Forescout 借助 Claude Code，以 535.74 美元移植了一个 WAGO PLC 漏洞利用程序——却在试图更进一步时把控制器变砖了

在2026年9月1日，Forescout Research 旗下的Vedere Labs发布了一项实验：它给Claude Code提供了一个终端、逆向工程工具Ghidra、一个固件二进制文件以及一台实体WAGO 750-831控制器，然后要求它将一个已在密切相关的WAGO 750-852上成功运行的预认证远程代码执行漏洞利用移植过来。该模型做到了：它弄清了其 shellcode 为何不断被擦除，更改了触发序列，并在没有任何凭据的情况下，在真实硬件上执行了攻击者提供的 ARM shellcode。代价是8 小时 32 分钟的会话时间，分散在数天内，535.74 美元的 API 使用费，以及持续的人工引导。后来一次试图将该漏洞利用扩展为命令与控制植入体的尝试，写入了闪存映射的内存区域，并永久性地使控制器变砖——这是研究人员自己的测试设备，而非现场设备。该实验是AI 事件档案中的一条记录，该档案收录了完整记录集、其来源以及本系列中的相邻条目。

Forescout 实际交给模型的是什么

实验设置比头条数字更重要，因为它决定了该实验能说明什么、不能说明什么。Vedere Labs 自己的描述称这是一种交互式安排：Claude Code 拥有一个终端、参考文件、包括 Ghidra 在内的分析工具，以及对位于 192.168.2.14 的实时目标的网络访问权限——该目标是一台 WAGO 750-831，运行固件V01.04.16。研究人员可以在会话期间的任何时刻进行干预。根据 Cloud Security Alliance 关于此案的研究说明，目标固件没有调试器，也没有源代码。

该漏洞早已为人所知，也早已被记录。CVE-2021-31886是Nucleus FTP 服务器中的基于栈的缓冲区溢出，可在认证前通过向 TCP 端口 21 发送超长的 USER命令触发，而 Forescout 早前的工作已经为 750-852 制作了可用的漏洞利用程序。The Hacker News 报道其 CVSS 评分为 9.8，由维护 Nucleus 的 Siemens 分配。原始公告为 CERT@VDE 的 VDE-2021-050。

所以这并非自主漏洞发现，而是一次有监督的移植：一个已知漏洞、一个可用的参考利用程序、一台同系列设备，外加一位随时在场的专家。Forescout 对此的措辞十分精确，其自身结论是门槛依然很高。该实验衡量的是把一个利用程序从已被攻破的设备迁移到同一系列中下一台设备的边际成本——正如云安全联盟（Cloud Security Alliance）的说明所言，正是这一步决定了一个型号上的补丁缺口是否就是所有型号上的补丁缺口。

八小时，以及一个 256 字节的缓冲区

首先值得记录的是，这次会话中有多少时间是在错误中度过的。Forescout 表示，该模型的第一个提示词揭示的是一个不同的潜在 FTP 漏洞，而不是 CVE-2021-31886；研究人员将其搁置一旁，该公司表示，人工审查表明它可能是一个独立的、此前未被识别的漏洞，尚未分配 CVE。之后的一次会话未能正确追踪易受攻击的函数，并生成了一个无效的利用程序。该模型追逐了错误假设，反编译了无关代码，并耗尽了上下文。

它确实得到了一个中间结果：一个使 750-831 崩溃的载荷，这证明溢出已到达第二台设备，但尚未实现受控执行。崩溃与控制之间的这一区别，正是本次会话停滞的地方。模型构建的每个载荷都在能够运行之前被清除，而原因最终发现是目标上普通的 FTP 处理：在超长 USER 命令之后，正常处理会将一个保存攻击者 shellcode 的 256 字节缓冲区清零。Forescout 表示，找到罪魁祸首需要对调用链和 sink 进行人工主导的分析，并将该例程识别为sub_100BA758。

修复是序列变更。750-852 漏洞利用发送 USER 后跟 QUIT。在 750-831 上，该型号改为发送 USER 后跟 CWD，并省略了命令上的 CRLF 终止符，因此处理路径没有以通常方式完成，缓冲区存活时间足够长以执行。随后漏洞利用在以太网接收回调上下文中运行。根据 Forescout，所展示的能力止于发送网络数据包。

一旦代码执行变得可靠，节奏就彻底改变了。模型从空操作 shellcode 发展到两个可用的网络载荷，用时12 分钟：一个向攻击者控制的主机发送 ICMP 回显请求，另一个是包含字符串“PWNED”的 UDP 数据包。这个 12 分钟的数字是整份记录中最具分量的数字，也是 Forescout 的报告中视为警示的那个数字——难的是第一步，而之后的步骤几乎无需额外成本。

账单：535.74 美元，用于一次人类可能更快完成的移植

Forescout 报告称，在最后的远程代码执行阶段，$535.74的 API 使用量来自一次持续8 小时 32 分钟的会话，相关工作分散在数天的研究中完成，而不是一次性运行。其公布的 token 数据为2.6k 输入和1.3M 输出。

这种拆分足够不寻常，值得引起注意。在长时间的智能体编程会话中，输入侧通常占主导地位，因为模型每一轮都会被重新发送不断增长的上下文；而一个持续8.5小时、按2,600个输入token计费的会话，并不能完整反映上下文的实际开销。Forescout没有公布任何明细，而SecurityWeek在同一天报道同一阶段时，也只给出了“超过500美元”的说法，完全没有提供任何token数字。美元总额是两家报道都支持的数值；输入与输出的拆分应按照报道所述来理解，而不应视为一份完整的计费记录。

成本是支持AI辅助的论据中最薄弱的部分，Forescout自己也这么说。该公司自己的评估是，一名研究人员本可以“在没有AI的情况下用更少的时间和更低的成本移植这个漏洞利用程序，同时还能让PLC保持运行”。这项实验并不是在论证该模型比专家更便宜。它论证的是这种比较正在朝哪个方向发展。

变砖的控制器

这次失败是这份记录中带有物理后果的部分。在确立代码执行之后，后续的一次会话试图将该漏洞利用扩展为命令与控制植入程序。Forescout 表示，这些载荷变得越来越复杂，其中一个写入了映射到闪存的存储区域。该控制器被永久变砖。

这里有三件事值得区分。该设备是研究人员自己的测试硬件，因此没有操作人员失去生产线，存档记录中也没有造成实际伤害。造成损坏的是一个拥有设备合法访问权限的智能体，它在执行操作人员要求它完成的任务——而不是攻击者。并且，这次写入的不可逆性不同于服务器上一行错误代码通常那种不可逆：嵌入式控制器上的闪存不是一个可以回滚的文件。Forescout 的表述直接由此而来。它所指出的直接风险，不是智能体自行决定攻击控制器，而是“经授权的智能体在物理系统上采取了错误操作”，且失败会带来运行后果。

什么是已确立的，什么不是

该档案将这条记录评为置信度 A、严重性中等、无争议，且未记录到实际危害——在这些条件下，其背后的报道经得起推敲。Forescout 的详细报道是主要记述。SecurityWeek 于 2026 年 9 月 1 日同一天发布了自己的报道；The Hacker News 和 Cloud Security Alliance 的研究实验室均于 9 月 2 日发布。它们都不是独立的技术复现，也无一自称如此，但它们在机制、两个模型版本、成本、12 分钟的载荷运行以及设备变砖这一点上说法一致。

根据该记录，已确认：

• 在监督下进行的移植已成功。一个针对 CVE-2021-31886 的预认证漏洞利用程序已从 WAGO 750-852 适配移植到运行固件 V01.04.16 的 750-831 上，且由操作员提供的 ARM shellcode 已在运行中的设备上执行。

• 机制。正常处理 USER 命令时 256 字节缓冲区被清零、从 QUIT 切换为 CWD，以及被省略的 CRLF 终止符，这几点在 Forescout 及二手报道中的描述是一致的。

• 最后阶段的数据：8 小时 32 分钟、535.74 美元、2.6k 输入和 1.3M 输出 token，从代码执行到两个可用载荷仅需 12 分钟。

• C2 扩展模块导致一台控制器变砖，而且那还是一台测试样机。

• Forescout 自己的结论在成本方面是否定的。它明确表示，人类研究员很可能能够更快、更便宜地完成这一移植，而且不会损坏硬件。

尚未确立，或存在张力：

• 独立技术验证。所有已发表的报道，包括云安全联盟（Cloud Security Alliance）的分析，最终都源自 Forescout 对自身工作的描述。除 Forescout 之外，没有任何人复现过该端口，而 SecurityWeek 的报道也未包含任何独立专家的评论。

• 会话的日历日期。Forescout 给出的是持续时间，而非日期。记录中唯一确定的日期是发布日期，即 2026 年 9 月 1 日。

• 底层公告究竟涵盖了多少款 WAGO 型号。The Hacker News 转载了 CERT@VDE 的 VDE-2021-050 中一份包含十款型号的受影响清单；Cloud Security Alliance 的说明则将这一数字定为 19。公告本身才是权威依据，而这一差异恰恰说明应当去核查公告本身，而不是直接引用其中任何一个数字。

• 如上所述的确切输入 token 核算。

• 失败的植入程序实际做了什么。Forescout 表示，一个有效载荷写入了闪存映射区域；但它没有公布该有效载荷、地址或操作序列，因此无法从外部重建设备变砖的过程。

WAGO 一方：无可用更新

将代码移植到同系列型号之所以重要，是因为该同系列型号不会被修复。CERT@VDE 的 VDE-2021-050 将运行 Nucleus V1 实时操作系统的 750 系列控制器列为受影响产品，并声明：“目前，此版本没有可用的更新。”The Hacker News 指出，受影响列表中的两个型号 750-882 和 750-885/0xx-xxx 既未出现在该公告的缓解措施部分，也未出现在其修复表中，导致其状态不明。

维护 Nucleus 的西门子表示，据 The Hacker News 报道，不计划为 Nucleus NET 的所有版本提供修复；而 Nucleus ReadyStart V3 从 V2013.08.1 起的版本已经修复了 CVE-2021-31886。对于一款固件搭载旧版协议栈、且其供应商尚未公布更新途径的控制器来说，这算不上多大安慰。

这个缺陷并不新鲜。CVE-2021-31886 是 Forescout 和 Medigate 于 2021 年 11 月以 NUCLEUS:13 之名披露的 13 个漏洞之一。The Hacker News 还在 2026 年 9 月 1 日核查了其公开漏洞利用代码是否容易找到：在 GitHub 上搜索仓库没有任何结果，而且该缺陷未出现在 Exploit-DB 和 Packet Storm 中——但需注意，GitHub 的搜索覆盖的是仓库名称和描述，而非文件内容。一项耗时 Forescout 八个半小时、花费超过五百美元的移植工作，并非来自复制粘贴。

为什么 Forescout 说趋势线依然重要

Forescout的结论刻意显得平淡无奇，而它也是整份记录中最容易被从两个方向误读的部分。该公司写道：“这可以做到，但并不像听起来那么容易。”它指出，自己早前关于NUCLEUS:13的研究得出结论，这些问题可能不应排在资产所有者优先事项清单的前列；并称AI的进步应促使各组织重新审视这一评估——因为随着利用控制器所需的投入下降，“难以利用”作为降低控制器优先级的理由也会变得更站不住脚。

云安全联盟的说明为这一模式提供了一个简洁的概括：第一步艰难，后续步骤迅速。第一次适配耗费了八个半小时、专家监督，还搭上了一台被毁坏的设备。第二次和第三次载荷只用了十二分钟。如果第一步的成本降低，这一比例就不会停留在原来的位置。

不过，这一论点是在特定背景下提出的，虽然它与 Forescout 的实验无关，也不应被解读为关于该实验的证据。据 Hacker News 报道，2026年8月19日，NSA、CISA、FBI、能源部和 EPA 发布联合公告，警告存在针对暴露在互联网上的西门子 S7 PLC 的 AI 生成漏洞利用脚本；这些机构评估，该活动很可能旨在进行持续侦察和能力开发，但未对其进行归因。同一媒体还报道，FBI 和 EPA 发现自 2026年7月27日以来至少七个州的水务设施遭到入侵，其中一些入侵导致运营受损；在这些入侵中，攻击者甚至无需任何漏洞利用，就更改了面向互联网的罗克韦尔自动化 MicroLogix 控制器上的 IP 地址和密码。该联合公告警告称，用于生成漏洞利用的 AI 正在“大幅降低”构建可用的 ICS 攻击工具“所需的技术专长和时间”。

运营者应从中得到什么

务实的应对并不光鲜，也不取决于关于 AI 的争论如何解决。查明网络上是否有任何 750 系列或其他基于 Nucleus 的控制器，以及它们运行什么固件。在不存在更新的情况下，限制或禁用 FTP、Telnet 和 Web 管理，在边界封锁 21 端口，对控制网络进行分段，并且不要将管理接口暴露到互联网。监控异常协议使用、反复崩溃和意外出站流量——控制器崩溃是一个信号，而不仅仅是停机。

云安全联盟补充了一个步骤，这一步骤源于实验自身的逻辑：独立验证同系列型号是否共享同一漏洞，而不是假设供应商的补丁范围与实际暴露情况相符。这正是Forescout在一对设备上执行的检查，其论点是：随着第一步的成本降低，同样的检查也会变得更便宜。

对于在实体系统附近使用智能体的团队来说，“变砖”就是最切实的教训。Forescout 的建议是，在安全攸关的决策中让人类专家始终参与其中，并让对自主防御的信任变得“有约束、可观测、可验证”——在写入固件或闪存之前设置审批关卡，在存在回滚机制的地方启用回滚，并在非生产硬件上进行测试，因为在嵌入式控制器上，一次错误的写入是无法回滚的。

这份记录会因你对其抱有何种预期而读出不同含义。它并不是在证明可以把一个模型对准工业控制器然后就放任不管；开展这项测试的同一家公司表示，人工本来可以更快、更便宜地完成这项工作。它确实展示的是，过去需要专家才能完成的那一步如今有了一个可量化的代价：八个半小时、五百三十五美元、持续的专家监督，以及一台报废的控制器。