Osiem dni temu opisywaliśmy atak na polską elektrociepłownię, w którym napastnicy przeszli przez prywatny APN do sieci sterowania i znaleźli tam sterownik chroniony domyślnymi poświadczeniami administratora. Napisaliśmy wtedy, że żadne ogniwo tego łańcucha nie było wyrafinowane — że to lista, którą każdy audytor zna na pamięć.
19 sierpnia pięć amerykańskich agencji federalnych wydało wspólne ostrzeżenie o tej samej liście, tylko po drugiej stronie oceanu i w skali, która wymusiła podpis NSA, CISA, FBI, Departamentu Energii i Agencji Ochrony Środowiska naraz.
Nowe jest w nim jedno zdanie, którego w takim dokumencie jeszcze nie było: napastnicy używają kodu wygenerowanego przez AI, żeby atakować sterowniki przemysłowe. Agencje piszą wprost, że to nie jest ryzyko teoretyczne, lecz aktywne zagrożenie.
A rzecz, którą warto z tego wyciągnąć, jest odwrotna do nagłówka. AI nie otworzyło tych drzwi. Drzwi stały otworem od lat.
Co dokładnie opisuje ostrzeżenie
Celem są sterowniki programowalne Siemens S7 wystawione do internetu na porcie 102. Sektory: krytyczna produkcja, energetyka, wodociągi i oczyszczalnie, chemia, żywność i rolnictwo oraz obiekty komercyjne. Agencje dodają, że te same sterowniki działają również w bazie przemysłu obronnego i tam także mogą być celem.
Metoda składa się z trzech kroków i żaden z nich nie jest skomplikowany.
Najpierw rozpoznanie: atakujący przeczesują internet publicznymi wyszukiwarkami urządzeń, szukając sterowników słabo zabezpieczonych — takich, które działają na przestarzałym oprogramowaniu albo z domyślnymi hasłami. To jest czynność dostępna dla każdego, kto potrafi wpisać zapytanie w wyszukiwarce.
Potem generowanie narzędzia: dane o namierzonych celach trafiają do modeli AI, które produkują działające skrypty eksploatacyjne. Skrypty są przy tym przebrane za legalne narzędzia monitoringu przemysłowego — co jest szczegółem istotnym dla obrońcy, bo utrudnia odróżnienie ich od oprogramowania, które w tym środowisku ma prawo się znaleźć.
Wreszcie wykonanie: skrypty łączone są z otwartoźródłowymi bibliotekami do komunikacji z systemami przemysłowymi, co daje odczyt i zapis pamięci, danych oraz programów sterujących przez protokół S7comm. Czyli możliwość zmiany tego, co sterownik faktycznie robi z pompami, zaworami i resztą urządzeń, którymi zarządza.
Ostrzeżenie nie wskazuje sprawcy. Komentujący wiążą tę aktywność z operacjami przypisywanymi Iranowi, wskazując na kontynuację serii ataków na sterowniki w wodociągach — w co najmniej dwunastu stanach, z lipcowym incydentem, który zakłócił działanie ponad trzydziestu lokalnych systemów wodociągowych w Minnesocie. Przypisanie jest tu ostrożne i tak należy je traktować.
Zmieniło się kto, nie co
I teraz sedno, które w większości relacji przepada pod nagłówkiem o sztucznej inteligencji.
Zauważmy, czego w tym ostrzeżeniu nie ma. Nie ma nowej podatności. Nie ma numeru CVE. Nie ma luki w oprogramowaniu Siemensa, którą trzeba by pilnie załatać. Sterowniki, o których mowa, są podatne dlatego, że są wystawione do internetu i mają przestarzałe oprogramowanie albo domyślne hasła.
To jest problem, o którym mówi się w tej branży od co najmniej dekady. Nie wymaga sztucznej inteligencji, żeby go wykorzystać — wymaga wyszukiwarki urządzeń i wiedzy o protokole przemysłowym.
Co zatem zmieniła AI? Dokładnie ten drugi element. Wiedzę o protokole.
Atak na sterownik przemysłowy wymagał dotąd kompetencji rzadkiej i specyficznej: trzeba było rozumieć S7comm, wiedzieć, jak zbudowany jest program sterujący, umieć napisać kod, który nie zawiesi urządzenia, tylko zmieni jego zachowanie. To była bariera, która skutecznie ograniczała liczbę osób zdolnych do takiego ataku — i dlatego ataki na systemy sterowania były rzadkie mimo tego, że cele stały odsłonięte.
Ta bariera właśnie zniknęła. Jak ujmuje to jedna z relacji z ostrzeżenia, narzędzia AI czynią te ataki dostępnymi dla przeciwników, którzy nigdy nie zbudowaliby ich ręcznie. Agencje piszą to samo w swoim języku: wspomagane przez AI tworzenie narzędzi zmniejsza wymaganą wiedzę ekspercką i czas potrzebny do zbudowania używalnego narzędzia ataku na systemy przemysłowe, pozwalając przeciwnikom szybciej dostosowywać się do środków obronnych.
Nie zmieniła się więc powierzchnia ataku. Zmieniła się liczba osób, które potrafią z niej skorzystać.
To jest dokładnie ten sam wzorzec, który opisujemy od lipca. DeepSeek nie znalazł luki — złożył sposób ataku z legalnych funkcji, a osoba, która o to poprosiła, nie musiała wiedzieć, że taka funkcja istnieje. Agentowy ransomware wszedł przez luki, z których żadna nie była nowa — nowe było tylko to, że coś spięło je bez człowieka. Raport Bitdefendera pokazał, że AI jest mnożnikiem starych technik, a nie źródłem nowych.
Różnica polega na tym, że tym razem mówi to pięć agencji federalnych naraz, w dokumencie o systemach, które sterują wodą pitną.
Dwa razy ten sam sterownik, dwa kontynenty
Zestawmy to z polskim przypadkiem, bo zbieżność jest pouczająca.
W elektrociepłowni pod Warszawą napastnicy weszli przez urządzenie brzegowe bez drugiego składnika uwierzytelniania, przeszli przez płaską sieć prywatnego APN i znaleźli sterownik z domyślnymi poświadczeniami administratora. Wyłączyli turbinę parową i uzdatnianie wody.
W amerykańskich wodociągach napastnicy znajdują sterowniki wystawione wprost do internetu, z przestarzałym oprogramowaniem albo domyślnymi hasłami, i generują do nich narzędzia przy pomocy AI.
Różnią się drogą dojścia. Nie różnią się tym, co czekało na końcu: urządzenie sterujące fizycznym procesem, chronione hasłem, którego nikt nie zmienił.
To jest, jak sądzę, właściwa lekcja z zestawienia tych dwóch incydentów. Rozmowa o AI w atakach na infrastrukturę krytyczną jest ważna, ale przesłania coś prostszego: w obu przypadkach ostatnie ogniwo dało się usunąć w jedno popołudnie, bez żadnej technologii, przez zmianę hasła i odcięcie urządzenia od sieci, do której nie musi mieć dostępu.
Uczciwie: proporcje
Kilka rzeczy trzeba postawić rzetelnie.
Ostrzeżenie nie opisuje udanego przejęcia sterownika przy pomocy AI. Opisuje aktywne rozpoznanie i rozwijanie zdolności — czyli etap przygotowań. To istotna różnica wobec incydentu w Minnesocie, który wydarzył się wcześniej i, według dostępnych informacji, nie wykorzystywał AI.
Agencje nie wskazują sprawcy i nie podają danych o skali skutecznych włamań tą metodą. Przypisanie do konkretnego państwa pochodzi od komentujących badaczy, nie z samego dokumentu.
Warto też odnotować, że ostrzeżenie tego typu pełni funkcję prewencyjną. Jego celem jest skłonienie operatorów do inwentaryzacji i odcięcia sterowników, zanim zdolność napastników dojrzeje. Publikacja przed falą udanych ataków jest zachowaniem właściwym, ale oznacza, że opisany stan to zapowiedź, nie sprawozdanie.
I rzecz, o której łatwo zapomnieć przy takich dokumentach: to nie jest problem Siemensa. Sterowniki tej rodziny są po prostu najpowszechniejsze, więc pojawiają się w wynikach skanowania najczęściej. Ten sam scenariusz dotyczy każdego sterownika wystawionego do internetu z domyślną konfiguracją.
Co z tego wynika dla obrońcy
Zalecenia agencji są konkretne i warto je podać wprost, bo są wykonalne.
Pierwsza czynność: zinwentaryzuj wszystkie sterowniki S7 w swoim środowisku i sprawdź, czy którykolwiek jest osiągalny z internetu. To brzmi banalnie, ale w wielu organizacjach nie istnieje pełna lista takich urządzeń — bo instalowali je integratorzy, a nie dział IT.
Druga: odetnij je od internetu. Agencje wskazują tu rozwiązania jednokierunkowe, przepuszczające dane tylko w jedną stronę, jako środek szczególnie skuteczny w ograniczaniu powierzchni ataku.
Trzecia dotyczy wykrywania i jest najbardziej praktyczna, bo daje konkretne sygnały do wyszukania w logach. Warto szukać nietypowego zachowania protokołu S7comm: połączeń ze stacji, które nie są stacjami inżynierskimi, nietypowych wzorców dostępu do bloków danych oraz operacji zapisu poza oknami zmian. Sekwencyjne skanowanie adresów na porcie 102 i powtarzane próby połączeń ze zmiennymi parametrami wskazują na rozpoznanie. Użycie bibliotek komunikacji z systemami przemysłowymi poza zatwierdzonymi stacjami roboczymi może oznaczać obecność intruza.
I czwarta, która nie jest w ostrzeżeniu, ale wynika z całej tej historii: sprawdź domyślne hasła. Na wszystkim, co steruje czymkolwiek fizycznym. To jest jedyne ogniwo obu opisanych tu łańcuchów, które można usunąć bez budżetu, projektu i zgody zarządu.
Jedna myśl na koniec
Przez ostatnie miesiące pisaliśmy o AI, które znajduje luki w jądrze Linuksa, składa łańcuchy exploitów w rdzeniu WordPressa za dwadzieścia pięć dolarów i włamuje się do cudzych firm, szukając klucza odpowiedzi. To wszystko było o zdolnościach — o tym, jak wysoko sięga sufit.
To ostrzeżenie jest o czymś innym i, jak sądzę, ważniejszym. Nie o suficie, tylko o podłodze. Bo do zaatakowania sterownika wodociągu nie trzeba modelu klasy frontier ani dwudziestu pięciu dolarów. Trzeba wyszukiwarki urządzeń, sterownika, którego nikt nie odciął od internetu, hasła, którego nikt nie zmienił — i modelu, który wypełni jedyną lukę, jaka jeszcze została: wiedzę o tym, jak rozmawiać z tym urządzeniem.
Trzy z tych czterech elementów były na miejscu od lat. Czwarty właśnie stał się powszechnie dostępny.
Źródła
The Register — relacja z ostrzeżenia z 19 sierpnia 2026, z cytatem o aktywnym zagrożeniu, opisem sektorów objętych ryzykiem, pełną listą zalecanych metod wykrywania oraz kontekstem ataków w dwunastu stanach i incydentu w Minnesocie: https://www.theregister.com/security/2026/08/19/not-a-theoretical-risk-feds-warn-as-attackers-use-ai-made-code-to-hack-critical-infrastructure-controllers/5289960
TechTimes — omówienie ostrzeżenia AA26-231A z listą pięciu agencji sygnatariuszy oraz opisem techniki: skanowania usługami Censys i ZoomEye w poszukiwaniu sterowników z otwartym portem 102 i podawania danych o celach narzędziom AI generującym działające skrypty: https://www.techtimes.com/articles/325080/20260820/feds-confirm-ai-writing-exploits-siemens-plcs-used-water-energy.htm
GBHackers — szczegóły dotyczące maskowania skryptów jako legalnych narzędzi monitoringu przemysłowego oraz stanowisko agencji, że wspomagane przez AI tworzenie narzędzi zmniejsza wymaganą wiedzę ekspercką i czas potrzebny do zbudowania używalnego narzędzia ataku na systemy przemysłowe: https://gbhackers.com/cisa-nsa-and-fbi-warn-hackers/
Gizmodo — potwierdzenie składu agencji sygnatariuszy oraz kontekstu ataków na zakłady uzdatniania wody: https://gizmodo.com/fbi-warns-that-hackers-are-targeting-siemens-equipment-amid-recent-water-plant-breaches-2000800534
Nie nowy atak, tylko naprawiony błąd. Co łatka Gemini CLI mówi o tym, że tryb –yolo w potoku CI/CD to nie jest dobry pomysł