AIツール「Claude」でPLC攻撃コードの移植に成功、実験中に機器が文鎮化する事例も

要点

• 米セキュリティ企業Forescoutの研究部門が、AnthropicのAI「Claude」を用いて産業用制御装置（PLC）の遠隔コード実行（RCE）攻撃コードを別機種へ移植する実験に成功した。

• 実験ではClaude Codeとリバースエンジニアリングツールを活用し、実機上でのシェルコード実行を確認した一方、開発には約8時間半と535ドル超のAPI費用を要した。

• 攻撃コードを拡張する試みの最中にメモリ領域への誤書き込みが発生し、対象のPLCが恒久的に動作不能（文鎮化）となるトラブルも発生した。

• 標的となった脆弱性（CVE-2021-31886）に対する修正プログラムは提供されておらず、セキュリティ機関はFTPポートの遮断やネットワーク分離を推奨している。

• 米セキュリティ企業Forescoutの研究部門であるVedere Labsは、AnthropicのAIツール「Claude」を活用し、産業用プログラマブルロジックコントローラ（PLC：工場設備やインフラを制御する専用装置）に対する遠隔コード実行（RCE）攻撃コードを別モデルへ移植する実験に成功したと発表した。研究チームは実機ハードウェア上で攻撃者が用意したARMシェルコードの実行を確認した一方で、AIの挙動を人間が細かく誘導する必要があった点や、追加実験中に機器が恒久的に破損（文鎮化）した事実も明らかにした。

標的となった脆弱性と移植実験の背景

今回の実験で対象となったのは、シーメンスが提供するリアルタイムOS「Nucleus」のFTPサーバー機能に存在する脆弱性「CVE-2021-31886」である。この脆弱性は、USERコマンドの処理に起因するスタックベースのバッファオーバーフロー（メモリ領域の容量を超えてデータが書き込まれる不具合）であり、認証前の段階でTCPポート21を介して遠隔から悪用できる。深刻度を示すCVSSスコアは9.8と極めて高い。なお、主要な公開リポジトリや脆弱性データベースには本脆弱性の実証コード（PoC）は登録されていない状態だという。

Vedere Labsは以前に「WAGO 750-852」向けに開発していた既存のRCE攻撃コードを基に、ファームウェアV01.04.16が動作する「WAGO 750-831」実機への移植を試みた。実験環境では、既存の攻撃コードやファームウェアのバイナリデータに加え、物理的なPLC実機を用意。研究者とAIツール「Claude Code」が対話形式でセッションを進め、Claude側にはターミナル、リバースエンジニアリングツール「Ghidra」、そして標的のPLC実機へのアクセス権が付与された。

AIによる課題解決とペイロードの実行

実験は当初「Claude Sonnet 4.6」で開始されたが、RCEの試行が行き詰まったため、より高度な「Claude Opus 4.6」へと切り替えられた。

移植作業において大きな障壁となったのは、標的機種（750-831）の通常のFTP処理ルーチンが、攻撃者が制御するバッファ内の256バイトをゼロで初期化してしまう点だった。これにより、注入したシェルコードが実行前に上書きされてしまう問題が生じていた。

これに対しClaudeは、従来の攻撃手順であった「USER」コマンドと「QUIT」コマンドの組み合わせを、「USER」と「CWD」の組み合わせに変更する手法を考案した。さらに、改行コード（CRLF）による終端をあえて省略することで通常の処理フローの完了を妨げ、ペイロードが実行されるまでバッファの内容を維持させることに成功したという。

コードの実行が確立された後、AIは動作確認用のダミーコードからわずか12分で2種類の実用的なペイロード（実行データ）を作成した。1つは攻撃者側のシステムへICMPエコー要求を送信するもの、もう1つは「PWNED」という文字列を含むUDPパケットを送信するものだった。攻撃コードはイーサネット受信コールバックのコンテキストで実行され、今回の実証ではパケット送信までの動作が確認された。

文鎮化の発生とAI活用のコスト・課題

一方で、AIを用いた攻撃コード開発の実効性や安全性については課題も浮き彫りとなった。RCE開発の最終段階では、8時間32分のセッションで535.74ドルのAPI利用料を消費し、研究者による継続的な指示と軌道修正が不可欠だったという。

さらに、攻撃コードを遠隔操作用のC2（コマンド＆コントロール）インプラントへと拡張しようとした後続のセッションでは、AIがフラッシュメモリにマッピングされた領域へ誤って書き込みを行った結果、PLCが再起動不能となり恒久的に文鎮化（破損）した。

Forescoutは「同じ研究者であれば、AIを使わずに、より短い時間と低いコストで、かつ機器を壊すことなく移植を完了できたとも言える」と振り返っている。その上で「現時点でより差し迫ったリスクは、AIエージェントが自律的に制御装置を攻撃することではなく、権限を与えられたエージェントが物理システム上で誤った操作を行い、実際の運用に重大な損害をもたらすことだ」と指摘している。

未知のバグ検出と影響を受ける機器への対策

なお、初期のセッションにおいてClaudeは、CVE-2021-31886とは異なるFTPコマンド抽出ループ内の潜在的な不具合を指摘した。研究チームが手動で検証したところ、未知の脆弱性である可能性が浮上したため、CVE番号は未採番のまま個別調査が進められている。

ドイツのサイバーセキュリティ機関であるCERT@VDEが公表しているアドバイザリによると、WAGO 750-829、750-831、750-852、750-880番台、750-300番台などのNucleus V1 RTOSを搭載した複数モデルが本脆弱性の影響を受ける。現時点でこれらの機器に対する修正アップデートは提供されておらず、CERT@VDEはポート21のFTP機能の無効化や遮断、ネットワークのセグメンテーション（分離）、通信トラフィックの異常監視といった緩和策の徹底を呼びかけている。なお、一部モデル（750-882、750-885）についてはアドバイザリの緩和策や修正表に記載がなく、対応状況が明記されていない状態となっている。