ИИ-агент Cipher за 3 часа 49 минут обнаружил четыре ранее неизвестные уязвимости EPICS — открытого набора ПО для управления научными установками и промышленными системами. Одна из ошибок получила 9,8 балла из 10 по CVSS и при удачной эксплуатации может привести к удалённому выполнению кода; для команд, работающих с АСУ ТП, SCADA и критической инфраструктурой, это очередной сигнал, что «непопулярность» отраслевого софта больше не похожа на защиту.
Все найденные проблемы затрагивают EPICS Base. По данным The Register, агент самостоятельно изучил незнакомую кодовую базу, нашёл дефекты, проверил возможность их эксплуатации и лишь затем получил от человека разрешение на более глубокое тестирование в изолированной среде. Исправления уже вошли в EPICS Base 7.0.11 — организациям, использующим платформу, рекомендовано перейти на эту версию.
Самая опасная ошибка получила идентификатор CVE-2026-114595. Это целочисленное переполнение: специально подготовленные данные из сети способны вызвать запись за пределы выделенной области памяти. Такой дефект может привести к повреждению памяти и, в худшем сценарии, к выполнению произвольного кода на контроллере. Три остальные уязвимости оценены как высокоопасные: CVE-2026-114596 с рейтингом 8,2 связана с некорректной проверкой длины сообщения и может обрушить процесс контроллера; CVE-2026-114597 и CVE-2026-114598 получили по 7,5 балла. Они позволяют читать данные за границами памяти, вызывать отказ в обслуживании, а в одном случае потенциально раскрывать содержимое соседних участков памяти.
EPICS создавался в национальных лабораториях Лос-Аламоса и Аргонна как среда для распределённых систем мониторинга и управления. Через него операторы получают данные с физических устройств и отправляют им команды. Платформу используют примерно на 90 крупных научных, университетских и промышленных объектах по всему миру — в том числе в Advanced Photon Source Аргоннской национальной лаборатории и системе управления термоядерного проекта ITER. Поэтому речь не о типовом серверном баге, который ограничится перезапуском веб-сервиса: сбой контроллера способен остановить измерения или управление оборудованием посреди дорогого эксперимента.
В CISA предупредили, что успешная атака может привести к отказу в обслуживании, повреждению памяти, утечке чувствительной информации или выполнению произвольного кода. При этом атакующему нужно сначала добраться до уязвимых сервисов в сети объекта. Обычно это означает слабую сегментацию, ошибочную конфигурацию или уже скомпрометированную смежную систему. Но после появления доступа порог входа заметно ниже: по словам сооснователя Causal Security Шубхама Раджа, для эксплуатации не требуется разбираться в физике ускорителей либо устройстве термоядерного реактора.
Именно здесь история выходит за пределы EPICS. Раньше безопасность многих OT-систем частично держалась на узкой специализации, старом стеке и дефиците людей, готовых неделями разбирать специфичный протокол и код контроллера. Автономный агент может быстро пройти эту подготовительную часть: построить модель поверхности атаки, найти опасные проверки границ, подготовить тесты и подтвердить результат. Для защитников это не повод списывать всё на магию ИИ, а довольно приземлённая задача: инвентаризировать компоненты, закрыть ненужную сетевую доступность, разделить IT- и OT-сегменты и наладить обновления там, где раньше их откладывали «до окна обслуживания».
Для разработчиков промышленного ПО вывод также неприятно практичный: проверки памяти, форматов сообщений и типов данных теперь будут анализироваться не только исследователями с редкой отраслевой экспертизой. Ускоряется не только поиск проблем, но и подготовка эксплуатации. Если компания поставляет контроллеры, инженерное ПО или интеграционные шлюзы, полезно считать аудит с ИИ-инструментами частью обычного жизненного цикла разработки, а не экзотическим исследованием после инцидента.
Cipher уже фигурировал в другой истории: ранее в 2026 году он обнаружил несколько критических путей атаки в системах электросетей Северной Америки и Европы, после чего CISA выпустило консультативное сообщение 8 октября. Новые уязвимости EPICS показывают смену баланса: для нарушения работы физической инфраструктуры злоумышленнику всё реже нужны годы узкопрофильного опыта. Главный вопрос теперь не в том, смогут ли автономные агенты находить ошибки в OT, а успеют ли владельцы таких систем перестроить защиту быстрее, чем эти агенты станут обычным инструментом атакующих.