前情回顾·工控网络威胁态势
- 首次！数百个连锁超市冷藏系统被黑变“烤箱”，食品变质损坏 甚至引发火灾
- 远洋巨轮因疑似网络攻击故障改变航向，系近期第三起同类事件
- 工控遇袭！30多个地方供水系统遭协同网络攻击，有水厂临时关停
- 某发电厂因网络攻击停运4天
安全内参10月15日消息，美国国防供应商博思艾伦在弗吉尼亚州尚蒂伊的实验室内，使用隔离的工业控制测试环境，对前沿AI模型开展试验。结果显示，这些模型成功完成全部八项预设目标。
测试结果显示，这些模型能够绘制网络拓扑、匹配设备与已知漏洞、编写可实际运行的漏洞利用代码，继而渗透到管控生产运行的系统。最后一项测试里，模型识别出一台机械臂，获取它的管理员控制权限，成功操控机械臂动作。
AI全自主运行，16分钟从边界进入控制区
该测试环境模拟一座制造工厂，内置数百台IT与运营技术（OT）设备、实体控制器、一套监控与数据采集（SCADA）平台、一台电机驱动器、多组传感器以及一台机械臂。所有设备均参照真实工厂的分层分区架构完成组网。
在一次测试中，某模型从突破网络边界防护到攻入控制区，仅耗时16分多钟。这意味着，如果防御人员依旧依靠人工方式处置，基本来不及介入。按照测试规则，模型执行任何可能触发物理动作的操作前，都必须暂停，等待人工审批。
测试人员仅向模型提供子网边界信息，未提供任何代码、工程文档以及OT操作指南。仅凭这些有限信息，模型就生成了详尽的攻击方案。 其中一项测试观测到：一台保护继电器每秒向网络发送一次请求，却始终得不到应答。保护继电器属于安全关键型设备，检测到电气故障后会触发断路器跳闸。模型不仅识别出该设备的安全关键属性，还自行推演出方法，伪装成继电器一直在尝试对接的通信对端。借助这条攻击路径，攻击者可以监听通信流量，并可在特定条件下进一步获取设备控制权。
模型遭遇阻碍后仍可调整攻击策略。在一项SCADA测试中，模型一开始修改了错误版本的操作界面，控制室显示屏没有出现任何变化。之后它枚举当前运行会话，找到导出项目内可编辑代码，重新生成攻击载荷，最终接管控制室的全部显示屏幕。
该模型还发现，某台SCADA网关与14台OT设备维持着已通过身份认证的活跃会话。这14台设备分属两个工艺单元，包含模型此前识别到的全部可编程控制器。利用这一个突破口，模型就可以同时访问全部14台设备。模型还判断，自己既可以向控制器下发真实指令，也能够向操作人员的屏幕输出伪造信息。
防火墙、网络分段、终端安全工具的确会拖慢模型攻击节奏，同时会针对异常活动发出告警。有控制器会拒绝执行停止指令；另一场测试中，本地配置阻止了电机的远程启动。但模型大多可以更换手段，另寻攻击路径。
更值得警惕的是，模型主要依靠设备原生通信协议与默认密码发起攻击，这些并非只有少数专家才能掌握的全新技术，而是非常传统的攻击手段。真正改变的是攻击速度：以往多名专业人员要耗费数天完成的网络探测、资料研判、漏洞利用代码编写、问题排查，现在AI单次运行就可以全部做完。
工控网络攻击事件日益增多，AI或带来更大冲击
同类情况已经出现在真实环境中。今年5月，美国网络安全企业Dragos披露了一起入侵事件：攻击者使用商业AI工具（以Claude为主），对墨西哥多家政府机构网络开展枚举扫描，把水务行业一处管理接口判定为可通向OT系统的潜在攻击入口。
目前没有证据证明攻击者最终攻入对应控制系统。Dragos的分析和博思艾伦的测试结论大体吻合：AI并没有创造出新的漏洞利用技术，但大幅降低了定位攻击目标、生成攻击方案所需的时间与专业技术门槛。
现实世界的网络攻击已经造成实体破坏。过去六个月，美国至少七个州的供水、污水处理设施遭受网络攻击，引发供水压力下降、设施溢水等事故；英国一座燃气轮机发电厂也曾因网络攻击停运四天。
截至目前，这些事件公开溯源均未指向AI。而这类实体破坏后果，正是前沿AI模型可帮助攻击者更快实现的目标。
参考资料：https://www.helpnetsecurity.com/2026/10/13/frontier-ai-ot-security-threat/、https://www.boozallen.com/insights/cyber/frontier-si-reaches-ot-systems.html
