美国警告：关键基础设施中正出现针对西门子 PLC 的 AI 驱动攻击

美国多家网络安全机构发出警告：威胁行为者正在使用AI 生成脚本，对美国关键基础设施内的西门子 S7 系列可编程逻辑控制器（PLC）实施攻击。

PLC 属于工业计算机，用于工厂以及各类关键基础设施中机械设备、物理生产流程的自动化控制。

美国国家安全局（NSA）、网络安全与基础设施安全局（CISA）、联邦调查局（FBI）、能源部（DOE）、环境保护署（EPA）于周三发布联合安全通告（AA26‑231A），确认该攻击活动正在实际发生。

“本通告针对西门子 S7 系列 PLC 面临的活跃威胁。但目前 PLC 遭受攻击的范围并不局限于西门子产品，所有 PLC 设备的所有者与运营方均应落实相关缓解措施，降低设备与系统风险。”

主要受威胁的关键基础设施行业：重点制造业、能源、给排水系统、化工、食品农业、商业设施；通告同时提示，国防工业基地也大量使用西门子 S7 PLC，同样存在被攻击风险。

威胁团伙借助 Censys、ZoomEye 等网络扫描服务，搜寻暴露在互联网上的西门子 PLC，利用设备的高危漏洞、老旧固件版本以及弱身份认证实施入侵。

攻击者利用人工智能开发 Python 攻击脚本，调用snap7.dll与python‑snap7库和西门子 S7 PLC 通信。这些定制工具伪装成合法的运维监控软件，可通过 S7comm 协议对 PLC 内存、配置参数、梯形逻辑程序完成读写操作。

机构研判：该活动主要以持续性侦察为目的，攻击者可能在为后续破坏关键基础设施做准备，潜在后果包括敏感数据失窃、设备损毁、长时间业务中断，甚至引发安全事故。

当前遭到活跃攻击的设备型号：西门子 S7‑200、S7‑300、S7‑400、S7‑1200、S7‑1500 系列 PLC。

机构建议各相关组织：完成西门子 S7 PLC 资产盘点；部署最新安全补丁；阻断 PLC 直接互联网访问；强化访问控制；持续监控针对这类工控设备的异常行为。

本次通告发布前，美国已接连发生多起暴露于公网的 PLC 遭受攻击事件：

1. 7 月，黑客对明尼苏达州超过 30 家水务设施发起协同 OT 攻击，造成设备异常，部分水厂被迫临时切换人工操作模式。事后 CISA 专门发布针对水务行业的攻击预警。
2. 4 月，美国各机构发布预警，伊朗关联黑客入侵多家关键基础设施的工控设备，多个行业出现业务中断与经济损失。