2026 年 7 月 29 日，安全研究员 Nikolay Valentinovich Repnitskiy 展示了一项针对气隙（Air-gap）隔离系统的攻击实验。在这项实验中，两台没有任何物理数据线连接的计算机，仅依靠两块拆卸后的 Dell SK-8115 键盘控制器，就完成了单向数据的隐蔽传输。
该攻击直接调用键盘固件原生的 LED 状态指示功能。当键盘上的 Caps Lock 和 Num Lock 灯光都能够被转化为调制信道时，安全界长期依赖的「物理隔离即安全」假设已经被打破。
拆解硬件链路：利用指示灯与光敏电阻构建单向网络
Repnitskiy 的硬件实验架构非常精简。研究人员将两台 Dell SK-8115 键盘拆解至 PCB（Printed Circuit Board，印制电路板）控制器裸板状态，并在接收端键盘的按键矩阵引脚上焊接了光敏电阻。光敏电阻被精准固定在发送端键盘的 Num Lock 与 Caps Lock LED 指示灯正上方，形成了一条极短的光学传输链路。
发送端计算机通过运行后台脚本高频控制键盘控制器的 GPIO（General-Purpose Input/Output，通用输入输出）引脚，驱动 LED 灯产生有规律的光脉冲。当强光照射到接收端的光敏电阻时，电阻阻值瞬间下降并拉低矩阵电平，触发键盘控制器的按键响应回路。接收端计算机的主机系统会将这种电平变化识别为标准的 HID（Human Interface Device）键盘输入，并自动转码为文本指令。
这种设计将原本用于人机交互状态反馈的硬件通路改造成为了单向物理网络。整个传输过程不需要任何自定义硬件驱动，完全运行在设备出厂固件的合法响应逻辑之内。
图：光敏电阻对准键盘 LED 的特写。来源：Hackaday
操作系统盲区：软件安防为何无法感知固件行为
传统的 EDR（Endpoint Detection and Response，端点检测与响应）和杀毒软件主要监控网络接口、USB 数据包以及内核级别的异常进程。Caps Lock 与 Num Lock 的状态切换属于操作系统内核支持的标准系统调用，任何普通权限进程都能向 HID 设备发送控制命令。如果安全软件拦截键盘指示灯的状态刷新，会导致正常键盘功能出现瘫痪。
在硬件分层结构中，键盘控制器 MCU（Microcontroller Unit）独立于主处理器的操作系统运行。当接收端光敏电阻触发按键矩阵拉低时，键盘 MCU 内部固件会将其判定为物理按键被按下，并按照标准 USB HID 协议向内核发送 ScanCode。操作系统在逻辑上无法区分这是物理指尖的按压，还是由于外置光束触发的电平变化。
这种攻击模式绕过了现有的系统级监控审计。只要主机的 USB 端口依然允许接入标准键盘，操作系统就会将传达的数据视为合法用户输入。
图：同一装置的不同角度。来源：Hackaday
极低带宽的物理现实：百字节级载荷即足以破防
从数据传输速率来看，基于键盘 LED 的光学调制受到控制器芯片轮询率与光敏电阻响应时间的双重限制。该信道的传输速度每秒仅能发送若干比特数据。此前 GitHub 上的开源项目 clfs/led-airgap（8 stars）也曾探索过类似的原理，利用硬盘活动 LED 指示灯进行数据渗出，同样受制于极低的物理带宽。
物理带宽受限并不降低威胁的严重程度。在气隙隔离的工业控制系统或高密级服务器中，攻击者向隔离机器传输数据往往只需要投送一段极其精简的 Shellcode 脚本或命令序列。200 字节左右的自动化指令就足以在目标机器上激活预先植入的软件模块，或者修改关键配置文件。
数据吞吐量虽然微弱，但传输的精确度与隐蔽性极其出色。在不需要回传大量文件的单向注入场景下，极低带宽完全可以满足攻击者的破坏诉求。
重构隔离边界：物理屏障需要下沉至光电物理层
物理隔离防护的根本矛盾在于软件策略无法覆盖物理层的光电泄漏。多年来安全工程界普遍认为，只要拔掉网线、封死无线网卡并禁用 USB 存储设备，就能获得绝对的安全隔离。键盘 LED 气隙攻击表明，硬件控制器自带的合法反馈机制也会被物理介质外延利用。
对于高防护需求的物理隔离环境，防护边界必须从软件限制扩展到光学与电磁物理屏蔽。极高安全等级的设施需要对键盘、显示器等外设实施光电隔离掩蔽，或者部署能够监测键盘引脚异常高频击键的硬件监控电路。
只要硬件控制器依然保留未经物理屏蔽的输出端口，绝对安全的物理隔离就只能是一个相对的概念。从物理层重新划定安全防护边界，才能真正阻断此类跨介质的隐蔽信道。
参考链接：
- Hackaday 报道
