סוכן AI אוטונומי מצא ארבע פגיעויות ב-EPICS, כולל פגיעות RCE קריטית

סוכן AI אוטונומי איתר ארבע פגיעויות בערכת הכלים בקוד פתוח EPICS, כולל פגיעות קריטית שעלולה לאפשר הרצת קוד מרחוק במערכות המשמשות לשליטה במאיצי חלקיקים ובניסויי היתוך. כל ארבע הפגיעויות משפיעות על EPICS Base, וארגונים צריכים לעדכן לגרסה 7.0.11, הכוללת את התיקונים.

פגיעויות קריטיות ובעלות חומרה גבוהה

הבעיה החמורה ביותר היא CVE-2026-114595, הצפת מספרים שלמים קריטית בדירוג 9.8 לפי CVSS v3.1. היא עלולה להוביל לכתיבה מחוץ לגבולות ה-heap בשליטת התוקף ובאופן פוטנציאלי להרצת קוד מרחוק. שלוש הפגיעויות האחרות מדורגות בחומרה גבוהה. CVE-2026-114596 היא פגיעות בדירוג 8.2 של אימות לא תקין של אורך הודעה, הגורמת לכתיבה מחוץ לגבולות הזיכרון ולקריסת תהליך בקר. CVE-2026-114597 היא באג בדירוג 7.5 של בדיקת גבולות לא מספקת, המאפשר קריאות מחוץ לגבולות הזיכרון וקריסות תהליכים. CVE-2026-114598 היא פגיעות בדירוג 7.5 של בלבול טיפוסים, שעלולה להוביל למניעת שירות ועלולה לחשוף תוכן זיכרון סמוך.

סוכנות אבטחת הסייבר והתשתיות של ארצות הברית (CISA) פרסמה ביום שלישי התראה על פגיעויות EPICS. CISA הזהירה כי ניצול מוצלח עלול לאפשר לתוקף לגרום למצב של מניעת שירות, להשחית זיכרון, לחשוף מידע רגיש או להריץ קוד שרירותי באופן פוטנציאלי.

הסוכן מצא באגים בפחות מארבע שעות

מייסד שותף של Causal Security, שובהם רג', אמר שסוכן AI בשם Cipher מצא באופן עצמאי את כל ארבע הפגיעויות שלא היו ידועות קודם. הסוכן חקר ובדק את מערכת EPICS הלא מוכרת ואימת את ארבעת מקרי הניצול בשלוש שעות ו-49 דקות. רג' אמר שהחקירה הראשונית לא דרשה התערבות אנושית, ולאחריה ניתנה הוראה אחת שאישרה בדיקת ניצול מעמיקה יותר בסביבה מאובטחת.

Cipher שימש בעבר למציאת נתיבי תקיפה קריטיים מרובים במערכות רשת החשמל המשמשות ברחבי צפון אמריקה ואירופה. העבודה הזו הובילה להתראת אבטחה של CISA ב-8 באוקטובר. רג' תיאר את Cipher כהאקר-על אוטונומי לחלוטין שיכול להסיק מסקנות לאורך כל סטאק הטכנולוגיה.

חשיפה ודאגות עדכון

EPICS פותח במקור על ידי Los Alamos National Laboratory ו-Argonne National Laboratory. הוא משמש לבנייה ולבקרה מרחוק של מערכות SCADA מבוזרות המחברות מפעילים למכשירים פיזיים. ערכת הכלים משמשת בכ-90 פרויקטים ומתקנים מדעיים, אקדמיים ותעשייתיים גדולים ברחבי העולם, כולל מקור הפוטונים המתקדם של Argonne National Laboratory ומערכת הבקרה של כור ההיתוך של ITER.

רג' אמר שתנאי מוקדם לניצול פגיעויות אלה במתקן מדעי אמיתי הוא היכולת להגיע לשירותי EPICS הפגיעים ברשת בקרה. זה יכול להתרחש אם הרשתות אינן מפולחות כראוי או אם למערכת אחרת יש גישה לרשת EPICS הפגיעה. הוא הוסיף שניצול הפגיעויות לא ידרוש ידע עמוק בטכנולוגיה תפעולית או הבנה של אופן הפעולה של מאיצי חלקיקים או כורי היתוך. רג' ציין שמישהו עם כישורי ניצול קונבנציונליים יכול לחקור את הפגיעויות, ומערכות בינה מלאכותית הולכות ומשתכללות יכולות לסייע בפיתוח ניצולים ללא מומחיות מיוחדת בטכנולוגיה תפעולית (OT).

לפי רג', תוקף אינו צריך להכיר את הפיזיקה של מאיץ חלקיקים כדי לשבש את התוכנה השולטת בו. קריסת תהליכים קריטיים או הפרעה לניטור ולבקרה יכולות כבר לגרום לתוצאות תפעוליות חמורות. הפגיעויות מראות גם כי סוכני בינה מלאכותית יעילים במציאת פגיעויות במערכות תעשייתיות וטכנולוגיות תפעוליות שבעבר הסתמכו על עמימות להגנה.

מקורות: The Register