硬币大小的设备可在60秒内劫持波音737自动驾驶仪

在2026年8月13日的USENIX安全研讨会上，加州大学圣地亚哥分校与欧柏林学院的研究人员展示了一种体积仅25美分硬币大小、成本不到100美元的Wi-Fi设备，该设备通过利用飞机外部一个可访问的检修口，即可接管波音737的自动驾驶仪。研究团队包括前加州大学圣地亚哥分校博士生Sam Crow、教授Stefan Savage和Aaron Schulman，以及欧柏林学院的Stephen Checkoway。

"总线驱动"攻击的工作原理

该设备需物理插入飞机电子设备舱内的一个维护端口，该舱室位于机头下方，可通过地面一个未上锁的舱门进入。研究人员估计，只需不到60秒即可完成访问并连接设备。

该端口通过两条ARINC 429总线传输飞行管理计算机（FMC）与飞行员多功能控制显示单元（MCDU）之间的数据——这是一种可追溯到1977年的硬连线通信标准，缺乏消息认证或加密功能。

该植入设备充当"总线驱动"角色，通过在总线上驱动比合法计算机更强的电流，从而覆盖任何传输并注入其伪造的指令。它还能抑制飞行员显示屏上关于已发生更改的指示。

该设备可篡改的内容

• 自动驾驶航点和飞行路径：该植入设备可在飞行中重新规划航线，包括将飞机改道至不同国家的领空，或仅改变几度的导航方向。
• 起飞参数：它可以修改飞机重量、平衡、重心和外部气温等数据——所有这些都用于计算安全起飞速度。错误数值可能导致跑道冲出或失控。
• 飞行员显示屏：该设备可伪造显示给飞行员的结果，使其看不出任何变化，从而可能诱使其做出危险决策。

波音的回应

研究人员于2020年首次向波音披露该漏洞，随后在波音的一个测试设施中验证了其发现。波音确认已对其组件设计和接口进行了审查，并告诉《连线》杂志，"飞机上已有的保护层，包括系统设计和运行环境，提供了足够的缓解措施，显著限制了实际攻击的可行性和风险"。研究人员表示，波音并未告知他们任何技术修复方案。他们推测，鉴于商用飞机重新设计的频率极低，该公司可能多年内都不会实施更新。

研究人员建议的缓解措施

• 物理加固：最简单的修复方法是用环氧树脂封堵维护端口，或直接将其拆除。
• 改进运行安全：研究人员主张加强对地面飞机周围的访问控制，因为该攻击需要短暂物理接触飞机外部舱门。
• 长期系统重新设计：由于ARINC 429总线缺乏认证功能，研究人员建议未来的航电总线应加入消息认证等安全功能，以防止欺骗攻击。

研究人员指出，虽然该攻击性质严重，暴露了航空网络安全中的一个重大盲区，但无需因此停飞飞机或引发公众恐慌——所有作者均表示，他们"会继续常规乘坐波音737飞机，并打算继续这样做"。