硬幣大小的「Bus Driver」裝置，60 秒內就能駭入波音 737 自動駕駛

在 2026 年 USENIX 安全研討會上發表的「Bus Driver」攻擊，堪稱至今最貼近現實的飛機駭客展示之一。來自加州大學聖地牙哥分校（UC San Diego）與歐柏林學院（Oberlin College）的研究團隊，打造了一個成本不到 100 美元、大小略大於一枚美國 25 美分硬幣的 Wi-Fi 裝置。他們能在 60 秒內，將這個裝置實際安裝到波音 737 機身上，並透過未經加密的 ARINC 429 航電匯流排注入指令，進而取得飛機自動駕駛系統的控制權 。

攻擊原理：物理接觸與植入

攻擊者首先在無需任何特殊工具的情況下，於約 15 秒內打開飛機外部一個未上鎖的艙門——即電子設備艙（Electronics and Equipment bay, E&E bay）。在這個艙內，有一個地勤人員用來測試與診斷航電系統的維護埠，它直接透過 ARINC 429 匯流排，連結至飛行管理電腦（Flight Management Computer, FMC）與駕駛艙內的多功能控制顯示單元（Multipurpose Control Display Unit, MCDU）。

研究人員製作的特製裝置大小與一枚硬幣相當，可直接插入這個埠，並且完全隱藏在原有的防塵蓋之下，例行檢查時難以察覺。整個安裝過程不到 60 秒 。

一旦裝置連接上線，它會採用一種研究者稱為「Bus Driver」的技術——透過發送更高電流的訊號，來覆蓋並取代原本在 FMC 與 MCDU 之間傳輸的合法指令。由於 ARINC 429 通訊協定完全沒有加密或身分驗證機制，該裝置可以攔截、修改及注入訊息，且不會被系統偵測 。這個裝置還內建 Wi-Fi 模組，讓攻擊者能夠透過飛機的機上 Wi-Fi 網路進行遠端控制 。

裝置能夠達成的具體操控

「Bus Driver」裝置讓攻擊者擁有以下幾種操縱飛機航電系統的能力：

• 更改自動駕駛航點：裝置可以對飛行計畫中的航點進行微小、漸進式的修改。隨著時間推移，這些隱蔽的竄改能夠讓飛機在不觸發飛行員警報的情況下，逐漸偏離原定航線 。
• 篡改起飛變數：裝置可以修改飛行管理電腦用來計算起飛性能的關鍵輸入，例如飛機重量與外界氣溫。如果飛行管理電腦記錄到的重量比實際輕、或氣溫比實際高，它所計算出的起飛推力可能不足以讓飛機安全離地 。
• 偽造駕駛艙顯示器：裝置會同步破壞駕駛艙儀表上顯示的數據，以隱藏其所作的修改。飛行員看到的會是錯誤但看似合理的數值，使得這起攻擊更難被察覺 。

潛在後果

研究人員警告，這些能力可能導致嚴重後果：

• 飛機在起飛時因為重量/氣溫數據遭到篡改而衝出跑道 。
• 飛機被引導進入外國或受限領空 。
• 在最壞的情況下，導致災難性空難 。

波音的回應與時間線

波音公司發表聲明表示「有信心飛機上既有的多層保護，包括系統設計與操作環境在內，已能提供足夠的緩解措施，來顯著限制實際攻擊的可行性與風險」。然而，研究人員指出，他們最早在六年前（約 2020 年）就已將部分研究細節通報給波音，但波音至今未曾針對這項弱點公布任何具體的技術修補方案 。

建議的緩解措施

研究團隊提出了短期的物理修復方案，以及長期的軟硬體解決方案：

短期物理修復

• 在外部維護埠內灌入環氧樹脂，以阻斷物理接觸 。
• 直接將該連接器從飛機上移除 。

長期軟硬體修復

• 導入基於軟體的檢測機制，以辨識航電匯流排上的異常訊號 。
• 為 ARINC 429 通訊加入加密身分驗證，以防止訊息被偽造 。

儘管這項展示的嚴重程度相當高，但研究人員強調他們自身仍持續搭乘波音 737 飛行。他們並非呼籲停飛相關機型，而是主張航空業界應進行長遠規劃，以從根本上解決這類涉及物理接觸的航電系統攻擊問題 。