IA encontra quatro vulnerabilidades graves em sistema industrial em menos de quatro horas
Um agente autônomo de inteligência artificial identificou quatro falhas de segurança no EPICS, plataforma de código aberto usada para monitorar e controlar equipamentos industriais e instalações científicas. A análise levou 3 horas e 49 minutos e revelou problemas classificados entre graves e críticos, incluindo uma vulnerabilidade que, em determinadas condições, poderia permitir a execução remota de código.
O EPICS, sigla em inglês para Sistema Experimental de Física e Controle Industrial, é utilizado em sistemas de supervisão, controle e aquisição de dados, conhecidos como SCADA. Essas ferramentas conectam operadores a equipamentos físicos: permitem acompanhar medições, emitir comandos e administrar processos à distância.
A investigação foi conduzida pelo Cipher, agente de IA desenvolvido pela empresa Causal Security. De acordo com Shubham Raj, cofundador da companhia, a ferramenta analisou um ambiente que não conhecia previamente, localizou os problemas e confirmou quatro possibilidades de exploração com pouca intervenção humana. A etapa inicial ocorreu de forma autônoma; depois, uma instrução autorizou testes adicionais em um ambiente seguro.
As falhas atingem o EPICS Base, componente central da plataforma. Um alerta da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) aponta que a exploração poderia causar interrupções de serviço, corrupção de memória, exposição de dados sensíveis e, em certas circunstâncias, execução de código arbitrário.
As quatro vulnerabilidades identificadas são:
– CVE-2026-114595 – CVSS 9,8, crítica: um estouro de inteiro pode levar à gravação de dados além dos limites da memória heap e, potencialmente, à execução remota de código.
– CVE-2026-114596 – CVSS 8,2, alta: a validação inadequada do tamanho de mensagens pode permitir gravações indevidas na memória e derrubar processos dos controladores.
– CVE-2026-114597 – CVSS 7,5, alta: a verificação insuficiente dos limites de memória pode permitir leituras fora da área autorizada e provocar o encerramento inesperado de processos.
– CVE-2026-114598 – CVSS 7,5, alta: uma confusão de tipos pode causar negação de serviço e expor informações armazenadas em áreas próximas da memória.
As quatro falhas foram corrigidas no EPICS Base 7.0.11, versão indicada para as organizações que utilizam o sistema. A atualização é especialmente relevante para instalações que não conseguem restringir completamente o acesso à rede de controle.
Criado originalmente pelos laboratórios nacionais americanos Los Alamos e Argonne, o EPICS é empregado em cerca de 90 grandes projetos e instalações científicas, universitárias e industriais pelo mundo. Entre os exemplos estão o Advanced Photon Source, no Laboratório Nacional de Argonne, e o sistema de controle do ITER, projeto internacional de pesquisa em fusão nuclear.
A eventual exploração das vulnerabilidades poderia comprometer a disponibilidade dos controladores e interromper atividades ligadas aos equipamentos conectados. Um controlador que falhasse durante um experimento em um acelerador de partículas, por exemplo, poderia interromper medições e funções de controle. Conforme a situação, a equipe teria de suspender as operações, com possível perda de trabalho experimental, períodos de indisponibilidade e custos de recuperação.
Uma exploração capaz de executar código remotamente poderia trazer riscos adicionais, como permitir que um invasor interferisse no processo afetado, alterasse leituras ou comprometesse comandos enviados aos equipamentos. Esses são cenários técnicos possíveis, e não evidências de que ataques desse tipo tenham ocorrido.
Para alcançar os serviços EPICS em uma instalação real, um invasor precisaria ter acesso à rede de controle ou conseguir se conectar a ela por meio de outro sistema comprometido. Uma segmentação inadequada entre redes corporativas e industriais pode aumentar essa exposição. Segundo Raj, uma vez alcançada a infraestrutura vulnerável, a exploração não exigiria necessariamente conhecimento especializado sobre tecnologia operacional ou sobre o funcionamento de aceleradores e reatores experimentais.
A descoberta também chama atenção para o uso de inteligência artificial na análise de segurança. Em menos de quatro horas, o agente identificou e validou problemas em um software especializado, uma tarefa que pode exigir inspeção cuidadosa de código e testes técnicos. A velocidade, porém, não elimina a necessidade de revisão humana: especialistas precisam avaliar os resultados, confirmar o impacto e coordenar correções sem colocar equipamentos em risco.
Além da atualização para a versão corrigida, organizações que operam EPICS devem inventariar os sistemas instalados e verificar quais serviços estão acessíveis em suas redes. Equipamentos de controle não devem ficar expostos diretamente a redes públicas. O acesso precisa ser limitado a usuários e sistemas autorizados, com regras de segmentação que impeçam conexões desnecessárias entre ambientes corporativos e operacionais.
Também é recomendável planejar a aplicação de correções junto às equipes responsáveis pela operação. Em ambientes científicos e industriais, uma atualização não pode ser feita sem considerar a continuidade dos experimentos e a segurança dos processos. Por isso, mudanças devem ser testadas previamente, programadas em janelas adequadas e acompanhadas por procedimentos de contingência.
A organização deve ainda monitorar sinais de comportamento anormal, como falhas inesperadas de processos, interrupções de comunicação ou tentativas de acesso fora do padrão. Manter registros de eventos e um plano de resposta a incidentes ajuda a identificar problemas com mais rapidez e a reduzir o tempo de recuperação caso um controlador seja afetado.
A empresa responsável pelo agente também informou que a IA identificou falhas em sistemas ligados a redes elétricas, embora não tenham sido apresentados, neste caso, detalhes equivalentes sobre os componentes atingidos ou os impactos potenciais. O episódio reforça a importância de tratar a segurança de sistemas industriais como uma prioridade: falhas em softwares que conectam operadores ao mundo físico podem afetar tanto a disponibilidade dos serviços quanto a confiabilidade das operações.