Inteligência artificial descobre quatro falhas graves em sistemas de controle industrial em menos de 4 horas

Um agente autônomo de inteligência artificial identificou quatro vulnerabilidades graves no EPICS (Experimental Physics and Industrial Control System), um conjunto de ferramentas de código aberto utilizado para controlar equipamentos industriais e grandes instalações científicas. A descoberta ocorreu em apenas 3 horas e 49 minutos e inclui uma falha crítica que pode permitir a execução remota de código em sistemas responsáveis pelo controle de aceleradores de partículas e experimentos de fusão nuclear.

As vulnerabilidades foram descobertas pelo Cipher, agente de IA desenvolvido pela Causal Security. Segundo Shubham Raj, cofundador da empresa, a ferramenta investigou um ambiente desconhecido, identificou os problemas e validou quatro possibilidades de exploração com intervenção humana mínima.

A investigação inicial ocorreu sem participação humana, seguida de uma única instrução autorizando testes mais aprofundados em um ambiente seguro.

As quatro falhas afetam o EPICS Base, componente central da plataforma. A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) publicou um comunicado alertando que a exploração pode provocar indisponibilidade de serviços, corrupção de memória, exposição de informações sensíveis e, em determinadas condições, execução de código arbitrário.

Vulnerabilidades incluem falha crítica com pontuação CVSS de 9,8

A investigação identificou quatro vulnerabilidades anteriormente desconhecidas, classificadas entre os níveis alto e crítico de gravidade.

• CVE-2026-114595 (CVSS 9,8 — Crítica): falha de estouro de inteiro (integer overflow) que permite a gravação de dados fora dos limites da memória heap, potencialmente possibilitando execução remota de código.

• CVE-2026-114596 (CVSS 8,2 — Alta): validação inadequada do comprimento de mensagens, permitindo gravações indevidas na memória e causando falhas nos processos dos controladores.

• CVE-2026-114597 (CVSS 7,5 — Alta): verificação insuficiente dos limites de memória, permitindo leituras fora da área autorizada e encerramento inesperado de processos.

• CVE-2026-114598 (CVSS 7,5 — Alta): vulnerabilidade de confusão de tipos (type confusion) que pode provocar negação de serviço e exposição de informações armazenadas em regiões adjacentes da memória.

Todas as vulnerabilidades foram corrigidas no EPICS Base 7.0.11, versão recomendada para organizações que utilizam a plataforma.

Software vulnerável controla aceleradores de partículas e reatores experimentais

O EPICS foi originalmente desenvolvido pelos laboratórios nacionais americanos Los Alamos e Argonne e é utilizado na construção e operação de sistemas distribuídos de supervisão, controle e aquisição de dados (SCADA).

Esses sistemas conectam operadores a equipamentos físicos, permitindo monitorar medições, enviar comandos e controlar processos industriais e científicos remotamente.

Atualmente, a tecnologia é utilizada em aproximadamente 90 grandes projetos e instalações científicas, universitárias e industriais ao redor do mundo.

Entre os ambientes que utilizam EPICS estão o Advanced Photon Source, do Argonne National Laboratory, e o sistema de controle do ITER, projeto internacional de pesquisa em fusão nuclear.

A exploração das vulnerabilidades poderia comprometer a disponibilidade dos controladores responsáveis por essas operações, interrompendo experimentos e afetando equipamentos conectados.

Segundo Raj, um invasor poderia provocar a falha de um controlador durante um experimento em um acelerador de partículas, interrompendo medições e funções de controle.

Dependendo das circunstâncias, isso poderia obrigar os operadores a suspender atividades, resultando em perda de trabalhos experimentais, períodos prolongados de indisponibilidade e custos elevados de recuperação.

Caso um invasor desenvolvesse uma exploração funcional de execução remota de código, também poderia assumir o controle do processo afetado, manipular leituras e interferir nas funções de controle dos equipamentos.

Esses impactos representam possibilidades técnicas descritas pelos pesquisadores, não consequências de ataques confirmados.

Exploração depende de acesso à rede de controle industrial

Para explorar as vulnerabilidades em uma instalação real, um invasor precisaria conseguir alcançar os serviços EPICS vulneráveis na rede de controle da organização.

Isso poderia ocorrer em ambientes com segmentação inadequada de redes ou quando outro sistema acessível ao invasor tivesse conectividade com a infraestrutura EPICS.

Segundo Raj, uma vez obtido o acesso à rede vulnerável, a exploração não exigiria necessariamente conhecimento aprofundado de tecnologia operacional (OT) ou do funcionamento de aceleradores de partículas e reatores de fusão.

Profissionais com experiência convencional em exploração de vulnerabilidades poderiam investigar as falhas, enquanto ferramentas avançadas de inteligência artificial poderiam auxiliar no desenvolvimento de exploits.

O pesquisador ressalta, entretanto, que manipular processos físicos específicos ainda exige conhecimento adicional sobre os equipamentos e suas operações.

Mesmo sem esse conhecimento especializado, a interrupção de processos críticos de monitoramento e controle já poderia provocar consequências operacionais significativas.

IA também identificou falhas em sistemas de redes elétricas

A descoberta no EPICS não foi o primeiro resultado do Cipher envolvendo infraestruturas críticas.

Anteriormente, o agente de inteligência artificial identificou múltiplos caminhos de ataque críticos em sistemas utilizados por redes elétricas da América do Norte e da Europa.

As descobertas levaram a CISA a publicar um comunicado de segurança em 8 de outubro de 2026.

Para a Causal Security, os resultados demonstram a capacidade de agentes autônomos de investigar tecnologias industriais complexas e identificar vulnerabilidades sem depender de anos de experiência específica nesses ambientes.

Essa capacidade também apresenta implicações para a segurança de infraestruturas críticas, uma vez que ferramentas semelhantes poderiam ser utilizadas por invasores para acelerar a descoberta e o desenvolvimento de técnicas de exploração.

Embora não tenham sido relatados ataques reais explorando as quatro falhas do EPICS, a possibilidade de interromper sistemas de controle responsáveis por processos físicos torna a aplicação das correções especialmente relevante.

A versão 7.0.11 do EPICS Base já contém as atualizações necessárias para corrigir as vulnerabilidades identificadas.