Con 500 dollari e Claude, i ricercatori hanno clonato un exploit…

I ricercatori di Forescout Vedere Labs hanno usato Anthropic Claude per portare un exploit RCE da un PLC WAGO a un altro modello della stessa famiglia, confermando

{"main_topic":"cybersecurity","topics":["cybersecurity","ai","exploit","cve","vulnerabilita"]}

I ricercatori di Forescout Vedere Labs hanno usato Anthropic Claude per portare un exploit RCE da un PLC WAGO a un altro modello della stessa famiglia, confermando che l'intelligenza artificiale abbassa i costi di personalizzazione degli attacchi OT da operazione artigianale a processo potenzialmente scalabile. L'esperimento, condotto nel contesto di recenti attacchi a sistemi idrici municipali, ha richiesto oltre otto ore di sessione e consumato più di 500 dollari in API usage per la sola fase finale di sviluppo, con il primo tentativo di espansione verso un implant command-and-control che ha brickato permanentemente il dispositivo.

Punti chiave

Forescout ha portato con successo un exploit per CVE-2021-31886 dal PLC WAGO 750-852 al modello 750-831 usando Claude Sonnet e poi Opus 4.6
La svolta tecnica è avvenuta quando l'AI ha compreso autonomamente perché il codice iniettato veniva cancellato prima dell'esecuzione, producendo due payload funzionanti in 12 minuti
Il costo API per la sola fase finale RCE ha superato i 500 dollari in una sessione di oltre otto ore, con guida umana estensiva e cambio di modello AI
Un tentativo successivo di sviluppare un implant C&C ha causato bricking permanente del PLC scrivendo in una regione mappata alla flash memory

Da crash a code execution: come l'AI ha superato l'ostacolo tecnico

L'esperimento è partito da CVE-2021-31886, vulnerabilità pre-authentication buffer overflow nel server FTP Nucleus con CVSS 9.8 CRITICAL secondo il National Vulnerability Database, che consente esecuzione di shellcode ARM arbitrario. La vulnerabilità era già nota sul modello WAGO 750-852; l'obiettivo era adattarla al 750-831.

L'AI ha confermato la vulnerabilità attraverso probing live e analisi statica del firmware con Ghidra, strumento di reverse engineering standard nel settore. Il passaggio da semplice crash a code execution controllata non è stato immediato: i ricercatori hanno dovuto passare da Claude Sonnet 4.6 a Claude Opus 4.6 e istruire esplicitamente il modello di chiedere aiuto quando incerto, reindirizzandolo più volte da lead analitici errati.

La svolta decisiva è stata quando Claude ha compreso autonomamente il motivo per cui il codice iniettato veniva cancellato prima dell'esecuzione, modificando di conseguenza l'approccio. Secondo la fonte primaria, dopo questo punto il modello ha prodotto due payload funzionanti in 12 minuti.

Il vero costo: 500 dollari e una curva di scalabilità preoccupante

Forescout ha quantificato con precisione i costi della fase finale di sviluppo RCE: oltre 500 dollari in API usage distribuiti su una sessione di oltre otto ore. Il dato è rilevante non per l'entità assoluta, che resta contenuta rispetto a un'operazione nation-state tradizionale, ma per ciò che implica sulla curva dei costi marginali.

La fonte cita esplicitamente che un ricercatore umano avrebbe potuto completare il porting iniziale in meno tempo e a minor costo, mantenendo intatto il PLC. La questione sollevata dai ricercatori è però di natura strutturale: il primo exploit costa 500 dollari e richiede otto ore di supervisione esperta, ma il centesimo target correlato potrebbe costare significativamente meno in intervento umano, trasformando il targeting OT da competenza artigianale a commodity tecnicamente parallelizzabile.

"That is true right now, but the more important question is what happens as the amount of expert intervention required continues to fall. A human researcher can parallelize this work, but AI has the potential to reduce the marginal cost of doing so across many related targets at once." — Forescout Vedere Labs, citato da SecurityWeek

Il bricking accidentale: quando l'automazione incontra l'hardware fisico

Un tentativo successivo di sviluppare un implant command-and-control ha prodotto un danno permanente. Il payload ha scritto in una regione di memoria mappata alla flash del PLC, causando un bricking irreversibile del dispositivo. L'incidente, avvenuto in ambiente di ricerca controllata, evidenzia un rischio spesso trascurato nella discussione sull'AI per l'OT security: l'automazione accelerata di exploit development può generare danni fisici prima che un operatore umano possa intervenire.

Il dossier non specifica se il bricking sia recuperabile attraverso procedure di ripristino hardware o se il dispositivo sia definitivamente compromesso. Questo limite non riduce la rilevanza dell'episodio: in un contesto di infrastruttura critica reale, un errore equivalente su un PLC in produzione avrebbe conseguenze operative immediate, indipendentemente dall'intenzionalità dell'attore.

Il contesto delle minacce reali: dall'advisory AA26-231A al settore idrico

L'esperimento Forescout è stato condotto nel contesto di recenti attacchi a più di 30 sistemi idrici municipali nel Minnesota, segnalati dalla fonte secondaria Cloud Security Alliance. Parallelamente, l'advisory governativo AA26-231A del 19 agosto 2026 — firmato da NSA, CISA, FBI, DOE e EPA — documenta attori che utilizzano l'intelligenza artificiale per generare script di exploit contro PLC Siemens S7 partendo da informazioni pubblicamente disponibili.

È necessario distinguere con precisione: l'advisory AA26-231A descrive AI-assisted script generation, non exploit porting tra modelli hardware correlati come quello dimostrato da Forescout. I due fenomeni sono distinti tecnicamente — la generazione di script partendo da documentazione pubblica è meno sofisticata del porting RCE guidato da reverse engineering firmware — ma convergono sulla stessa tendenza strategica: l'abbassamento della barriera di expertise per attaccare dispositivi OT.

La Cloud Security Alliance colloca questa tendenza in una linea storica che include Stuxnet (2010), Industroyer (2016) e TRITON (2017), sottolineando come l'aggiunta dell'AI acceleri una dinamica già in corso piuttosto che crearne una ex novo.

Perché è importante

Il dossier non specifica misure correttive specifiche per questa tipologia di minaccia. La fonte primaria non documenta tassi di successo su altri modelli PLC o vendor diversi da WAGO, né quantifica il tempo totale dell'esperimento al di là della sola fase finale RCE. Non è noto se attori di minaccia reali stiano già utilizzando approcci tecnicamente equivalenti a quello Forescout: l'advisory AA26-231A descrive una fase precedente della catena di attacco, non il porting automatizzato di exploit tra hardware correlato.

Il limite più rilevante riguarda la riproducibilità: il dossier non chiarisce se il metodo sia trasferibile ad altri large language model o versioni di Claude diverse da quelle testate. Questo elemento di incertezza non attenua la lettura strategica: se il vincolo è legato a una specifica capacità di reasoning di Claude Opus 4.6, la barriera è tecnica e temporanea; se è intrinseco alla complessità del reverse engineering OT, il margine di scalabilità resta più contenuto.

La fonte primaria non documenta inoltre se il metodo sia stato testato su firmware con protezioni anti-tamper o su architetture diverse da ARM, elemento che delimita il perimetro di applicabilità immediata.

Domande frequenti

L'AI ha creato l'exploit da zero senza intervento umano?: No. La fonte primaria descrive "extensive researcher oversight" con reindirizzamenti multipli dell'AI da lead analitici errati. Il passaggio tra modelli AI e l'istruzione esplicita di chiedere aiuto quando incerto indicano una supervisione costante.
Il bricking del PLC è avvenuto in un attacco reale?: No. È stato un incidente accidentale durante ricerca controllata in laboratorio, non un attacco contro infrastruttura operativa.
L'advisory AA26-231A descrive esattamente la stessa tecnica?: No. L'advisory documenta AI-assisted script generation contro Siemens S7, mentre l'esperimento Forescout riguarda exploit porting tra modelli WAGO tramite reverse engineering firmware. Sono fenomeni correlati ma distinti.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter