Автономний ШІ-агент знайшов чотири вразливості EPICS, зокрема критичну RCE

Автономний ШІ-агент виявив чотири вразливості в інструментарії EPICS з відкритим кодом, зокрема критичну вразливість, що може дозволити віддалене виконання коду на системах, які використовуються для керування прискорювачами частинок і термоядерними експериментами. Усі чотири впливають на EPICS Base, а організаціям слід оновитися до версії 7.0.11, яка містить виправлення.

Вразливості критичної та високої тяжкості

Найсерйознішою проблемою є CVE-2026-114595, критичне переповнення цілого числа з оцінкою 9.8 за CVSS v3.1. Воно може призвести до контрольованого атакувальником запису в купу поза межами та потенційно до віддаленого виконання коду. Інші три вразливості мають високу тяжкість. CVE-2026-114596: недолік перевірки довжини повідомлення з оцінкою 8.2, що спричиняє запис поза межами пам'яті та аварійне завершення процесу контролера. CVE-2026-114597: помилка недостатньої перевірки меж з оцінкою 7.5, яка дозволяє читання поза межами пам'яті та аварійне завершення процесів. CVE-2026-114598: вразливість плутанини типів з оцінкою 7.5, що може призвести до відмови в обслуговуванні та може розкрити вміст суміжної пам'яті.

Агентство з кібербезпеки та захисту інфраструктури США (CISA) у вівторок опублікувало рекомендацію щодо вразливостей EPICS. CISA попередило, що успішна експлуатація може дозволити атакувальнику спричинити стан відмови в обслуговуванні, пошкодити пам'ять, розкрити конфіденційну інформацію або потенційно виконати довільний код.

Агент виявив вразливості за менше ніж чотири години

Співзасновник Causal Security Шубхам Радж сказав, що ШІ-агент під назвою Cipher самостійно знайшов усі чотири раніше невідомі прогалини безпеки. Агент дослідив і перевірив незнайому систему EPICS і підтвердив чотири експлойти за три години 49 хвилин. Радж сказав, що початкове дослідження не потребувало втручання людини, а потім була одна інструкція, що дозволила глибше тестування можливості експлуатації в безпечному середовищі.

Cipher раніше використовували для пошуку кількох критичних шляхів атак у системах електромереж, що використовуються в Північній Америці та Європі. Ця робота спонукала CISA опублікувати рекомендацію з безпеки 8 жовтня. Радж описав Cipher як повністю автономного суперхакера, що може міркувати в межах усього технологічного стека.

Ризики експозиції та питання оновлення

EPICS спочатку розробили в Los Alamos National Laboratory та Argonne National Laboratory. Його використовують для побудови та віддаленого керування розподіленими системами SCADA, що з'єднують операторів із фізичними пристроями. Інструментарій застосовується приблизно в 90 великих наукових, університетських та промислових проєктах і об'єктах у всьому світі, зокрема в Advanced Photon Source у Argonne National Laboratory та системі керування термоядерним реактором ITER.

Радж сказав, що передумовою для експлуатації цих вразливостей на реальному науковому об'єкті є можливість досягти вразливих служб EPICS у контрольній мережі. Це може статися, якщо мережі недостатньо сегментовані або якщо інша система має доступ до вразливої мережі EPICS. Він додав, що експлуатація не вимагатиме глибоких знань операційних технологій чи розуміння того, як працюють прискорювачі частинок або термоядерні реактори. Радж зазначив, що хтось із звичайними навичками експлуатації може дослідити вразливості, а дедалі здатніші системи ШІ можуть допомогти розробити експлойти без спеціалізованих знань у галузі OT.

За словами Раджа, атакувальнику не потрібно розуміти фізику прискорювача частинок, щоб порушити роботу програмного забезпечення, яке ним керує. Аварійне завершення критичних процесів або переривання моніторингу та керування вже можуть мати серйозні операційні наслідки. Вразливості також показують, як агенти ШІ ефективно знаходять вразливості в промислових і операційних технологічних системах, що раніше покладалися на прихованість як захист.

Джерела: The Register