2026年1月3日黎明前，委内瑞拉首都加拉加斯突然陷入一片黑暗。与此同时，美国特种作战部队在当地抓捕委内瑞拉总统尼古拉斯·马杜罗。研究人士指出，这一事件被视为物理军事行动与网络行动同步展开的案例，显示出现代冲突中对关键数字基础设施的操控正成为重要作战手段。

与传统通过炸毁输电塔或切断线路造成停电不同，此次断电被描述为对电网工业控制系统的精确、隐蔽干预。相关系统负责调节电力流向，是电网运行的“数字大脑”，控制阀门启闭、涡轮机运转以及电力分配等关键环节。

长期以来，这类控制器多被视为相对简单、相对封闭的设备。随着电网和工业系统数字化、联网程度不断提高，它们逐步演变为复杂的网络化计算平台，也因此成为网络攻击的重点目标。

控制系统被操纵的方式

佐治亚理工学院网络安全与隐私、电气与计算机工程副教授萨曼·佐努兹（Saman Zonouz）表示，其团队的研究表明，恶意软件可以侵入控制器，制造出“分裂现实”：一方面向设备发送破坏性指令，另一方面向操作员呈现伪造的正常数据。

在电网场景中，恶意软件可拦截调度员发出的合法控制命令，并替换为旨在破坏系统稳定的指令。例如，通过快速、反复地开合断路器（业内称为“抖动”），可能导致大型变压器或发电机过热或与电网不同步，进而造成物理损坏，甚至引发火灾或爆炸，修复周期可能长达数月。

与此同时，恶意软件还可计算出在电网看似正常运行时传感器读数应呈现的状态，并将这些伪造数据回传控制室。操作员屏幕上可能显示电压稳定、设备状态正常，而实际物理设备已处于过载或频繁跳闸状态。这种数字图像与物理现实的脱节，使防御方在关键时刻难以及时识别和处置故障。

公开资料显示，此类攻击模式在过往已有先例。2009年，针对伊朗核浓缩设施的Stuxnet恶意软件通过操控离心机转速并伪造监控数据，导致多台离心机损毁。2016年，Industroyer恶意软件被指在乌克兰能源系统中利用工业通信协议直接打开断路器，造成基辅地区停电。

2023年披露的“Volt Typhoon”行动则被美国方面描述为一场针对关键基础设施的“预置”行动。相关报告称，攻击者在美国通信和电力等系统网络中长期潜伏，意在在未来危机中具备破坏能力。

为应对类似威胁，美国网络司令部提出“前沿防御”策略，强调在威胁抵达本土网络之前，主动在境外网络环境中搜寻并压制潜在攻击活动。在国内层面，美国网络安全和基础设施安全局则推动“安全设计”原则，要求设备制造商取消默认密码，并倡导公用事业企业采用“零信任”架构，将网络视为随时可能被攻破，从而强化访问控制和验证机制。

供应链与软件组件风险

除直接入侵外，控制器本身的软件供应链也被认为存在系统性脆弱性。对主要国际厂商控制器固件的分析显示，这些设备大量依赖第三方软件组件，以实现加密通信、云连接等功能。

研究指出，部分关键设备仍在使用过时的软件库，其中一些已超过生命周期终止，厂商不再提供安全更新。这意味着，一旦广泛使用的开源组件（如OpenSSL等加密工具包）被发现存在漏洞，可能同时影响多个厂商的大量控制器设备，形成跨行业的共通攻击面。

随着控制器具备通过嵌入式网页服务器进行远程管理的能力，其本身也逐渐成为网络设备的一部分。佐努兹表示，这些嵌入式网页服务器往往未被充分重视，却可能成为攻击者的重要入口。

攻击者可以通过控制器的网页应用植入恶意代码，使其在登录管理界面的工程师或操作员浏览器中执行。借助这种方式，恶意代码可“搭乘”合法用户会话，绕过防火墙等边界防护，向物理设备下达指令，而无需直接破解控制器密码。

研究团队利用自动化扫描工具发现，暴露在公共互联网的工业控制器数量远高于行业此前估计。结果显示，从医院设备到变电站继电器，成千上万台关键设备可被具备相应搜索条件的任何人访问。这为潜在攻击者提供了广泛的侦察空间，用于识别薄弱目标并作为进入更深层受保护网络的跳板。

佐努兹指出，近期美国在网络行动方面的公开战果，也引发了关于本国基础设施暴露程度的讨论。美国电网在技术架构、通信协议和供应链方面与海外许多系统高度相似，这被视为一项现实风险。

监管与实际安全之间的落差

在美国国内，监管框架与电网运行现实之间的错位，被研究人士视为另一层面挑战。佐努兹及其同事对美国电力行业开展的调研显示，合规要求与实际安全水平之间存在明显差距。

研究认为，现行法规在设定安全基线的同时，也在一定程度上强化了“为合规而合规”的心态。大量文档和审计要求占用了公用事业企业的资源，使其难以将足够精力投入到针对性更强、效果更直接的安全措施上。

这一问题在分布式能源资源快速发展的背景下尤为突出。住宅太阳能逆变器等设备的大规模接入，使连接用户与电网的边界层设备数量激增，形成高度分散的潜在攻击面，而现有监管规定对这些新型设备的覆盖有限。

能源部支持的分析显示，这类分布式设备在安全设计方面普遍存在不足。佐努兹团队的实验表明，通过控制相对少量的逆变器，攻击者就可能通过操纵其功率输出，显著干扰配电网络稳定性。与集中式电厂不同，这些设备分布在私人住宅和企业场所，物理防护条件各异。

安全思路向“物理后果”转变

在研究人士看来，保护关键基础设施需要超出传统“合规清单”式做法，将防御重点转向攻击可能造成的物理后果。

随着可联网计算机深度嵌入电网、工厂和交通系统，软件代码与物理世界之间的界限日益模糊。佐努兹认为，相关防御策略需要围绕“攻击者如何操纵物理机械”这一问题重新设计，对系统中每一层组件进行验证，而非仅依赖软件状态、硬件标签或控制面板上的“绿灯”指示。

他指出，在这一新环境下，关键基础设施的韧性建设将围绕如何在网络入侵与物理破坏之间建立更强“缓冲带”展开，包括提升监测能力、减少单点故障以及改进系统恢复机制等。

（本文根据萨曼·佐努兹发表于《The Conversation》的文章整理。）