先说三件真事，都在今年夏天。美国中西部几个小镇，水厂的人上班，发现自己被锁在控制面板外头，密码让人改了。欧洲一家连锁杂货店里，几百台冷柜集体发高烧，温度窜到将近49度，里面的东西全烂。还有两艘往得州运能源的油轮，正开在大西洋中间，船上网络也被人摸了进去。
水厂、冷柜、油轮，隔着十万八千里，可美以安全机构查下来，线索全汇到一处，伊朗。这不是恶作剧，也不是捞钱的普通黑客，人家一不偷钱二不偷数据，目的就一个，让实实在在的机器停下来，烂掉。
别觉得不就是个冰箱。冷柜能制冷，靠的是里面一个叫PLC的小盒子，又叫可编程逻辑控制器。红绿灯、排污泵、电网，背后都是它在管。它就是数字世界和现实世界之间那道闸门，黑客一旦攥住，屋里改几个数字，外头的机器就跟着发疯。打法就两招，一是数据擦除，闯进来把系统删个精光；二是死磕PLC，改密码、改地址，把操作员锁在门外，机器却还按黑客的意思转。今年7月，明尼苏达三十多家水厂就这么中招，老百姓只能把水烧开了喝。
为什么这么执着？得翻16年前一笔旧账。2010年，美以联手搞出震网蠕虫，钻进伊朗核设施的西门子工控系统，一千多台离心机过热报废，占了当时总数的五分之一。最狠的是，病毒一边破坏，一边往监控室回传一切正常的假画面，等反应过来，家当已经废了。那是全世界头一回，一串代码能把钢铁机器物理摧毁。当年挨打的学生，就是伊朗。
这口气德黑兰憋了十几年，哪儿跌倒哪儿爬。攻击名单从以色列扩到沙特、阿联酋，再到美国本土。过去外界只当它是二级选手，如今美以官员的表态里，早就没了轻视。
让安全圈紧张的，是今年又多了AI这个变量。8月，美国五个部门联合发公告，确认有攻击者用AI自动生成脚本，伪装成正常监控软件，专门啃挂在网上的西门子PLC。当年震网级别的武器，顶级团队得耗好几年；如今写代码、找漏洞、扫目标这些费功夫的活儿，AI全包了，门槛被一脚踩塌，手艺一般的人照样搞出大破坏。
有人会问，为什么不碰美军基地，反倒跟水厂冰柜较劲？这恰恰是这盘棋最精的地方。正面硬碰，伊朗拼不过航母卫星，可网络空间不讲这一套，够不着军舰，但够得着民用设施的软肋。打军事基地难如登天，打没人管的小镇水厂容易得多。可这些不起眼的目标一出事，恐慌顺着水龙头和餐桌钻进每个家庭，再变成政治压力。花最小的代价，戳最疼的地方，这就是非对称打法。
还有一层讽刺。当年震网得手，靠间谍拿U盘送进去，因为核设施压根不联网。如今不少水厂工厂图省事，把PLC直接挂在公网上，搜索引擎一搜一大把。不少小设施缺钱缺人，设备连出厂密码都没改，这是长年攒下的窟窿。
真正该警惕的，不是伊朗黑客有多厉害，而是战争的边界正在被改写。从前打仗，前方后方是分开的；现在，你家楼下冰柜的温度、水龙头里的水，本身就是前线。这一回，真不是演习。AI把攻击成本越拉越低，那些没人盯防的民用设施，恐怕就是这个时代最脆弱的软肋。
热门跟贴