2023年秋天，工业某汽车零部件厂的互联MES系统突然报警：37台数控机床同时离线。运维人员排查了交换机、网设防火墙、备漏甚至怀疑是工业电信光缆被挖断。最后发现，互联一台2016年出厂的网设西门子PLC固件版本停留在V2.0，被一个已公开两年的备漏漏洞利用工具扫中，攻击者用默认口令进了调试端口，工业顺手把设备锁死了。互联这不是网设电影情节，是备漏真实工控安全事件。

工业互联网设备漏洞这件事，工业跟传统IT漏洞完全不是互联一个量级。办公室电脑中招，网设最坏结果是文件被加密、蓝屏重启。但一台连在产线上的PLC被攻破，可能意味着整条流水线急停、机械臂乱序动作、甚至锅炉压力失控。去年某化工厂的DCS系统被植入挖矿程序——攻击者根本不在乎工艺安全，他们只是借工控设备算力去挖门罗币，结果导致反应釜温控延迟了0.8秒，差点酿成泄漏事故。

问题出在设备本身的设计逻辑上。工业设备讲究的是稳定、实时、长周期运行。一台ABB机器人控制器可能连续工作15年不重启，它的操作系统是裁剪过的VxWorks或RT-Linux，连基本的权限隔离都没有。更麻烦的是，很多设备出厂时带默认账户，比如“admin/admin”“root/123456”，工程师为了调试方便从来不删。我见过一个水厂的SCADA系统，操作员站的密码贴在显示器边框上，用便签纸写着“别改，改了老张记不住”。

协议层面的漏洞更隐蔽。Modbus TCP、Profinet、EtherNet/IP这些工业协议设计之初就没考虑加密和认证。你可以在总线上随意伪造指令，只要知道从站地址和寄存器偏移量。有次安全评估，我们用一台树莓派接上车间交换机，十分钟内就摸清了12台变频器的启停寄存器地址——全程没有任何认证拦截。设备厂商不是不知道，但改协议意味着所有下游设备都要升级，没人敢动。

补丁这件事在工业场景几乎是个死结。IT系统可以每月打补丁，工控系统不行。一条汽车焊装线停线一小时损失几十万，谁也不敢为了一个“可能被利用”的漏洞去重启关键控制器。更现实的问题是，很多老旧设备根本不再获得厂商支持。某钢铁厂还在用Windows XP Embedded的HMI，微软早就不发补丁了，厂商也说“建议整机更换”——可换一台要80万，还得停产三天。

攻击面还在扩大。以前工控网络是物理隔离的，现在为了远程运维、数据上云，大量设备通过4G/5G网关直接暴露在公网。Shodan上随便搜“Siemens S7”，能跳出上千个未加保护的设备。有个做智慧水务的集成商跟我聊过，他们给客户装的远程监控模块，默认开放了102端口，结果被勒索团伙盯上，水泵控制逻辑被篡改，客户收到要求支付比特币的邮件时，水池已经溢流了半小时。

怎么防？指望设备厂商主动修漏洞不现实。现场能做的是最小化改造：把调试端口关掉，改掉默认口令，用工业防火墙做协议白名单。有个做食品包装的厂子，在每条产线的PLC前面串了一台不到两千块的边缘网关，只放行特定功能码的Modbus写操作，半年拦了十几次异常扫描。这法子不优雅，但管用。

更根本的解法可能在设备选型阶段。新上的产线，尽量选支持固件签名和安全启动的控制器，哪怕贵15%。签合同的时候把漏洞响应条款写进去——厂商必须在30天内提供缓解措施。别信“我们的设备不联网所以安全”这种鬼话，U盘、笔记本、甚至维修工程师的手机都是跳板。

工业互联网设备漏洞不是技术问题，是成本、习惯和责任的博弈。每台带漏洞的设备背后，都站着一个不想停线的厂长、一个懒得改密码的工程师、和一个觉得“工控没人攻击”的老板。攻击者要做的，只是等其中一个环节松掉。