很多关键基础设施过去并不安全，只是攻击它们太麻烦|plc|移动|黑客

8 月 19 日，美国 NSA、CISA、FBI、能源部与环保署联合发布了一份针对 Siemens S7 系列 PLC 的安全通告。真正值得注意的并不是工业控制领域又多了一次风险提示——S7 被反复警告了十几年——而是通告对攻击方式的描述：威胁行为者正在对美国境内互联网暴露的 Siemens PLC 进行侦察与能力开发，所使用的 Exploitation Script 由 AI 生成，并伪装成正常的 OT 监控工具。官方给出的判断同样直白：AI 生成脚本大幅压缩了开发一套可用 ICS 攻击工具所需要的专业门槛与时间。

更早一些，7 月底 FBI 与 EPA 已经提醒，美国多个州的水务系统出现针对互联网暴露 PLC 的攻击，其中部分事件造成了实际运行影响。此后针对能源与公用事业的行业调查也指向同一个方向：AI 正在帮助攻击者更快完成攻击路径分析、识别弱点，并降低理解工业协议与 Operational Technology 所需要的专业门槛。而那些规模较小、设备老旧、安全预算有限的公共事业单位，本来就在用有限人力维持大量 Legacy System，如今却要面对机器辅助的攻击速度。

如果只把这些新闻理解成"AI 让黑客更厉害了"，其实还没有触及真正值得警惕的地方。AI 带来的更深变化是，它正在拆掉关键基础设施长期依赖、却几乎从未被写进任何一张安全架构图的保护层：攻击它们太麻烦。

很多关键基础设施过去并不真正安全，只是想把它们攻击到足以改变现实，曾经是一件很困难的事。

一、很多工业系统的第一道防线，从来不是防火墙，而是"你得先懂它"

攻击一个普通 Web Application，今天几乎是一门被标准化的手艺。HTTP 是标准的，浏览器是标准的，Web Framework 高度重复，漏洞类别成熟，工具链完备。知识可以被复制，经验可以被打包，攻击者不需要重新理解世界。

工业环境长期不是这样。一个攻击者进入电厂、水厂或制造车间之后，面对的可能是 Siemens、Rockwell、Schneider、WAGO 等不同厂商的设备，彼此不同的 Firmware、PLC Program、工业协议与网络拓扑，以及只有现场工程师才真正理解的工艺流程。他不仅需要知道怎样连接一台 PLC，还需要知道某个 Register 代表什么、某个 Variable 控制什么、一段 Ladder Logic 为什么这样写、屏幕上的那个 Valve 在现实中对应哪根管道；更关键的是，他必须判断修改某个值究竟只会触发一条 Alarm，还是会让整个生产过程滑向危险状态。

所以过去攻击 OT 最大的障碍之一，并不总是"进不去"，而是进去以后不知道怎么办。这是一种很特殊的安全：它不出现在 Firewall Rule 里，不写在 IAM Policy 里，也没有任何一台设备能够在自检报告里告诉你"因为攻击者太难理解我，所以我很安全"。但这种摩擦确实长期存在，并且长期有效。

可以把它称作 Complexity as Defense。复杂性本身从来不是一种正式安全机制，它只是客观地抬高了攻击成本——而成本，恰恰是过去几十年真正拦住大多数攻击者的东西。问题在于，成本是可以被技术改变的，而 AI 正在做的，正是把这项成本往下压。

二、AI 最先拿走的，不一定是防线，而是专业知识的稀缺性

Forescout 旗下研究团队在 9 月初公布的一项实验，很适合用来校准我们对这件事的判断。研究人员尝试借助前沿模型，把一款 WAGO PLC 上已有的远程代码执行 Exploit 移植到另一款相近但不同的型号上，最终确实在真实硬件上实现了无需认证的 ARM Shellcode 执行。但研究人员同时非常谨慎地强调了另一半事实：这并不是 AI 自动完成了一切。整个过程需要人类专家持续介入，提供反汇编上下文、纠正错误方向、指导模型跳出失败路径，仅最终阶段就耗去八个多小时的反复会话和数百美元的接口费用——以这次移植本身而论，成本并不比一个熟练工程师亲自动手更低。

这个限制条件非常重要。它说明今天远没有到"任何人问一句聊天机器人就能攻击核电站"的程度，这种描述既不准确，也会掩盖真正发生的变化。

真正变化的是分工结构。以前需要一个非常优秀的 OT 专家完成十件事，现在 AI 可能帮助一个相对普通的攻击者完成其中六七件。以前需要几天时间阅读设备手册，现在模型可以辅助归纳；以前需要人工分析 Binary，现在逆向工作有了可用的副驾驶；以前面对陌生的工业协议一筹莫展，现在可以迅速生成代码框架和测试方法；以前 Exploit 在另一个 Architecture 上失败之后要重新研究，现在模型可以参与调试、修改与重试。

工业安全公司 Dragos 的复盘同样克制：他们过去很长一段时间都认为行业对"AI 攻击工业系统"的宣传大于现实，但现在已经在真实调查中看到攻击者使用 AI，自己的攻防团队也发现前沿模型正在实质性改变工作方式。

AI 当前最重要的影响，也许并不是创造了一种人类从来不会的攻击，而是把过去稀缺的专家能力变便宜了。

而一旦专家能力开始降价，真正被重新定价的，就不只是攻击技术，还有那些默认自己"不值得被攻击"的系统。

三、很多"安全"，过去其实只是经济学

安全行业习惯把系统分成安全的和不安全的两类，但现实世界一直存在第三种状态：理论上可以被攻击，只是经济上不值得攻击。

设想一个偏远地区的小型供水系统。设备老旧，PLC 暴露在公网，默认配置多年没有更换，网络分段也不完善。从纯技术角度看，它可能早就处在风险之中。为什么这么多年没有发生严重事故？原因往往并不是某套极其优秀的安全体系一直在保护它，而是过去一个真正懂工业系统的人，有太多价值更高的目标可以攻击。为了影响一个地方水务系统，他要先花上数周识别设备、寻找 Firmware、通读手册、理解 PLC Logic、分析网络、开发 Exploit，还要理解工艺本身——投入产出比根本不成立。

于是攻击成本本身构成了一道无形护栏。它没有厂商、没有版本号、不需要维护费，却在几十年里默默完成了防护工作。

AI 最值得担忧的一种作用，就是开始改变这笔经济账。当 Reconnaissance、Protocol Understanding、Code Generation、Vulnerability Analysis、Exploit Adaptation 乃至部分 Troubleshooting 都开始自动化之后，一个过去"不值得攻击"的系统，可能逐渐变得"值得攻击"。变化不必是断崖式的，它更像一条缓慢下移的成本曲线，越过某个位置之后，原本被跳过的目标就进入了射程。

这意味着很多看起来稳定运行了十年、二十年的基础设施，需要回答一个不太舒服的问题：

它究竟是真的安全，还是过去攻击它一直太贵？

这两个答案完全不是一回事。前者是能力，后者只是运气与算术。

四、我们正在失去一种从来没有正式承认过的安全边界

把视野放大就会发现，计算机系统的历史长期依赖着这一类"隐形摩擦"：攻击者不了解系统结构，工具不够成熟，信息不公开，设备过于异构，攻击需要大量人工操作，真正的专家数量有限，跨系统攻击太耗时间。这些条件从未出现在任何一张 Security Architecture Diagram 上，却客观限制了攻击的规模与频率。

AI 正在一层一层地消除这些摩擦。过去攻击一个系统，需要先找到一个懂它的人；接下来更可能的情形是，一个懂工业系统的人借助 AI 同时分析几十套系统。再往后，Agent 可以并行运行：一个负责资产识别，一个分析 Firmware，一个研究协议，一个修改 Exploit，一个检查结果，人只负责设定 Objective 和处理极少数机器解决不了的问题。

此时真正发生变化的，不是攻击者突然变得无所不能，而是攻击能力第一次有可能脱离专家人数进行扩张。

这对关键基础设施尤其危险，因为两边的时间尺度完全不对称。基础设施的设备更新周期往往不是两年，而是十年、二十年；攻击能力的迭代周期却在缩短到月甚至周。一边是 Legacy Infrastructure，一边是 Rapidly Compounding Attack Capability，二者之间的速度差，才是真正的长期风险。

摩擦一旦消失就很难重建。既然无法指望攻击者继续"不懂"，安全的假设本身就必须换一个。

五、真正成熟的工业安全，必须假设攻击者最终会"懂"

过去许多安全策略隐含着同一个假设：攻击者不知道。不知道网络拓扑，不知道协议，不知道设备细节，不知道工艺，不知道哪个 Action 会产生什么后果。这个假设从未被正式写下来，却支撑了大量现实中的安全决策。

AI 正在让它越来越危险。真正成熟的架构必须采用一个更强的假设：

假设攻击者最终什么都知道。

他知道设备型号，知道协议，知道 Firmware，知道 PLC Logic，甚至知道生产过程。在这些知识全部泄露之后，系统还能不能安全？这才是真正的边界所在。

也正因为如此，关键基础设施的安全不能只停留在"不要让攻击者进入"，还必须进一步设计：即使攻击者已经进入，哪些现实结果仍然不能发生？

这其实正是工业安全几十年来 Mechanical Interlock、Hardwired Trip、Safety Instrumented System 等思想背后的逻辑。它们并不试图证明上游 Controller 永远正确，而是在某些高风险条件下，把最终否决权交给另一套独立结构。Valve 不能因为一个网络 Packet 就无限打开，Turbine 不能因为一个 PLC Variable 就越过物理极限，关键设备也不该因为一条合法 Command 就天然获得改变现实的最终权力。

知道怎么操作它，不应该自动等于有资格让它发生。

六、AI 时代，Cybersecurity 的终点会继续向物理世界移动

Dragos 今年披露的一起真实水务入侵案例，很好地展示了这条边界正在如何移动。

在墨西哥蒙特雷都会区一家市政供水与排水机构的入侵中，调查人员分析了三百五十多个相关 Artifact，其中绝大多数是 AI 生成的攻击脚本。攻击者把商业 AI 模型当作行动的技术主力，用于侦察、横向移动、枚举、Exploit 开发与工具修改，并据此从企业 IT 环境一路推进，识别出内部的 SCADA/IIoT 管理界面，试图进入 OT 环境——这次 OT 入侵最终没有成功，但路径已经被完整地走到了门口。Dragos 特别指出，真正值得关注的并不是攻击技术本身有多先进，而是 AI 如何迅速把公开、成熟的攻击手法组织起来，并根据结果实时调整工具。

这揭示了 Cybersecurity 正在发生的边界移动。以前攻击数据库，结果是数据变化；攻击服务器，结果是服务中断。进入 OT 之后，攻击的最终结果可能变成水泵转速、阀门位置、电压、温度、压力、化学剂量与生产线的运动。

也就是说，Cyber Action 开始产生 Physical State Transition。

这时仅仅知道 Command 是谁发送的、Credential 是否合法、Network Connection 是否被允许，已经远远不够。真正重要的问题变成了：现实世界现在究竟允不允许这个动作发生？

越靠近高风险物理系统，安全越不能只停留在 Identity、Network 与 Software Policy 层面。最终必须有人，或者某种独立于上游的结构，对现实本身说出 ALLOW，或者 DENY。

七、未来真正值钱的安全能力，不是让系统继续"难懂"

因此，AI 给关键基础设施带来的真正警告，并不是"以后 AI 会攻击所有 PLC"。今天的技术事实远没有这么简单：Forescout 自己的实验就证明，前沿模型依然需要大量专家指导，OT 的异构性、工艺知识与现场条件也远没有被 AI 消除。

但方向已经足够清楚：专业知识作为安全屏障的价值正在下降。这意味着过去很多依赖冷门协议、旧设备、复杂工艺、专家稀缺和攻击困难所获得的"安全红利"，不能继续被当成长期保证记在账上。

未来真正可靠的系统，必须从"攻击者很难做到"，升级到"即使攻击者完全知道怎么做，他仍然缺少让这个危险结果发生的最终资格"。

这是两个完全不同的安全等级。前者依赖攻击者的无知，后者依赖系统自身的结构。而只有后者，才更接近真正的工程安全。

很多关键基础设施之所以几十年平稳运行，并不能简单证明它们拥有几十年的安全能力。有时它只证明了一件事：过去想真正攻击它，需要一个很懂工业控制的人，花很长时间，承担很高成本，还不一定成功。

AI 正在逐渐拿走这些天然摩擦。这不是世界末日，它只是迫使我们更诚实地重新计算过去的安全假设。

不要把"攻击它太麻烦"误认为"它不会被攻击"，更不要把复杂、冷门、老旧、难懂，误认为真正的安全边界。