专家确认“Fast16”恶意软件曾破坏伊朗核武试验

一家安全公司近日证实，一款多年前被发现、却直到最近才被完整分析的恶意软件“Fast16”，曾被用于暗中干扰核武器爆炸模拟测试，目的不是直接摧毁武器，而是通过篡改测试数据，误导工程师认为核试验失败，从而拖慢核计划的推进。

据安全公司赛门铁克（Symantec）威胁猎手团队最新分析，“Fast16”针对至少两款高精度仿真软件——LS‑DYNA 和 AUTODYN，在它们用于模拟高爆炸药与核弹头物理过程时，暗中替换关键测试数据。恶意代码会在仿真接近“超临界”状态时出手，悄悄篡改显示在工程师面前的数值，使其误以为核心压力不足以引发链式核反应。

核专家指出，从代码细节与其活跃时期推断，“Fast16”的目标几乎可以确定是伊朗早期的核武计划。美国智库“科学与国际安全研究所”创始人、大卫·奥尔布赖特（David Albright）表示，虽然理论上也可能针对当时从事核武研发的其他国家，但时间点、开发所需的访问权限以及对铀材料的聚焦，均指向伊朗核武努力这一最可能对象。他强调，“我们不能完全排除朝鲜或叙利亚等国，但所有关键因素叠加起来，伊朗的核武项目仍是最有说服力的目标。”

与广为人知的“震网”（Stuxnet）相比，“Fast16”并非更早，而是大致同步出现的另一支“数字武器”。“Fast16”的代码于 2005 年 8 月 30 日编译，证据显示“震网”也在同一时期开始开发，尽管后者直到 2007 年才在伊朗的离心机系统中“投放”。“震网”通过操纵离心机运转并伪造监控数据，悄悄损耗伊朗的铀浓缩能力；“Fast16”则在另一条战线下手——它不破坏实体设备，而是让核武设计团队对仿真结果失去准确认知。

研究人员指出，“Fast16”专门盯住高爆压缩过程中的关键阶段：当仿真中的铀核心密度达到约 30 克/立方厘米——略低于压缩铀将开始液化的密度门槛时，恶意软件开始拦截并篡改数据。真正的物理参数被替换为偏低几个百分点的虚假数值，在图表呈现上看似正常波动，却足以让工程师得出“压力不足、设计失败”的错误结论。这将迫使团队不断调整计算、增加炸药装药量或修改结构设计，在无尽的“找错”和内部争执中白白消耗时间与资源。

赛门铁克团队还发现，“Fast16”对 LS‑DYNA 的多个版本提供了精细适配，且这些支持并非按软件发行顺序线性增加，而是“跳着”补齐。这意味着攻击方很可能在持续获得情报，掌握目标工程团队在何时切换到哪个版本的仿真软件，并据此更新恶意代码，以确保无论目标如何升级或回退版本，仿真结果都会继续被操纵。与此同时，恶意软件还会在内部网络中横向传播，使任何用于运行仿真的终端都输出同样被篡改的数据，进一步降低受害者怀疑系统被入侵的可能性。

“Fast16”的存在最早是通过一份 2017 年泄露的美国国家安全局（NSA）工具文档被安全研究者注意到的。这些工具由神秘黑客组织“影子经纪人”（Shadow Brokers）窃取并分批公开，文档中提到的“Fast16”被描述为一项真实投入使用的攻击能力，而非停留在实验室的概念验证。虽然当时并未流出实际样本，但 2017 年 10 月，有人将一份“Fast16”样本上传至恶意软件检测平台 VirusTotal，并在随后的两年间一直无人留意。直到 SentinelOne 研究员胡安·安德烈斯·格雷罗‑萨德（Juan Andres Guerrero‑Saade）在 2019 年发现这一样本，并与独立研究员维塔利·卡姆卢克（Vitaly Kamluk）联手，借助人工智能对其功能进行拆解，才初步揭开其针对高精度仿真计算的本质。

当时，SentinelOne 的团队推测，“Fast16”很可能是为破坏用于模拟核爆炸的计算软件而设计，并将 LS‑DYNA 列为最可能的目标之一，因为公开信息显示伊朗在爆轰研究中使用过该软件。如今，赛门铁克的最新技术分析印证了这一点，并进一步确认 AUTODYN 也在攻击范围之内。两款软件均为工业界和科研界常用工具，可用于研究金属强度、碰撞冲击、航空航天和车辆安全等一系列高压物理场景，同时也适用于模拟核弹头在高爆压缩下的行为。

理解“Fast16”的运作，需要回到伊朗核项目的历史背景。2002 年，伊朗流亡反对派“全国抵抗委员会”在华盛顿召开新闻发布会，披露伊朗正在秘密推进核武计划，多处未向国际原子能机构（IAEA）报告的设施被曝光。2003 年，IAEA 现场检查发现，伊朗核活动远超其依据《不扩散核武器条约》所应披露的范围，且存在军事用途的可疑迹象。在国际压力下，伊朗在 2004 年同意暂时中止部分核活动，与欧盟展开谈判；然而 2005 年夏季，谈判破裂，伊朗宣布恢复浓缩活动，并在纳坦兹（Natanz）设施推进离心机安装与运行。

安全研究者推断，正是在 2003 至 2005 年间，情报机构认定伊朗仍在持续进行核武相关研究，尤其在“阿迈德计划”（Amad Project）中通过计算机仿真来弥补实爆试验规模受限的不足。奥尔布赖特指出，美国情报界在 2007 年曾发布评估称伊朗于 2003 年中止核武计划，但以色列和德国等国情报机构长期认为伊朗在 2005 年以更隐蔽、经费缩减的方式恢复了相关工作。在这一阶段，物理实验受限、而计算机仿真地位被抬高，也意味着对仿真软件的精确破坏将成为极具性价比的攻击路径。

“Fast16”被设计为极具隐蔽性的“软破坏”工具。它不会贸然感染所有目标主机，而是先检查系统上是否安装了 18 款特定安全产品，一旦发现这些防护软件便自动退出，以减少被捕获和分析的风险。在潜入仿真环境后，它并不主动触发任何明显的异常，而是在监测到高爆模拟启动且采用特定数学模型时才开始工作。核爆模拟可采用多种不同的数学模型，区别在于对压力、体积、密度等变量的描述方式以及它们在极端条件下的相互作用，“Fast16”仅在检测到其中三种特定模型被启用时介入篡改，以确保攻击精度与效果。

在核武设计上，伊朗被认为曾针对球形内爆装置进行高爆组件测试：高爆炸药被均匀包覆在球形铀核心外侧，通过点火产生冲击波，推动金属“飞片”如锤击般向内撞击铀核心，使其进入高压高温状态。在这一状态下，铀核中释放的中子频繁撞击其他原子核，引发连锁裂变反应，从而实现核爆。工程师通过仿真不断调整炸药布置、引爆时序和材料参数，以寻找实现“超临界”状态的最优方案，而“Fast16”正是在这一关键过程里改变他们读到的数字。

奥尔布赖特分析认为，如果恶意软件仅仅将真实数值轻微下调 1% 至 5%，图表上的曲线变化肉眼看上去完全正常，却足以改变工程师对结果的判断。他们可能会认为冲击不足、压缩不够、设计存在缺陷，从而反复调整模型和装药配置，而每一次仿真运行都会得到被操纵后的错误结论。在这种情况下，攻击的目标并非让某次爆炸“失控”，而是持续打乱研发节奏，消耗团队信心，制造内部摩擦和对设计方案的怀疑，从而在总体上拖慢核武开发进程。

赛门铁克研究员维克拉姆·萨库尔（Vikram Thakur）指出，“Fast16”在技术上看似简单，却属“极少数精英级攻击”之一，因为它需要攻击者既精通目标软件内部机制，又深入理解核物理过程、材料特性以及如何以最小改动实现预期的误导效果。他认为，在 2005 年就打造出这样一款基于精密工程知识的“数据完整性攻防”恶意软件，“在任何时代都罕见，而在当时更是难以想象”。

尽管如此，萨库尔仍强调，“震网”在复杂度上依然是他们见过的最先进恶意代码之一。两者的共同点在于，都将攻击重点放在“数据层面”：通过篡改系统输出的数据而非直接破坏硬件，让受害者在错误信息中迷失方向。同时，攻击者必须突破高度隔离、物理隔离的安全环境，准确掌握这些环境的运作方式，并在不被发现的情况下实施极为精细的修改。

“震网”直到扩散至纳坦兹外部系统并引发崩溃才被发现，前后潜伏约三年。而在它曝光之后，对伊朗核计划造成的影响并未止于物理破坏，还包括对整个工程体系信任感的摧毁：伊朗工程师自此对任何故障都保持高度怀疑，哪怕是普通的设备老化或偶发错误，都可能被怀疑是外部破坏的结果。赛门铁克认为，“Fast16”揭露出的事实同样会在心理层面对伊朗核项目施压：它提醒决策层和技术人员，哪怕是深藏于计算机仿真软件中的数据，也未必值得信任。

研究人员普遍认为，“Fast16”和“震网”很可能是西方针对伊朗核计划所发动的更大规模、多层次行动的一部分。在过去二十年中，美国及其盟友持续采用从网络攻击到定点打击等不同手段，试图延缓或阻止伊朗获得核武能力。传统的“动能打击”尚未完全摧毁伊朗核基础设施，而新披露的“Fast16”故事，则为这一长期博弈增添了新一章：它展示了在传统军事压力之外，如何通过看似温和、实则深入核心的数字破坏，在不引发大规模爆炸的前提下改变核项目的时间表和政治筹码。

在当前美国与以色列仍试图通过压力与谈判限制伊朗核计划之际，“Fast16”的曝光被视作一则警示：对于伊朗的核决策者和工程师而言，所谓“安全边界”正在变得越来越模糊，任何环节——哪怕是实验室里看似中立、可靠的仿真软件——都可能成为数字破坏者的入口。