Forescout портировала эксплойт для WAGO PLC с помощью Claude Code за $535.74 — и превратила контроллер в кирпич, пытаясь получить больше

Впервый день сентября 2026 года компании Forescout ResearchVedere Labs опубликовала эксперимент, в котором предоставила Claude Code терминал, инструмент обратной разработки Ghidra, бинарник прошивки и физический WAGO 750-831 контроллер, а затем попросила его портировать эксплойт удалённого выполнения кода до аутентификации, который уже работал на тесно связанном контроллере WAGO 750-852. Модель справилась: она поняла, почему её шеллкод постоянно стирался, изменила последовательность срабатывания и выполнила предоставленный атакующим ARM-шеллкод на реальном оборудовании без учётных данных. Затраты составили 8 часов 32 минуты сессионного времени, распределённого на несколько дней, $535.74 на использование API и непрерывное управление со стороны человека. Более поздняя попытка расширить эксплойт до импланта командования и управления привела к записи в отображённую на флеш-память область памяти и безвозвратно вывела контроллер из строя — собственный тестовый экземпляр исследователей, а не оборудование в полевых условиях. Эксперимент — одна запись в архиве инцидентов ИИ, где хранится полный набор записей, его источники и соседние записи этой серии.

Что Forescout на самом деле передал модели

Условия эксперимента важнее, чем итоговая цифра, потому что именно они определяют, что эксперимент показывает, а что нет. В собственном отчёте Vedere Labs описана интерактивная схема: Claude Code имел в распоряжении терминал, справочные файлы, инструменты анализа, включая Ghidra, и сетевой доступ к работающей целевой системе по адресу 192.168.2.14 — устройству WAGO 750-831 с прошивкой V01.04.16. Исследователи могли вмешаться в любой момент сессии. По данным исследовательской заметки Cloud Security Alliance об этом случае, отладчика и исходного кода прошивки целевого устройства не было.

Эта уязвимость уже была известна и уже задокументирована. CVE-2021-31886 — это переполнение буфера в стеке в Nucleus FTP server, достижимое до аутентификации на TCP-порту 21 путем отправки слишком длинной команды USER, а в рамках более ранней работы Forescout уже был создан рабочий эксплойт для 750-852. The Hacker News сообщает, что оценка CVSS составляет 9.8, присвоенная Siemens, которая поддерживает Nucleus. Исходный бюллетень — это CERT@VDE VDE-2021-050.

Итак, это было не автономное обнаружение уязвимостей. Это был контролируемый перенос: одна известная ошибка, один работающий эталонный эксплойт, одно родственное устройство, эксперт под рукой. Forescout формулирует это точно, и его собственный вывод состоит в том, что барьер остаётся высоким. Эксперимент измеряет предельную стоимость переноса эксплойта с устройства, которое кто-то уже взломал, на следующее устройство в том же семействе — а это, как отмечается в заметке Cloud Security Alliance, и есть шаг, определяющий, означает ли пробел в патчах на одной модели пробел в патчах на всех них.

Восемь часов — и буфер на 256 байт

Первое, что стоит зафиксировать, — это то, какая большая часть сеанса ушла на ошибки. Forescout сообщает, что самый первый промпт модели выявил другую потенциальную уязвимость в FTP, а не CVE-2021-31886; исследователи отложили её, и компания говорит, что ручной анализ позволяет предположить, что это может быть отдельная, ранее не выявленная уязвимость, которой не присвоен CVE. В одном из последующих сеансов не удалось правильно проследить уязвимую функцию, и был получен некорректный эксплойт. Модель выдвигала ложные гипотезы, декомпилировала не относящийся к делу код и исчерпала контекст.

Был получен один промежуточный результат: пейлоад, который вызвал крах 750-831, что доказало, что переполнение достигло второго устройства, но пока не дало контролируемого выполнения. Именно на этом различии — крах против контроля — сессия и застопорилась. Каждый пейлоад, который создавала модель, стирался до того, как успевал выполниться, и причиной оказалась обычная обработка FTP на цели: после чрезмерно длинной команды USER обычная обработка обнуляла 256-байтовый буфер, в котором находился шеллкод атакующего. Forescout сообщает, что для поиска виновника потребовался управляемый человеком анализ цепочки вызовов и sink-точки, и идентифицирует эту процедуру как sub_100BA758.

Исправление заключалось в изменении последовательности. Эксплойт для 750-852 отправлял USER, за которым следовал QUIT. На 750-831 модель переключилась на USER, за которым следовал CWD, и пропустила терминатор CRLF в команде, поэтому путь обработки так и не завершился обычным образом, а буфер сохранялся достаточно долго для выполнения. Затем эксплойт выполнялся в контексте callback-функции приёма Ethernet. Согласно Forescout, продемонстрированная возможность ограничивается отправкой сетевых пакетов.

Когда выполнение кода стало надёжным, темп полностью изменился. Модель перешла от шелл-кода, который ничего не делал, к двум рабочим сетевым полезным нагрузкам за 12 минут: одна отправляла ICMP echo-запросы на хост, контролируемый атакующим, другая представляла собой UDP-пакет со строкой "PWNED". Эта цифра — 12 минут — самое значимое число во всей записи, и именно её в разборе Forescout рассматривают как предостережение: трудным был первый шаг, а последующие шаги давались почти бесплатно.

Счёт: $535.74 за портирование, которое человек, возможно, сделал бы быстрее

На финальном этапе удаленного выполнения кода Forescout сообщает о $535.74, потраченных на использование API за сеанс продолжительностью 8 часов 32 минуты, причем работа была распределена на несколько дней исследований, а не выполнена за один подход. Публикуемые им показатели токенов составляют 2,6 тыс. входных и 1,3 млн выходных.

Такое распределение достаточно необычно, чтобы обратить на него внимание. В ходе длительной сессии агентного программирования обычно преобладает входная сторона, поскольку на каждом шаге модели повторно передаётся растущий контекст; 8,5-часовая сессия, за которую выставлен счёт на 2600 входных токенов, не даёт полного учёта затрат на контекст. Forescout не публикует разбивку, а SecurityWeek, сообщая о том же этапе в тот же день, приводит только «более $500» и вообще не указывает данные по токенам. Общая сумма в долларах — это показатель, который подтверждают оба источника; распределение входных и выходных токенов следует воспринимать в том виде, как оно приведено, а не как полную запись о выставлении счёта.

Стоимость — самая слабая часть аргумента в пользу помощи ИИ, и Forescout сама это признаёт. Согласно собственной оценке компании, исследователь мог бы портировать этот эксплойт «без ИИ за меньшее время и с меньшими затратами, при этом сохранив PLC работающим». Эксперимент не является аргументом в пользу того, что модель дешевле эксперта. Это аргумент о том, в какую сторону движется это сравнение.

Окирпиченный контроллер

Сбой — это та часть этой записи, которая имеет физический результат. После того как было установлено выполнение кода, последующая сессия попыталась превратить эксплойт в имплант для командования и управления. Forescout сообщает, что полезные нагрузки постепенно становились всё сложнее, и одна из них записала данные в область памяти, отображённую на флеш-память. Контроллер был навсегда выведен из строя.

Здесь стоит разграничить три момента. Устройство было собственным тестовым оборудованием исследователей, поэтому ни один оператор не потерял производственную линию, и в архиве не зафиксировано реального ущерба. Повреждение нанёс агент, имевший законный доступ к оборудованию и выполнявший задачу, которую поставили его операторы, — а не злоумышленник. И запись была необратимой в том смысле, в каком плохая строка кода на сервере обычно необратимой не является: флеш-память на встраиваемом контроллере — это не файл, который можно откатить. Формулировка Forescout напрямую вытекает из этого. Непосредственный риск, который она называет, — это не агент, самостоятельно решивший атаковать контроллер, а «авторизованный агент, совершающий неверное действие в физической системе», где сбой имеет операционные последствия.

Что установлено, а что — нет

Архив присваивает этой записи уровень достоверности A и среднюю серьёзность; она не оспаривается, реальный ущерб не зафиксирован — и лежащее в её основе освещение выдерживает проверку по этим критериям. Публикация Forescout является основным источником. SecurityWeek опубликовал собственный отчёт 1 сентября 2026 года, в тот же день; The Hacker News и исследовательская лаборатория Cloud Security Alliance опубликовали свои материалы 2 сентября. Ни один из них не является независимым техническим воспроизведением и не заявляет об этом, но все они сходятся в описании механизма, двух версий модели, стоимости, 12-минутного прогона полезной нагрузки и вывода устройств из строя.

На основании материалов дела установлено:

• Что контролируемое портирование прошло успешно. Эксплойт, срабатывающий до аутентификации, для CVE-2021-31886 был адаптирован с WAGO 750-852 на 750-831 под управлением прошивки V01.04.16, и предоставленный оператором ARM-шеллкод был выполнен на работающем устройстве.

• Механизм. 256-байтовый буфер, обнуляемый при штатной обработке команды USER, переключение с QUIT на CWD и пропущенный терминатор CRLF последовательно описываются Forescout и вторичными источниками.

Показатели финального этапа: 8 часов 32 минуты, $535.74, 2,6 тыс. входных и 1,3 млн выходных токенов, 12 минут от выполнения кода до двух рабочих полезных нагрузок.

• Что расширение C2 превратило контроллер в «кирпич» и что это был тестовый образец.

• Собственный вывод Forescout относительно затрат является отрицательным. В нём прямо говорится, что исследователь-человек, вероятно, мог бы выполнить это портирование быстрее и дешевле, а также без уничтожения оборудования.

Не установлено или находится в противоречии:

• Независимая техническая проверка. Каждое опубликованное сообщение, включая анализ Cloud Security Alliance, восходит к описанию Forescout своей собственной работы. Никто за пределами Forescout не воспроизвёл порт, а отчёт SecurityWeek не содержит независимых экспертных комментариев.

• Календарные даты сессий. Forescout указывает продолжительность, а не даты. Единственная точно установленная дата в материалах — дата публикации, 1 сентября 2026 года.

• Сколько моделей WAGO охватывает соответствующее уведомление. The Hacker News воспроизводит список из десяти затронутых моделей из VDE-2021-050 от CERT@VDE; в заметке Cloud Security Alliance указано число 19. Авторитетным источником является само уведомление, и это расхождение — причина проверить его, а не приводить ни одну из этих цифр.

• Точный учёт входных токенов, как описано выше.

• Что на самом деле сделал неудачный имплант. Forescout сообщает, что полезная нагрузка записала данные в область, отображённую на флеш-память; компания не публикует ни полезную нагрузку, ни адрес, ни последовательность, поэтому «окирпичивание» невозможно восстановить извне.

Со стороны WAGO: обновление недоступно

Причина, по которой перенос на родственную модель важен, заключается в том, что эта родственная модель не будет исправлена. В VDE-2021-050 от CERT@VDE в числе затронутых указаны контроллеры серии 750 под управлением ОС реального времени Nucleus V1, и говорится: «На данный момент обновления для этой версии недоступны». The Hacker News отмечает, что две модели из списка затронутых — 750-882 и 750-885/0xx-xxx — отсутствуют как в разделе рекомендации о мерах по смягчению последствий, так и в её таблице исправлений, из-за чего их статус остаётся неясным.

Siemens, которая поддерживает Nucleus, заявляет, что для Nucleus NET во всех версиях исправления не планируются, сообщает The Hacker News, тогда как выпуски Nucleus ReadyStart V3 начиная с V2013.08.1 уже устраняют CVE-2021-31886. Это слабое утешение для контроллера, в прошивке которого используется более старый стек и производитель которого не опубликовал путь обновления.

Эта уязвимость не нова. CVE-2021-31886 была одной из 13 уязвимостей, обнародованных в ноябре 2021 года под названием NUCLEUS:13 компаниями Forescout и Medigate. The Hacker News также проверила 1 сентября 2026 года, легко ли найти публичный эксплойт для неё: поиск по репозиториям GitHub ничего не дал, а сама уязвимость отсутствовала в Exploit-DB и Packet Storm — с оговоркой, что поиск GitHub охватывает названия и описания репозиториев, а не содержимое файлов. Порт, на создание которого Forescout потратила восемь с половиной часов и более пятисот долларов, не появился путём copy-paste.

Почему Forescout всё равно считает, что линия тренда имеет значение

Вывод Forescout намеренно неброский, и именно эта часть отчёта чаще всего может быть неверно истолкована в ту или иную сторону. «Это можно сделать, но это не так просто, как кажется», — пишет компания. Она отмечает, что её собственное более раннее исследование NUCLEUS:13 пришло к выводу, что эти проблемы, вероятно, не должны стоять в верхней части списка приоритетов владельца активов, и заявляет, что достижения в области ИИ должны побудить организации пересмотреть эту оценку — потому что «сложно эксплуатировать» становится более слабым основанием для понижения приоритета контроллера по мере снижения усилий, необходимых для его эксплуатации.

Заметка Cloud Security Alliance предлагает полезное краткое обозначение этой закономерности: трудный первый шаг, быстрые последующие шаги. Первая адаптация потребовала восьми с половиной часов, экспертного надзора и уничтоженного устройства. Второй и третий пейлоады заняли двенадцать минут. Если первый шаг станет дешевле, соотношение не останется прежним.

Этот аргумент звучит на фоне конкретных обстоятельств, хотя он не связан с экспериментом Forescout и не должен восприниматься как доказательство, относящееся к нему. The Hacker News сообщает, что 19 августа 2026 года АНБ, CISA, ФБР, Министерство энергетики и EPA выпустили совместное предупреждение о созданных с помощью ИИ скриптах эксплуатации, нацеленных на подключённые к интернету ПЛК Siemens S7; агентства оценили, что эта деятельность, вероятно, была направлена на постоянную разведку и развитие возможностей, и не приписали её кому-либо. То же издание сообщает о выявленных ФБР и EPA вторжениях на предприятиях водоснабжения как минимум в семи штатах с 27 июля 2026 года, некоторые из которых нарушили работу; в этих вторжениях атакующие меняли IP-адреса и пароли на подключённых к интернету контроллерах Rockwell Automation MicroLogix, вообще не нуждаясь в эксплойте. В совместном предупреждении отмечалось, что ИИ для генерации эксплойтов «резко сокращает требуемый уровень технической квалификации и время», необходимые для создания рабочих инструментов атак на АСУ ТП.

Что оператору следует извлечь из этого

Практический ответ — неброский, и он не зависит от того, чем закончится спор об ИИ. Определите, есть ли в сети контроллер серии 750 или другой контроллер на базе Nucleus и какая на нём прошивка. Там, где обновления нет, ограничьте или отключите FTP, Telnet и веб-администрирование, заблокируйте порт 21 на границе, сегментируйте сеть управления и не выставляйте интерфейсы управления в интернет. Следите за необычным использованием протоколов, повторяющимися падениями и неожиданным исходящим трафиком — падение контроллера это сигнал, а не просто простой.

Cloud Security Alliance добавляет шаг, который следует из самой логики эксперимента: независимо проверять, есть ли у моделей того же семейства та же уязвимость, вместо того чтобы предполагать, что охват патча поставщика соответствует фактической подверженности. Именно такую проверку Forescout провела на одной паре устройств, и её аргумент состоит в том, что та же проверка становится дешевле по мере удешевления первого шага.

Для команд, использующих агентов рядом с физическими системами, превращение устройств в «кирпичи» — это конкретный урок. Forescout рекомендует сохранять участие экспертов-людей в принятии решений, критичных для безопасности, и сделать доверие к автономной защите «ограниченным, наблюдаемым и проверяемым» — шлюзы утверждения перед записью в прошивку или флеш-память, откат там, где он предусмотрен, и тестирование на непроизводственном оборудовании, потому что на встраиваемом контроллере ошибочная запись не откатывается.

Запись будет читаться по-разному в зависимости от того, чего вы от неё ожидали. Это не демонстрация того, что модель можно навести на промышленный контроллер и оставить без присмотра; та же компания, которая проводила испытание, говорит, что человек справился бы с задачей быстрее и дешевле. Что оно действительно показывает, так это измеренную цену этапа, который раньше требовал специалиста: восемь с половиной часов, пятьсот тридцать пять долларов, постоянный надзор эксперта и один вышедший из строя контроллер.