「公車司機」攻擊：一枚硬幣大小的植入裝置，如何繞過飛行管理系統並接管波音737

在2026年8月13日於巴爾的摩舉行的第35屆USENIX安全研討會上，來自加州大學聖地牙哥分校（UC San Diego）與歐柏林學院（Oberlin College）的研究團隊，展示了一項名為**「公車司機」（Bus Driver）攻擊**的概念驗證，震驚了航空與資訊安全領域。此攻擊利用一個如硬幣般大小的硬體植入裝置，在不到60秒的短暫物理接觸下，即可接管波音737 Next Generation與MAX機型的自動駕駛與飛行管理系統。

「公車司機」攻擊是如何運作的？

由前UCSD博士生Sam Crow率領的研究團隊，自行設計、製造並程式化了一個小型電路板，作為插入兩台關鍵機載電腦之間的惡意第三方裝置。其攻擊步驟如下：

60秒內完成物理安裝

這個大小約等同於一枚美元25分硬幣、製造成本不到100美元的裝置，透過開啟機身外部一個通往電子設備艙（E&E bay）的艙門進行安裝。攻擊者無需特殊工具，約15秒即可打開此艙門，隨後將植入裝置插入一個外露的機載維護電腦（Onboard Maintenance Computer, OMC）埠。整個安裝過程耗時不到60秒，且裝置體積小巧，足以藏在埠的防塵蓋下，在例行檢查中難以被發現。

利用ARINC 429航電資料匯流排

一旦連接，植入裝置便會接入未經加密的ARINC 429航電資料匯流排。這是一個單主站的序列匯流排，負責承載飛行管理電腦（Flight Management Computer, FMC）與駕駛員的多功能控制顯示單元（Multifunction Control and Display Unit, MCDU）之間的所有通訊。ARINC 429協議本身內建任何驗證或加密機制。更關鍵的是，其電氣設計使用阻抗匹配電阻，使得惡意裝置能夠透過在匯流排線路上驅動比合法發射器更強的電流，從而電氣性地覆蓋合法訊號。研究人員將這種訊號壓制技術稱為「公車司機」攻擊。

植入裝置可以修改的內容

一旦「公車司機」植入裝置覆寫了匯流排，它就能注入偽造的指令來：

• 改變航點，使飛機偏離預設的飛行路徑
• 更改起飛重量的計算，這會直接影響V速度（起飛所需的抬頭速度）
• 修改外界大氣溫度與燃油量數值，進而改變關鍵的性能計算參數

隱蔽性：偽造的駕駛艙顯示器

與此同時，該裝置會向駕駛艙顯示器發送假資料，讓飛行員看到的是原始且未經修改的飛行計劃——從而有效地隱藏所有變更。飛行員的MCDU螢幕上不會出現任何警報或異常，使得此攻擊從駕駛艙內極難被察覺。

飛行中的Wi-Fi控制

此植入裝置還包含一個Wi-Fi無線電模組，讓攻擊者能夠在飛機飛行途中，即時無線發送指令，甚至部署惡意軟體更新。這意味著，從裝置安裝的那一刻起，直到整個飛行任務結束，攻擊者都能對其進行動態控制。

波音的回應

研究團隊最早在2020年就向波音公司揭露了此項漏洞，隨後與製造商密切合作，在波音自家的實驗室中測試並驗證了此攻擊。

波音在回應中發布聲明，淡化了此攻擊在現實世界中的風險：「我們的技術專家確信，飛機上現有的多層保護，包括系統設計與操作環境，已提供足夠的緩解措施，能大幅限制實際攻擊的可行性與風險。」。波音也表示，已針對研究人員的發現，對相關元件設計、安裝方式與介面進行了內部審查。

研究建議的緩解措施

研究人員提出了一系列緩解建議，以解決此漏洞問題：

• 物理性地阻斷對外部OMC/服務埠的存取，例如使用可上鎖的面板或防篡改封條
• 改善ARINC 429匯流排的電氣隔離，增加進行「公車司機」攻擊的難度
• 為ARINC 429訊息加入加密驗證機制
• 實施感測器融合與交叉比對技術，使冗餘系統能夠偵測到飛行參數之間的差異
• 改善駕駛艙的警報系統，當FMC與顯示資料不一致時，能即時通知飛行員

研究團隊強調，他們的發現並不需要全面停飛相關機隊，而是呼籲業界應針對物理安全與航電匯流排的完整性，採取務實且近期的改善措施。