很多关键基础设施过去并不安全，只是攻击它们太麻烦

本文来自微信公众号： HavenlonLabs ，作者：Havenlon Labs

8月19日，美国NSA、CISA、FBI、能源部与环保署联合发布了一份针对Siemens S7系列PLC的安全通告。真正值得注意的并不是工业控制领域又多了一次风险提示——S7被反复警告了十几年——而是通告对攻击方式的描述：威胁行为者正在对美国境内互联网暴露的Siemens PLC进行侦察与能力开发，所使用的Exploitation Script由AI生成，并伪装成正常的OT监控工具。官方给出的判断同样直白：AI生成脚本大幅压缩了开发一套可用ICS攻击工具所需要的专业门槛与时间。

更早一些，7月底FBI与EPA已经提醒，美国多个州的水务系统出现针对互联网暴露PLC的攻击，其中部分事件造成了实际运行影响。此后针对能源与公用事业的行业调查也指向同一个方向：AI正在帮助攻击者更快完成攻击路径分析、识别弱点，并降低理解工业协议与Operational Technology所需要的专业门槛。而那些规模较小、设备老旧、安全预算有限的公共事业单位，本来就在用有限人力维持大量Legacy System，如今却要面对机器辅助的攻击速度。

如果只把这些新闻理解成"AI让黑客更厉害了"，其实还没有触及真正值得警惕的地方。AI带来的更深变化是，它正在拆掉关键基础设施长期依赖、却几乎从未被写进任何一张安全架构图的保护层：攻击它们太麻烦。

很多关键基础设施过去并不真正安全，只是想把它们攻击到足以改变现实，曾经是一件很困难的事。

一、很多工业系统的第一道防线，从来不是防火墙，而是"你得先懂它"

攻击一个普通Web Application，今天几乎是一门被标准化的手艺。HTTP是标准的，浏览器是标准的，Web Framework高度重复，漏洞类别成熟，工具链完备。知识可以被复制，经验可以被打包，攻击者不需要重新理解世界。

工业环境长期不是这样。一个攻击者进入电厂、水厂或制造车间之后，面对的可能是Siemens、Rockwell、Schneider、WAGO等不同厂商的设备，彼此不同的Firmware、PLC Program、工业协议与网络拓扑，以及只有现场工程师才真正理解的工艺流程。他不仅需要知道怎样连接一台PLC，还需要知道某个Register代表什么、某个Variable控制什么、一段Ladder Logic为什么这样写、屏幕上的那个Valve在现实中对应哪根管道；更关键的是，他必须判断修改某个值究竟只会触发一条Alarm，还是会让整个生产过程滑向危险状态。

所以过去攻击OT最大的障碍之一，并不总是"进不去"，而是进去以后不知道怎么办。这是一种很特殊的安全：它不出现在Firewall Rule里，不写在IAM Policy里，也没有任何一台设备能够在自检报告里告诉你"因为攻击者太难理解我，所以我很安全"。但这种摩擦确实长期存在，并且长期有效。

可以把它称作Complexity as Defense。复杂性本身从来不是一种正式安全机制，它只是客观地抬高了攻击成本——而成本，恰恰是过去几十年真正拦住大多数攻击者的东西。问题在于，成本是可以被技术改变的，而AI正在做的，正是把这项成本往下压。

二、AI最先拿走的，不一定是防线，而是专业知识的稀缺性

Forescout旗下研究团队在9月初公布的一项实验，很适合用来校准我们对这件事的判断。研究人员尝试借助前沿模型，把一款WAGO PLC上已有的远程代码执行Exploit移植到另一款相近但不同的型号上，最终确实在真实硬件上实现了无需认证的ARM Shellcode执行。但研究人员同时非常谨慎地强调了另一半事实：这并不是AI自动完成了一切。整个过程需要人类专家持续介入，提供反汇编上下文、纠正错误方向、指导模型跳出失败路径，仅最终阶段就耗去八个多小时的反复会话和数百美元的接口费用——以这次移植本身而论，成本并不比一个熟练工程师亲自动手更低。

这个限制条件非常重要。它说明今天远没有到"任何人问一句聊天机器人就能攻击核电站"的程度，这种描述既不准确，也会掩盖真正发生的变化。

真正变化的是分工结构。以前需要一个非常优秀的OT专家完成十件事，现在AI可能帮助一个相对普通的攻击者完成其中六七件。以前需要几天时间阅读设备手册，现在模型可以辅助归纳；以前需要人工分析Binary，现在逆向工作有了可用的副驾驶；以前面对陌生的工业协议一筹莫展，现在可以迅速生成代码框架和测试方法；以前Exploit在另一个Architecture上失败之后要重新研究，现在模型可以参与调试、修改与重试。

工业安全公司Dragos的复盘同样克制：他们过去很长一段时间都认为行业对"AI攻击工业系统"的宣传大于现实，但现在已经在真实调查中看到攻击者使用AI，自己的攻防团队也发现前沿模型正在实质性改变工作方式。

AI当前最重要的影响，也许并不是创造了一种人类从来不会的攻击，而是把过去稀缺的专家能力变便宜了。

而一旦专家能力开始降价，真正被重新定价的，就不只是攻击技术，还有那些默认自己"不值得被攻击"的系统。

三、很多"安全"，过去其实只是经济学

安全行业习惯把系统分成安全的和不安全的两类，但现实世界一直存在第三种状态：理论上可以被攻击，只是经济上不值得攻击。

设想一个偏远地区的小型供水系统。设备老旧，PLC暴露在公网，默认配置多年没有更换，网络分段也不完善。从纯技术角度看，它可能早就处在风险之中。为什么这么多年没有发生严重事故？原因往往并不是某套极其优秀的安全体系一直在保护它，而是过去一个真正懂工业系统的人，有太多价值更高的目标可以攻击。为了影响一个地方水务系统，他要先花上数周识别设备、寻找Firmware、通读手册、理解PLC Logic、分析网络、开发Exploit，还要理解工艺本身——投入产出比根本不成立。

于是攻击成本本身构成了一道无形护栏。它没有厂商、没有版本号、不需要维护费，却在几十年里默默完成了防护工作。

AI最值得担忧的一种作用，就是开始改变这笔经济账。当Reconnaissance、Protocol Understanding、Code Generation、Vulnerability Analysis、Exploit Adaptation乃至部分Troubleshooting都开始自动化之后，一个过去"不值得攻击"的系统，可能逐渐变得"值得攻击"。变化不必是断崖式的，它更像一条缓慢下移的成本曲线，越过某个位置之后，原本被跳过的目标就进入了射程。

这意味着很多看起来稳定运行了十年、二十年的基础设施，需要回答一个不太舒服的问题：

它究竟是真的安全，还是过去攻击它一直太贵？

这两个答案完全不是一回事。前者是能力，后者只是运气与算术。

四、我们正在失去一种从来没有正式承认过的安全边界

把视野放大就会发现，计算机系统的历史长期依赖着这一类"隐形摩擦"：攻击者不了解系统结构，工具不够成熟，信息不公开，设备过于异构，攻击需要大量人工操作，真正的专家数量有限，跨系统攻击太耗时间。这些条件从未出现在任何一张Security Architecture Diagram上，却客观限制了攻击的规模与频率。

AI正在一层一层地消除这些摩擦。过去攻击一个系统，需要先找到一个懂它的人；接下来更可能的情形是，一个懂工业系统的人借助AI同时分析几十套系统。再往后，Agent可以并行运行：一个负责资产识别，一个分析Firmware，一个研究协议，一个修改Exploit，一个检查结果，人只负责设定Objective和处理极少数机器解决不了的问题。

此时真正发生变化的，不是攻击者突然变得无所不能，而是攻击能力第一次有可能脱离专家人数进行扩张。

这对关键基础设施尤其危险，因为两边的时间尺度完全不对称。基础设施的设备更新周期往往不是两年，而是十年、二十年；攻击能力的迭代周期却在缩短到月甚至周。一边是Legacy Infrastructure，一边是Rapidly Compounding Attack Capability，二者之间的速度差，才是真正的长期风险。

摩擦一旦消失就很难重建。既然无法指望攻击者继续"不懂"，安全的假设本身就必须换一个。

五、真正成熟的工业安全，必须假设攻击者最终会"懂"

过去许多安全策略隐含着同一个假设：攻击者不知道。不知道网络拓扑，不知道协议，不知道设备细节，不知道工艺，不知道哪个Action会产生什么后果。这个假设从未被正式写下来，却支撑了大量现实中的安全决策。

AI正在让它越来越危险。真正成熟的架构必须采用一个更强的假设：

假设攻击者最终什么都知道。

他知道设备型号，知道协议，知道Firmware，知道PLC Logic，甚至知道生产过程。在这些知识全部泄露之后，系统还能不能安全？这才是真正的边界所在。

也正因为如此，关键基础设施的安全不能只停留在"不要让攻击者进入"，还必须进一步设计：即使攻击者已经进入，哪些现实结果仍然不能发生？

这其实正是工业安全几十年来Mechanical Interlock、Hardwired Trip、Safety Instrumented System等思想背后的逻辑。它们并不试图证明上游Controller永远正确，而是在某些高风险条件下，把最终否决权交给另一套独立结构。Valve不能因为一个网络Packet就无限打开，Turbine不能因为一个PLC Variable就越过物理极限，关键设备也不该因为一条合法Command就天然获得改变现实的最终权力。

知道怎么操作它，不应该自动等于有资格让它发生。

六、AI时代，Cybersecurity的终点会继续向物理世界移动

Dragos今年披露的一起真实水务入侵案例，很好地展示了这条边界正在如何移动。

在墨西哥蒙特雷都会区一家市政供水与排水机构的入侵中，调查人员分析了三百五十多个相关Artifact，其中绝大多数是AI生成的攻击脚本。攻击者把商业AI模型当作行动的技术主力，用于侦察、横向移动、枚举、Exploit开发与工具修改，并据此从企业IT环境一路推进，识别出内部的SCADA/IIoT管理界面，试图进入OT环境——这次OT入侵最终没有成功，但路径已经被完整地走到了门口。Dragos特别指出，真正值得关注的并不是攻击技术本身有多先进，而是AI如何迅速把公开、成熟的攻击手法组织起来，并根据结果实时调整工具。

这揭示了Cybersecurity正在发生的边界移动。以前攻击数据库，结果是数据变化；攻击服务器，结果是服务中断。进入OT之后，攻击的最终结果可能变成水泵转速、阀门位置、电压、温度、压力、化学剂量与生产线的运动。

也就是说，Cyber Action开始产生Physical State Transition。

这时仅仅知道Command是谁发送的、Credential是否合法、Network Connection是否被允许，已经远远不够。真正重要的问题变成了：现实世界现在究竟允不允许这个动作发生？

越靠近高风险物理系统，安全越不能只停留在Identity、Network与Software Policy层面。最终必须有人，或者某种独立于上游的结构，对现实本身说出ALLOW，或者DENY。

七、未来真正值钱的安全能力，不是让系统继续"难懂"

因此，AI给关键基础设施带来的真正警告，并不是"以后AI会攻击所有PLC"。今天的技术事实远没有这么简单：Forescout自己的实验就证明，前沿模型依然需要大量专家指导，OT的异构性、工艺知识与现场条件也远没有被AI消除。

但方向已经足够清楚：专业知识作为安全屏障的价值正在下降。这意味着过去很多依赖冷门协议、旧设备、复杂工艺、专家稀缺和攻击困难所获得的"安全红利"，不能继续被当成长期保证记在账上。

未来真正可靠的系统，必须从"攻击者很难做到"，升级到"即使攻击者完全知道怎么做，他仍然缺少让这个危险结果发生的最终资格"。

这是两个完全不同的安全等级。前者依赖攻击者的无知，后者依赖系统自身的结构。而只有后者，才更接近真正的工程安全。

很多关键基础设施之所以几十年平稳运行，并不能简单证明它们拥有几十年的安全能力。有时它只证明了一件事：过去想真正攻击它，需要一个很懂工业控制的人，花很长时间，承担很高成本，还不一定成功。

AI正在逐渐拿走这些天然摩擦。这不是世界末日，它只是迫使我们更诚实地重新计算过去的安全假设。

不要把"攻击它太麻烦"误认为"它不会被攻击"，更不要把复杂、冷门、老旧、难懂，误认为真正的安全边界。

当知识越来越便宜、工具越来越自动化、Agent可以越来越快地理解陌生系统之后，真正能够留下来的安全能力，只会是那些不依赖攻击者无知的东西：独立的控制、明确的边界、可验证的状态，以及即使上游已经失陷，仍然有权阻止危险现实发生的最后一道结构。

因为AI时代最终会迫使关键基础设施面对一个过去可以暂时回避的问题：

如果攻击者已经知道一切，我们还剩下什么？