CISA alerta: scripts gerados por IA estão a testar PLCs Siemens S7

O aviso chegou sem dramatismo publicitário, mas com uma frase rara em documentos técnicos: "isto não é um risco teórico; é uma ameaça ativa". A 19 de agosto de 2026, CISA, NSA, FBI, Departamento de Energia e EPA publicaram o advisory AA26-231A, alertando operadores de infraestrutura crítica para ataques contra controladores Siemens S7 Series PLC expostos à internet ou mal segmentados.

O detalhe que torna a notícia diferente de mais um boletim industrial é a forma como os atacantes estão a ganhar velocidade. Segundo as agências, os grupos estão a usar IA para gerar scripts de exploração com base em informação pública, depois disfarçam essas ferramentas como software normal de monitorização OT. A tecnologia visada não é obscura: PLCs como os S7-200, S7-300, S7-400, S7-1200 e S7-1500 controlam processos físicos em água, energia, fabrico, agricultura, química e instalações comerciais.

O advisory descreve uma cadeia simples: serviços de pesquisa na internet ajudam a encontrar controladores acessíveis; bibliotecas abertas como snap7.dll e python-snap7 dão uma ponte legítima para falar o protocolo S7comm; assistentes de código reduzem o tempo necessário para transformar documentação pública em ferramentas de leitura e escrita. O resultado pode dar acesso a memória do PLC, configuração e lógica ladder, precisamente a camada que decide o que uma bomba, uma válvula ou uma linha de produção fazem.

A Tenable sublinha que o alerta cobre todas as gerações principais da família S7 e que a preocupação vai além de um único fornecedor. A The Register resume o problema de forma direta: a combinação entre bibliotecas industriais públicas e IA de programação baixa a barreira técnica para mexer em sistemas que antes exigiam conhecimento OT bastante especializado.

O que muda para equipas técnicas

A primeira mudança é mental. Este não é um caso em que basta esperar por um CVE novo, aplicar uma correção e fechar o ticket. O próprio aviso fala em controladores expostos, firmware antigo, credenciais fracas, segmentação insuficiente e funções de comunicação que continuam ativas sem necessidade operacional. Ou seja, parte do risco nasce menos de uma falha inédita e mais de uma arquitetura que deixou equipamento físico parecer um serviço web.

A segunda mudança é operacional. As recomendações prioritárias são pouco glamorosas, mas urgentes: inventariar PLCs S7, retirar controladores da internet pública, bloquear tráfego S7comm/TCP 102 no perímetro quando não for indispensável, aplicar updates, reforçar autenticação e procurar uso não autorizado de bibliotecas snap7 fora de estações de engenharia aprovadas. Também importa criar alarmes para alterações de lógica e para operações de leitura/escrita fora de janelas de manutenção.

Para o público geral, a história é maior do que Siemens. Ela mostra uma fase nova da cibersegurança: a IA não precisa de inventar malware inédito para aumentar risco. Basta acelerar tarefas repetitivas, juntar exemplos públicos, escrever código funcional e ajudar atacantes a parecerem operadores legítimos. Em ambientes industriais, essa diferença pode ser suficiente para transformar curiosidade técnica em pré-posicionamento real.

O fecho prudente é este: a infraestrutura crítica não ficou vulnerável esta semana porque a IA apareceu. Ela ficou mais pressionada porque ferramentas antigas, documentação pública e configurações expostas passaram a ser exploradas com menos atrito. A resposta também não é mágica. É voltar ao básico difícil: saber o que está ligado, separar redes, limitar quem pode escrever lógica, registar alterações e tratar cada controlador exposto como se já estivesse a ser procurado.