Forescout đã port một exploit WAGO PLC bằng Claude Code với chi phí 535,74 USD — và biến bộ điều khiển thành cục gạch khi cố gắng làm nhiều hơn

Vào ngày 1 tháng 9 năm 2026 của Forescout ResearchVedere Labs đã công bố một thử nghiệm, trong đó nhóm đã cung cấp cho Claude Code một terminal, công cụ dịch ngược Ghidra, một tệp nhị phân firmware và một WAGO 750-831 bộ điều khiển vật lý, rồi yêu cầu nó chuyển một exploit thực thi mã từ xa trước xác thực vốn đã hoạt động trên WAGO 750-852. Mô hình đã làm được: nó tìm ra vì sao shellcode của mình liên tục bị xóa, thay đổi chuỗi kích hoạt và thực thi shellcode ARM do kẻ tấn công cung cấp trên phần cứng thật mà không cần thông tin đăng nhập. Chi phí là 8 giờ 32 phút thời gian phiên trải rộng qua nhiều ngày, $535.74 chi phí sử dụng API và sự điều hướng liên tục của con người. Một nỗ lực sau đó nhằm mở rộng exploit thành implant chỉ huy và điều khiển đã ghi vào một vùng bộ nhớ ánh xạ flash và làm hỏng vĩnh viễn bộ điều khiển — đơn vị thử nghiệm của chính các nhà nghiên cứu, không phải thiết bị ngoài thực địa. Thử nghiệm này là một bản ghi trong kho lưu trữ sự cố AI, nơi lưu giữ bộ bản ghi đầy đủ, các nguồn của nó và các mục lân cận trong loạt bài này.

Forescout thực sự đã đưa gì cho mô hình

Cách thiết lập quan trọng hơn con số nổi bật, vì nó quyết định thí nghiệm cho thấy và không cho thấy điều gì. Bài tường thuật của chính Vedere Labs mô tả một cách sắp xếp tương tác: Claude Code có một terminal, các tệp tham chiếu, công cụ phân tích bao gồm Ghidra, và quyền truy cập mạng tới một mục tiêu trực tiếp tại 192.168.2.14 — một WAGO 750-831 chạy firmware V01.04.16. Các nhà nghiên cứu có thể can thiệp tại bất kỳ thời điểm nào trong phiên. Không có trình gỡ lỗi và không có mã nguồn cho firmware mục tiêu, theo ghi chú nghiên cứu của Cloud Security Alliance về trường hợp này.

Lỗ hổng này đã được biết đến và đã được ghi nhận từ trước. CVE-2021-31886 là một lỗi tràn bộ đệm dựa trên ngăn xếp trong Nucleus FTP server, có thể truy cập được trước khi xác thực trên cổng TCP 21 bằng cách gửi một lệnh USER có kích thước quá lớn, và công trình trước đó của Forescout đã tạo ra một mã khai thác hoạt động cho 750-852. The Hacker News báo cáo điểm CVSS là 9.8, do Siemens gán, đơn vị duy trì Nucleus. Khuyến cáo gốc thuộc CERT@VDE: VDE-2021-050.

Vậy đây không phải là khám phá lỗ hổng tự động. Đó là một bản port có giám sát: một lỗi đã biết, một exploit tham chiếu đang hoạt động, một thiết bị cùng dòng, và một chuyên gia túc trực. Cách diễn đạt của Forescout chính xác về điểm này, và kết luận của chính họ là rào cản vẫn còn cao. Thí nghiệm đo lường điều gì? Chi phí cận biên của việc chuyển một exploit từ một thiết bị mà ai đó đã phá được sang thiết bị tiếp theo trong cùng một họ — mà như ghi chú của Cloud Security Alliance nói, chính là bước quyết định liệu khoảng trống vá trên một mẫu có phải là khoảng trống vá trên tất cả chúng hay không.

Tám giờ, và một bộ đệm 256 byte

Điều đầu tiên đáng ghi lại là phiên làm việc đã dành bao nhiêu thời gian cho việc sai. Forescout cho biết lời nhắc đầu tiên của mô hình đã làm lộ ra một lỗi FTP tiềm ẩn khác, không phải CVE-2021-31886; các nhà nghiên cứu đã gác nó lại, và công ty nói rằng việc đánh giá thủ công cho thấy đó có thể là một lỗ hổng riêng biệt, chưa từng được nhận diện trước đây và chưa được gán CVE. Một phiên sau đó đã không lần theo hàm dễ bị tổn thương một cách chính xác và tạo ra một exploit không hợp lệ. Mô hình đã theo đuổi các giả thuyết sai, dịch ngược mã không liên quan và hết ngữ cảnh.

Nó đã có được một kết quả trung gian: một payload làm sập 750-831, điều này chứng minh phần tràn đã chạm tới thiết bị thứ hai mà chưa tạo ra được thực thi có kiểm soát. Sự khác biệt đó — sập so với kiểm soát — là chỗ mà phiên làm việc bị đình trệ. Mọi payload mà mô hình tạo ra đều bị xóa trước khi có thể chạy, và lý do hóa ra là cách xử lý FTP thông thường trên mục tiêu: sau lệnh USER quá khổ, quá trình xử lý bình thường đã đặt về 0 một bộ đệm 256 byte chứa shellcode của kẻ tấn công. Forescout cho biết việc tìm ra thủ phạm đòi hỏi phân tích do con người dẫn dắt đối với chuỗi gọi và sink, và xác định thường trình là sub_100BA758.

Bản sửa lỗi là một thay đổi về trình tự. Khai thác 750-852 gửi USER rồi QUIT. Trên 750-831, mẫu đã chuyển sang USER rồi CWD, và bỏ qua ký tự kết thúc CRLF trên lệnh, nên luồng xử lý không bao giờ hoàn tất theo cách thông thường và bộ đệm tồn tại đủ lâu để thực thi. Sau đó khai thác chạy trong ngữ cảnh gọi lại nhận Ethernet. Theo Forescout, khả năng được trình diễn chỉ dừng ở việc gửi các gói mạng.

Khi việc thực thi mã đã ổn định, nhịp độ đã thay đổi hoàn toàn. Mô hình đã đi từ shellcode không làm gì đến hai payload mạng hoạt động được trong 12 phút: một cái gửi các yêu cầu echo ICMP đến một máy chủ do kẻ tấn công kiểm soát, cái còn lại là một gói UDP chứa chuỗi "PWNED". Con số 12 phút đó là con số quan trọng nhất trong toàn bộ hồ sơ, và đó là con số mà bài viết của Forescout coi là lời cảnh báo — phần khó là bước đầu tiên, còn các bước sau gần như không tốn gì.

Hóa đơn: $535.74 cho một bản port mà con người có thể đã làm nhanh hơn.

Ở giai đoạn thực thi mã từ xa cuối cùng, Forescout báo cáo $535.74 chi phí sử dụng API trong một phiên kéo dài 8 giờ 32 phút, với công việc được trải qua nhiều ngày nghiên cứu thay vì chạy trong một lần ngồi. Các số liệu token mà nó công bố là 2,6k đầu vào và 1,3M đầu ra.

Sự phân tách đó đủ bất thường để đáng lưu ý. Trong một phiên lập trình tác tử kéo dài, phía đầu vào thường chiếm ưu thế, vì mô hình được gửi lại một ngữ cảnh ngày càng lớn ở mỗi lượt; một phiên 8,5 giờ được tính phí ở 2.600 token đầu vào không phải là bản kê toán đầy đủ về chi phí ngữ cảnh. Forescout không công bố bản phân tách nào, và SecurityWeek, khi đưa tin về cùng giai đoạn vào cùng ngày, chỉ đưa ra “hơn 500 đô la” và hoàn toàn không có số liệu token. Tổng số đô la là con số mà cả hai nguồn đưa tin đều củng cố; tỷ lệ phân tách đầu vào/đầu ra nên được đọc như được báo cáo, chứ không phải như một bản ghi tính phí đầy đủ.

Chi phí là phần yếu nhất trong lập luận ủng hộ hỗ trợ của AI, và chính Forescout cũng nói vậy. Đánh giá của chính công ty là một nhà nghiên cứu có thể đã chuyển exploit này "mà không cần AI trong ít thời gian hơn và với chi phí thấp hơn, đồng thời vẫn giữ cho PLC hoạt động." Thí nghiệm này không phải là lập luận rằng mô hình rẻ hơn một chuyên gia. Nó là lập luận về hướng mà so sánh đó đang dịch chuyển.

Tay cầm bị brick

Sự cố hỏng hóc là phần của bản ghi này có kết quả vật lý. Sau khi đã thiết lập được việc thực thi mã, một phiên tiếp theo đã cố gắng mở rộng khai thác thành một implant chỉ huy và điều khiển. Forescout cho biết các payload ngày càng phức tạp dần, và một trong số đó đã ghi vào một vùng bộ nhớ được ánh xạ tới flash. Bộ điều khiển đã bị hỏng vĩnh viễn.

Có ba điều đáng tách bạch ở đây. Thiết bị là phần cứng thử nghiệm của chính các nhà nghiên cứu, nên không người vận hành nào mất một dây chuyền sản xuất và hồ sơ lưu trữ không ghi nhận thiệt hại thực tế nào. Thiệt hại do một tác nhân có quyền truy cập hợp pháp vào thiết bị gây ra, khi thực hiện một tác vụ mà những người vận hành đã yêu cầu — không phải do kẻ tấn công. Và thao tác ghi là không thể đảo ngược theo cách mà một dòng mã lỗi trên máy chủ thường không như vậy: flash trên một bộ điều khiển nhúng không phải là một tệp mà bạn có thể hoàn nguyên. Cách đặt vấn đề của Forescout tiếp nối trực tiếp từ đó. Rủi ro trước mắt mà hãng nêu tên không phải là một tác nhân tự quyết định tấn công bộ điều khiển, mà là "một tác nhân được cấp quyền thực hiện sai hành động trên một hệ thống vật lý", nơi thất bại gây hậu quả vận hành.

Những gì đã được xác lập, và những gì chưa.

Cơ sở lưu trữ chấm bản ghi này mức tin cậy A, mức độ nghiêm trọng trung bình, không bị tranh cãi, không ghi nhận thiệt hại thực sự — và phần đưa tin đằng sau nó vẫn đứng vững theo những tiêu chí đó. Bài viết của Forescout là nguồn tường thuật chính. SecurityWeek đăng báo cáo riêng của mình vào ngày 1 tháng 9 năm 2026, cùng ngày; The Hacker News và phòng nghiên cứu của Cloud Security Alliance đều đăng vào ngày 2 tháng 9. Không nguồn nào trong số đó là một bản sao kỹ thuật độc lập, và không nguồn nào tự nhận là như vậy, nhưng chúng thống nhất về cơ chế, hai phiên bản mô hình, chi phí, quá trình chạy payload 12 phút và việc làm hỏng thiết bị không thể khôi phục.

Đã được xác lập, theo hồ sơ đó:

• Rằng một bản port được giám sát đã thành công. Một exploit tiền xác thực cho CVE-2021-31886 đã được chuyển thể từ WAGO 750-852 sang 750-831 trên firmware V01.04.16, và shellcode ARM do người vận hành cung cấp đã được thực thi trên thiết bị đang hoạt động.

• Cơ chế. Việc bộ đệm 256 byte bị đặt về 0 bởi xử lý USER thông thường, việc chuyển từ QUIT sang CWD, và việc thiếu dấu kết thúc CRLF được Forescout và các nguồn tin thứ cấp mô tả nhất quán.

• Các con số cho giai đoạn cuối: 8 giờ 32 phút, $535.74, 2.6k token đầu vào và 1.3M token đầu ra, 12 phút từ lúc thực thi mã đến hai payload hoạt động.

• Việc tiện ích mở rộng C2 đã làm hỏng một bộ điều khiển, và rằng đó là một thiết bị thử nghiệm.

• Đánh giá của chính Forescout là tiêu cực về mặt chi phí. Tổ chức này nói thẳng rằng một nhà nghiên cứu con người có thể đã thực hiện việc port này nhanh hơn và rẻ hơn, đồng thời không làm hỏng phần cứng.

Chưa được xác lập, hoặc đang có mâu thuẫn:

• Đánh giá kỹ thuật độc lập. Mọi bài viết đã công bố, kể cả phân tích của Cloud Security Alliance, đều bắt nguồn từ mô tả của Forescout về công trình của chính họ. Không ai ngoài Forescout đã tái tạo được cổng này, và báo cáo của SecurityWeek không có bình luận của chuyên gia độc lập.

• Ngày trên lịch của các phiên. Forescout cung cấp thời lượng, không phải ngày. Ngày chắc chắn duy nhất trong hồ sơ là ngày công bố, 1 tháng 9 năm 2026.

• Bản tư vấn gốc đề cập đến bao nhiêu mẫu WAGO. The Hacker News sao chép lại danh sách mười mẫu bị ảnh hưởng từ VDE-2021-050 của CERT@VDE; ghi chú của Cloud Security Alliance đưa ra con số là 19. Bản thân bản tư vấn là nguồn có thẩm quyền, và sự khác biệt này là lý do để kiểm tra bản tư vấn đó thay vì trích dẫn một trong hai con số.

• Cách tính toán chính xác token đầu vào, như được mô tả ở trên.

• Những gì implant thất bại thực sự đã làm. Forescout cho biết một payload đã ghi vào vùng được ánh xạ flash; họ không công bố payload, địa chỉ hay trình tự, nên không thể tái dựng việc thiết bị bị brick từ bên ngoài.

Phía WAGO: không có bản cập nhật nào

Lý do việc chuyển sang một mô hình anh em lại quan trọng là vì mô hình anh em đó sẽ không được sửa. VDE-2021-050 của CERT@VDE liệt kê các bộ điều khiển dòng 750 chạy hệ điều hành thời gian thực Nucleus V1 là đối tượng bị ảnh hưởng, và nêu rõ: "Hiện tại, không có bản cập nhật nào cho phiên bản này." Hacker News lưu ý rằng hai mô hình trong danh sách bị ảnh hưởng, 750-882 và 750-885/0xx-xxx, không có mặt trong cả phần giảm thiểu và bảng khắc phục của khuyến cáo, khiến tình trạng của chúng không rõ ràng.

Siemens, đơn vị duy trì Nucleus, cho biết không có kế hoạch khắc phục nào cho Nucleus NET trên tất cả các phiên bản, theo The Hacker News, trong khi các bản phát hành Nucleus ReadyStart V3 từ V2013.08.1 trở đi đã khắc phục CVE-2021-31886. Đó là một niềm an ủi nhỏ đối với một bộ điều khiển mà firmware của nó vẫn dùng bộ giao thức cũ và nhà cung cấp của nó chưa công bố lộ trình cập nhật nào.

Lỗ hổng này không phải mới. CVE-2021-31886 là một trong 13 lỗ hổng được Forescout và Medigate công bố vào tháng 11 năm 2021 dưới tên NUCLEUS:13. The Hacker News cũng đã kiểm tra, vào ngày 1 tháng 9 năm 2026, xem liệu mã khai thác công khai cho lỗ hổng này có dễ tìm hay không: tìm kiếm trên kho GitHub không trả về kết quả nào, và lỗ hổng không có trên Exploit-DB và Packet Storm — kèm theo lưu ý rằng tìm kiếm của GitHub chỉ bao quát tên và mô tả kho, chứ không phải nội dung tệp. Một bản port mà Forescout mất tám tiếng rưỡi và hơn năm trăm đô la để thực hiện đã không đến từ việc sao chép-dán.

Vì sao Forescout cho rằng đường xu hướng dù sao vẫn quan trọng

Kết luận của Forescout là cố ý không mấy hấp dẫn, và đây là phần trong hồ sơ dễ bị hiểu sai theo cả hai hướng nhất. “Có thể làm được, nhưng không dễ như nghe tưởng,” công ty viết. Công ty lưu ý rằng nghiên cứu NUCLEUS:13 trước đó của chính họ đã kết luận những vấn đề này có lẽ không nên nằm gần đầu danh sách ưu tiên của chủ sở hữu tài sản, và cho rằng những tiến bộ trong AI nên thúc đẩy các tổ chức xem xét lại đánh giá đó — bởi vì “khó khai thác” trở thành lý do yếu hơn để hạ ưu tiên một bộ điều khiển khi công sức cần thiết để khai thác nó giảm đi.

Ghi chú của Cloud Security Alliance đưa ra cách gọi tắt hữu ích cho mô thức này: bước đầu khó, các bước sau nhanh. Lần thích ứng đầu tiên tốn tám tiếng rưỡi, sự giám sát của chuyên gia và một thiết bị bị phá hủy. Payload thứ hai và thứ ba mất mười hai phút. Nếu bước đầu trở nên rẻ hơn, tỷ lệ đó sẽ không giữ nguyên như cũ.

Tuy nhiên, lập luận đó gắn với một bối cảnh cụ thể, dù nó tách biệt với thí nghiệm Forescout và không nên được xem là bằng chứng về thí nghiệm này. The Hacker News đưa tin rằng vào ngày 19 tháng 8 năm 2026 NSA, CISA, FBI, Bộ Năng lượng và EPA đã phát hành một khuyến cáo chung cảnh báo về các tập lệnh khai thác do AI tạo ra nhắm vào các PLC Siemens S7 có kết nối Internet; các cơ quan đánh giá rằng hoạt động này có khả năng nhằm mục đích trinh sát dai dẳng và phát triển năng lực, và không quy kết hoạt động này cho bất kỳ bên nào. Cùng nguồn tin này đưa tin về các phát hiện của FBI và EPA về những vụ xâm nhập tại các cơ sở cấp nước ở ít nhất bảy bang kể từ ngày 27 tháng 7 năm 2026, một số vụ đã làm suy giảm hoạt động vận hành, trong đó kẻ tấn công đã thay đổi địa chỉ IP và mật khẩu trên các bộ điều khiển Rockwell Automation MicroLogix hướng ra Internet mà hoàn toàn không cần khai thác lỗ hổng nào. Khuyến cáo chung cảnh báo rằng AI dùng để tạo khai thác đang “làm giảm đáng kể chuyên môn kỹ thuật và thời gian cần thiết” để xây dựng các công cụ tấn công ICS hoạt động được.

Điều mà một người vận hành nên rút ra từ đó

Phản ứng thực tế là phương án không hào nhoáng, và nó không phụ thuộc vào việc lập luận về AI được giải quyết ra sao. Hãy xác định xem có bộ điều khiển dòng 750-series hoặc bộ điều khiển khác dựa trên Nucleus nào đang nằm trên mạng hay không và bộ điều khiển đó chạy firmware gì. Nếu không có bản cập nhật, hãy hạn chế hoặc tắt FTP, Telnet và quản trị web, chặn cổng 21 ở ranh giới, phân đoạn mạng điều khiển và không để lộ giao diện quản trị ra internet. Theo dõi việc sử dụng giao thức bất thường, sập lặp lại và lưu lượng ra ngoài không mong đợi — một vụ sập trên bộ điều khiển là một tín hiệu, không chỉ là một sự cố ngừng hoạt động.

Cloud Security Alliance bổ sung một bước đi theo chính logic của thử nghiệm: xác minh độc lập xem các mẫu thiết bị cùng dòng có chung một lỗ hổng hay không, thay vì giả định phạm vi vá của nhà cung cấp khớp với mức độ phơi nhiễm thực tế. Đó là bước kiểm tra mà Forescout đã thực hiện trên một cặp thiết bị, và lập luận của Forescout là bước kiểm tra tương tự sẽ trở nên rẻ hơn khi bước đầu tiên cũng vậy.

Đối với các nhóm sử dụng tác nhân gần các hệ thống vật lý, việc biến thiết bị thành “gạch” (bricking) là bài học cụ thể. Khuyến nghị của Forescout là duy trì chuyên gia con người trong vòng lặp đối với các quyết định quan trọng về an toàn và làm cho niềm tin vào phòng thủ tự trị trở thành “có ràng buộc, có thể quan sát và có thể xác minh” — các cổng phê duyệt trước khi ghi vào firmware hoặc flash, khả năng hoàn tác ở nơi có hỗ trợ, và thử nghiệm trên phần cứng không phải môi trường sản xuất, vì trên một bộ điều khiển nhúng, một lần ghi sai sẽ không thể hoàn tác.

Cách đọc bản ghi sẽ khác nhau tùy theo điều bạn kỳ vọng ở nó. Đây không phải là minh chứng rằng có thể hướng một mô hình vào một bộ điều khiển công nghiệp rồi mặc kệ nó; chính công ty đã chạy nó nói rằng một người có thể đã làm công việc đó nhanh hơn và rẻ hơn. Điều nó cho thấy là một mức giá đo được cho bước từng cần đến chuyên gia: tám tiếng rưỡi, năm trăm ba mươi lăm đô la, giám sát chuyên gia liên tục, và một bộ điều khiển hỏng.