Critical 0day flaw Exposes 70k XSpeeder Devices as Vendor Ignores Alert

研究人员揭露了CVE-2025-54322，一个在XSpeeder网络设备中发现、由AI智能体找到的关键未修补漏洞。约70,000台工业和分支机构设备暴露在风险中。

想象一下，有一把万能钥匙可以打开70,000家企业的前门，但锁匠却拒绝修复这个漏洞。这正是XSpeeder网络设备中发现的一个安全漏洞所面临的处境。该问题由研究公司pwn.ai发现，该公司使用其同名的专有AI工具，在黑客利用之前找到了这个漏洞。

该漏洞被标记为CVE-2025-54322，获得了最高的10.0分（严重）威胁评级，因为它允许外部人员在无需密码的情况下完全“root”控制设备。众所周知，root访问权限是黑客的终极目标；它赋予了他们监控流量、窃取数据或完全关闭系统的权力。

AI如何发现漏洞

XSpeeder是一家中国供应商，以路由器、SD-WAN设备和智能电视控制器等“边缘”设备而闻名。其核心软件SXZOS在工厂和远程办公室中被广泛使用。

为了发现这个漏洞，pwn.ai工具让其“集群”的AI智能体模拟这些设备并寻找弱点。这些智能体采用基于数十年黑客经验构建的自定义架构，来复制设备行为并扫描其漏洞。

根据与Hackread.com分享的技术研究，AI瞄准了一个名为 vLogin.py 的文件。通过向一个名为 chkid 参数的数据字段注入恶意代码，该工具找到了诱骗设备执行其自身命令的方法。研究人员指出，这是“首个由智能体发现、可远程利用的公开零日漏洞”。

虽然我们经常听说AI被用于恶意目的，例如2025年11月Anthropic报告的一个由国家支持的中国组织进行的“高度复杂的AI主导间谍活动”，但这显示了AI同样可以成为强大的防御工具。

然而，对于pwn.ai来说，发现漏洞只是战斗的一半。该团队花了7个多月的时间试图让XSpeeder修复这个问题，但不幸的是，“没有发布任何补丁或公告”。

研究人员写道：“我们选择它作为我们的首次披露，因为与其他供应商不同，尽管进行了七个多月的联系，我们一直未能从XSpeeder得到任何回应。因此，在发布时，这不幸仍然是一个零日漏洞。”

值得注意的是，利用此漏洞的黑客并不需要是天才；“攻击者只需要知道目标的IP地址，”博客文章透露。

由于没有修复的迹象，目前有70,000个系统在线暴露，对工业和分支机构环境构成巨大风险。Pwn.ai的调查显示，其工具已经发现了近20个其他主要漏洞，这清楚地表明我们寻找和对抗安全漏洞的方式已经永远改变。

虽然一些供应商对漏洞报告反应迅速且负责任，但另一些供应商则忽视它们，淡化风险，甚至抨击报告漏洞的研究人员。最近的一个例子涉及欧洲火车服务巨头Eurostar，在研究人员报告其AI驱动的聊天机器人存在严重缺陷后，该公司指责来自Pen Test Partners的研究人员敲诈勒索。

此类事件并不罕见。它们在世界各地都有发生，这可能就是为什么像葡萄牙这样的国家开始更新其网络犯罪法律，以保护道德黑客和研究人员仅因识别和报告安全问题而被起诉。