE atribuído. Uma sessão posterior não conseguiu rastrear a função vulnerável corretamente e produziu um exploit inválido. O modelo perseguiu hipóteses falsas, descompilou código não relacionado e ficou sem contexto.

Obteve, sim, um resultado intermediário: um payload que derrubou o 750-831, o que provou que o overflow chegou ao segundo dispositivo sem, contudo, proporcionar execução controlada. É nessa distinção — crash versus controle — que a sessão travou. Todo payload construído pelo modelo estava sendo apagado antes de poder ser executado, e a razão acabou sendo o tratamento comum de FTP no alvo: após o comando USER superdimensionado, o processamento normal zerava um buffer de 256 bytes que continha o shellcode do atacante. A Forescout afirma que encontrar o culpado exigiu análise conduzida por humanos da cadeia de chamadas e do sink, e identifica a rotina como sub_100BA758.

A correção foi uma mudança de sequência. O exploit 750-852 enviava USER seguido de QUIT. No 750-831, o modelo passou a usar USER seguido de CWD, e omitiu o terminador CRLF no comando, de modo que o caminho de processamento nunca foi concluído da maneira usual e o buffer sobreviveu tempo suficiente para ser executado. O exploit então foi executado no contexto do callback de recebimento Ethernet. De acordo com a Forescout, a capacidade demonstrada limita-se ao envio de pacotes de rede.

Quando a execução de código se tornou confiável, o ritmo mudou completamente. O modelo passou de shellcode no-op para dois payloads de rede funcionais em 12 minutos: um enviando solicitações de eco ICMP para um host controlado pelo atacante, o outro um pacote UDP contendo a string "PWNED". Esse número de 12 minutos é o número mais decisivo de todo o registro, e é o que o relatório da Forescout trata como o alerta — a parte difícil foi o primeiro passo, e os passos seguintes foram quase gratuitos.

A conta: US$ 535,74 por um porte que um humano talvez tivesse feito mais rápido

Para o estágio final de execução remota de código, a Forescout relata $535,74 em uso de API ao longo de uma sessão de 8 horas e 32 minutos, com o trabalho distribuído ao longo de vários dias de pesquisa, em vez de ser executado de uma só vez. Os números de tokens que ela publica são 2,6 mil de entrada e 1,3 milhão de saída.

Essa divisão é incomum o suficiente para chamar atenção. Em uma longa sessão de codificação agêntica, o lado de entrada normalmente domina, porque o modelo recebe novamente um contexto crescente a cada turno; uma sessão de 8,5 horas cobrada a 2.600 tokens de entrada não é uma contabilização completa do custo do contexto. A Forescout não publica nenhum detalhamento, e a SecurityWeek, que reporta a mesma etapa no mesmo dia, fornece apenas "mais de US$ 500" e nenhum número de tokens. O total em dólares é o número que ambos os relatos sustentam; a divisão entrada/saída deve ser lida conforme relatado, não como um registro completo de cobrança.

O custo é a parte mais fraca do argumento a favor da assistência de IA, e a própria Forescout admite isso. A avaliação da própria empresa é que um pesquisador poderia ter portado este exploit "sem IA em menos tempo e a um custo menor, mantendo também o PLC ativo". O experimento não é um argumento de que o modelo seja mais barato que um especialista. É um argumento sobre a direção em que essa comparação está se movendo.

O controle brickado

A falha é a parte deste registro com um resultado físico. Depois que a execução de código foi estabelecida, uma sessão subsequente tentou estender o exploit para transformá-lo em um implante de comando e controle. A Forescout afirma que os payloads ficaram progressivamente mais complexos, e um deles gravou em uma região de memória mapeada para a flash. O controlador foi permanentemente inutilizado.

Três coisas merecem ser distinguidas aqui. O dispositivo era o hardware de teste dos próprios pesquisadores, então nenhum operador perdeu uma linha de produção e o arquivo não registra nenhum dano real. O dano foi causado por um agente com acesso legítimo ao equipamento, executando uma tarefa que seus operadores haviam solicitado — não por um atacante. E a gravação foi irreversível de um modo que uma linha de código ruim em um servidor normalmente não é: flash em um controlador embarcado não é um arquivo que você pode reverter. O enquadramento da Forescout decorre diretamente disso. O risco imediato que ela nomeia não é um agente decidindo por conta própria atacar um controlador, mas "um agente autorizado tomando a ação errada em um sistema físico", onde a falha tem consequências operacionais.

O que está estabelecido e o que não está

O arquivo classifica este registro com confiança A, severidade média, não contestado e sem nenhum dano real registrado — e a reportagem por trás dele se sustenta nesses termos. O texto da Forescout é o relato principal. A SecurityWeek publicou seu próprio relatório em 1º de setembro de 2026, no mesmo dia; The Hacker News e o laboratório de pesquisa da Cloud Security Alliance publicaram em 2 de setembro. Nenhum deles é uma replicação técnica independente, e nenhum afirma ser, mas concordam quanto ao mecanismo, às duas versões do modelo, ao custo, à execução do payload de 12 minutos e ao bricking.

Estabelecido, com base nesse registro:

• Que uma portagem supervisionada foi bem-sucedida. Um exploit de pré-autenticação para a CVE-2021-31886 foi adaptado do WAGO 750-852 para um 750-831 com firmware V01.04.16, e o shellcode ARM fornecido pelo operador foi executado no dispositivo em funcionamento.

• O mecanismo. O buffer de 256 bytes sendo zerado pela manipulação normal de USER, a troca de QUIT para CWD e o terminador CRLF omitido são descritos de forma consistente pela Forescout e pela cobertura secundária.

• Os números da etapa final: 8 horas e 32 minutos, US$ 535,74, 2,6 mil tokens de entrada e 1,3 milhão de tokens de saída, 12 minutos da execução do código até dois payloads funcionais.

• Que a extensão C2 inutilizou um controlador e que se tratava de uma unidade de teste.

• Que o próprio veredito da Forescout é negativo em relação ao custo. Ele afirma claramente que um pesquisador humano provavelmente poderia ter realizado este porte de forma mais rápida e barata, e sem destruir o hardware.

Não estabelecido, ou em tensão:

• Validação técnica independente. Todos os relatos publicados, incluindo a análise da Cloud Security Alliance, remontam à descrição que a Forescout faz do seu próprio trabalho. Ninguém fora da Forescout reproduziu a porta, e a reportagem da SecurityWeek não traz nenhum comentário de especialista independente.

As datas de calendário das sessões. A Forescout fornece durações, não datas. A única data firme no registro é a data de publicação, 1 de setembro de 2026.

• Quantos modelos WAGO o aviso subjacente abrange. O Hacker News reproduz uma lista de dez modelos afetados do VDE-2021-050 do CERT@VDE; a nota da Cloud Security Alliance indica o número 19. O próprio aviso é a autoridade, e a discrepância é motivo para verificá-lo em vez de citar qualquer um dos dois números.

• A contabilização exata dos tokens de entrada, conforme descrito acima.

• O que o implante malsucedido realmente fez. A Forescout afirma que um payload gravou em uma região mapeada em flash; ela não publica o payload, o endereço nem a sequência, então o bricking não pode ser reconstruído de fora.

Do lado da WAGO: nenhuma atualização disponível

O motivo pelo qual portar para um modelo irmão é importante é que o modelo irmão não será corrigido. O VDE-2021-050 do CERT@VDE lista os controladores da série 750 que executam o sistema operacional de tempo real Nucleus V1 como afetados e afirma: "No momento, não há atualizações disponíveis para esta versão." O The Hacker News observa que dois modelos da lista de afetados, o 750-882 e o 750-885/0xx-xxx, estão ausentes tanto da seção de mitigações do aviso quanto de sua tabela de remediação, deixando seu status incerto.

A Siemens, que mantém o Nucleus, afirma que nenhuma correção está planejada para o Nucleus NET em todas as versões, segundo o The Hacker News, enquanto as versões do Nucleus ReadyStart V3 a partir da V2013.08.1 já corrigem a CVE-2021-31886. Isso é pouco consolo para um controlador cujo firmware traz a pilha mais antiga e cujo fornecedor não publicou nenhum caminho de atualização.

A falha não é nova. A CVE-2021-31886 foi uma de 13 vulnerabilidades divulgadas em novembro de 2021 sob o nome NUCLEUS:13 pela Forescout e pela Medigate. O The Hacker News também verificou, em 1 de setembro de 2026, se era fácil encontrar código de exploit público para ela: uma busca em repositórios do GitHub não retornou nada, e a falha estava ausente do Exploit-DB e do Packet Storm — com a ressalva de que a busca do GitHub abrange nomes e descrições de repositórios, e não o conteúdo dos arquivos. Um port que exigiu da Forescout oito horas e meia e mais de quinhentos dólares não saiu de um copiar e colar.

Por que a Forescout diz que a linha de tendência importa de qualquer forma

A conclusão da Forescout é deliberadamente pouco empolgante, e é a parte do registro mais suscetível a interpretações equivocadas em qualquer direção. “É possível fazer isso, mas não é tão fácil quanto parece”, escreve a empresa. Ela observa que sua própria pesquisa anterior, NUCLEUS:13, concluiu que essas questões provavelmente não deveriam ficar perto do topo da lista de prioridades de um proprietário de ativos, e afirma que os avanços em IA devem levar as organizações a revisitar essa avaliação — porque “difícil de explorar” se torna uma razão mais fraca para deixar um controlador em segundo plano à medida que diminui o esforço necessário para explorá-lo.

A nota da Cloud Security Alliance fornece a abreviação útil para o padrão: primeiro passo difícil, passos subsequentes rápidos. A primeira adaptação custou oito horas e meia, supervisão especializada e um dispositivo destruído. O segundo e o terceiro payloads levaram doze minutos. Se o primeiro passo ficar mais barato, a proporção não permanece onde está.

Esse argumento se aplica a um pano de fundo específico, embora seja separado do experimento da Forescout e não deva ser lido como evidência sobre ele. O Hacker News relata que, em 19 de agosto de 2026, a NSA, a CISA, o FBI, o Departamento de Energia e a EPA emitiram um alerta conjunto sobre scripts de exploração gerados por IA voltados a CLPs Siemens S7 expostos à internet; as agências avaliaram que a atividade provavelmente se destinava a reconhecimento persistente e desenvolvimento de capacidades, e não a atribuíram. O mesmo veículo relata conclusões do FBI e da EPA sobre invasões em estações de tratamento de água em pelo menos sete estados desde 27 de julho de 2026, algumas das quais degradaram operações, nas quais os atacantes alteraram endereços IP e senhas em controladores Rockwell Automation MicroLogix voltados para a internet sem sequer precisar de um exploit. O alerta conjunto advertiu que a IA para geração de exploits estava "reduzindo drasticamente a expertise técnica e o tempo necessários" para construir ferramentas de ataque a ICS funcionais.

O que um operador deve tirar disso

A resposta prática é a pouco glamourosa, e não depende de como a discussão sobre IA se resolve. Identifique se há algum controlador da série 750 ou outro baseado em Nucleus na rede e qual firmware ele executa. Onde não houver atualização, restrinja ou desative FTP, Telnet e administração web, bloqueie a porta 21 na fronteira, segmente a rede de controle e não exponha interfaces de gerenciamento à internet. Monitore uso incomum de protocolos, travamentos repetidos e tráfego de saída inesperado — um travamento em um controlador é um sinal, não apenas uma indisponibilidade.

A Cloud Security Alliance acrescenta uma etapa que decorre da própria lógica do experimento: verificar de forma independente se modelos irmãos compartilham uma vulnerabilidade, em vez de presumir que o escopo do patch de um fornecedor corresponde à exposição real. Essa é a verificação que a Forescout executou em um par de dispositivos, e seu argumento é que a mesma verificação fica mais barata à medida que a primeira etapa fica.

Para equipes que usam agentes próximos a sistemas físicos, o bricking é a lição concreta. A recomendação da Forescout é manter especialistas humanos no circuito para decisões críticas para a segurança e tornar a confiança na defesa autônoma "limitada, observável e verificável" — portões de aprovação antes de gravações no firmware ou na flash, rollback onde ele existe e testes em hardware que não seja de produção, porque, em um controlador embarcado, uma gravação errada não é revertida.

O registro será interpretado de forma diferente dependendo do que você esperava dele. Não é uma demonstração de que um modelo pode ser apontado para um controlador industrial e deixado sem supervisão; a própria empresa que executou o teste diz que uma pessoa poderia ter feito o trabalho mais rápido e com menos custo. O que ele mostra é um custo mensurado para a etapa que antes exigia um especialista: oito horas e meia, quinhentos e trinta e cinco dólares, supervisão especializada contínua e um controlador inutilizado.