危险:AI在工控测试中已经开始自主操纵设备

八项工控测试达标

Booz Allen Hamilton此次测试把AI网络攻击能力的评估推进到物理设备层面。据The Register于10月11日报道，两个来自领先供应商的前沿模型完成了八项测试目标，任务覆盖资产识别、漏洞发现、进入生产系统、操纵控制器和移动机械臂。其中一次从外围突破到工业控制网络内的操作仅用16分多钟，另一次在几分钟内识别并移动了协作机械臂。运营技术（OT）指监测或控制工业设备与过程的软硬件，网络指令在这里可以改变电机或机械设备的动作。这些结果说明模型已能在受控环境中把网络访问转化为物理操作，但不能由此估算真实供水或电网事故的发生概率。

实验室模拟一座多供应商制造设施，网络分为企业区、工业隔离区、工厂运营区和生产区，由防火墙与交换机规定通信路径。设备包括执行控制逻辑的可编程逻辑控制器（PLC）、工程工作站、电机驱动器、传感器和机械臂；混合固件、不同厂商和不完善的网络分区用于复现长期运行系统的复杂性。模型没有预先获得源代码、工程文档或高级工控指导，需要自行研究和规划。不过，漏洞利用及可能产生物理影响的动作都必须等待人工批准。Booz Allen未公开两个模型的名称，因此无法据此判断某一款公开产品能否复现全部结果，也不能把八项目标达成直接写成无人监管的破坏行动。

控制通道放大风险

监控与数据采集系统（SCADA）汇集设备数据并提供控制入口，人机界面（HMI）则是操作员查看和操作过程的屏幕。在相关测试中，模型最初选错了界面版本，随后检查活动会话、修订方案并通过管理界面接管显示。报告还称，SCADA网关持有通往14台OT设备的已认证实时连接，其中包括PLC；获取网关控制权因而可能同时获得通往这些设备的既有通道。设备端的控制措施也产生了不同结果：Booz Allen披露，一台控制器拒绝了停止命令，处于本地控制模式的电机未被远程启动。防火墙、网络分区和终端防护也曾阻断或拖慢动作，模型则尝试其他路径。八项总体目标达成并不等于每条命令都成功；实际后果取决于入侵者获得的权限、设备配置和现场保护。

实案出现工控探测

真实攻击中已经出现AI协助识别工业系统的证据。Dragos于5月6日披露，Gambit Security调查的一起墨西哥政府机构入侵活动发生在2025年12月至2026年2月，Dragos参与分析了其中一家服务Monterrey都会区的市政供水与排水企业。攻击者先大范围入侵企业IT环境，随后尝试进入OT环境。调查称，Claude在企业网络探测中识别出vNode工业网关及管理平台，判断其可能连接水务运行系统，并研究访问路径、生成凭据列表和尝试密码攻击。Dragos分析了超过350份相关记录，主要是AI生成的恶意脚本。这里已披露的事实是工业目标被发现并遭到进一步探测，不能据此认定攻击者已经改变供水过程或造成物理损害。

这起调查与Booz Allen实验回答的是不同问题。Booz Allen在隔离实验室中，经人工批准实现了设备动作；Dragos在墨西哥事件中确认了AI辅助的工控目标识别与进入尝试。Dragos在9月10日的现场观察文章中仍表示，其观察不支持AI会自行发起行动并使电厂或水务系统停运的说法，同时报告模型在工业测试环境中发现了多项此前未知漏洞。两者的证据范围可以并存：实验展示在特定访问条件下能够做什么，事件调查说明攻击者已经怎样使用AI。由此可推断，当前直接风险包含原本缺乏OT经验的入侵者借助模型扩大目标范围；实验室的设备操纵能力则提示后续攻击可能产生的后果，而非证明同类事故已大规模发生。

水务安全缺口有据

水务审计提供了防御准备不足的具体证据。Booz Allen基础设施网络安全副总裁Kyle Miller向The Register表示，未实施基础OT安全措施的组织可能跟不上AI智能体的操作速度。美国环保署监察长办公室此前对1062个饮用水系统进行被动网络评估；2024年10月8日的扫描发现，97个系统存在严重或高风险网络漏洞，服务约2660万人。这是历史暴露情况的记录，不能当作目前仍未修复的系统清单。美国政府问责局的水务审计还指出，老旧设备难以升级、人员技能不足以及网络安全投入有限，使防护工作受阻；网络安全改进主要依靠运营者自愿行动，监管机构缺少综合行业风险评估和据此制定的策略。

模型商扩围工业防御

模型供应商正在扩大防御方的接入范围。10月6日，Anthropic宣布扩大Cyber Verification Program，将Project Glasswing纳入其中，为通过审核的安全人员提供先进模型及适用于授权工作的安全限制设置。涉及生命安全或重大中断风险的系统测试须经过深度审核，接入计划也要求安全控制与防止滥用的监测。10月8日，Anthropic宣布启动Critical Infrastructure Defense Program，将Claude、现场工程师和威胁研究提供给工业安全服务商与设备制造商。首批合作方包括Booz Allen、Dragos、Rockwell Automation和Hitachi等。公司称已有若干伙伴使用Claude修复漏洞并协助客户，初期将通过小范围合作确定可行方法。这是接入和工程支持计划，公告没有给出已减少多少工业事故的统计。

这些计划需要处理的是漏洞修复能否进入生产流程。Anthropic在公告中承认，Project Glasswing发现大量漏洞后，验证、排序和修复依然困难；工控设备常须连续运行，补丁可能要等到能够安全应用时才能安装。其同时推出的OSS Scanner向自愿加入的开源项目提供定期扫描、漏洞利用证明和可能的修复建议，但报告未经人工审核，可能包含错误，服务面向有能力处理这些发现的维护团队。对运营者而言，据此可以推断，增加扫描能力也会增加工程人员核验问题、安排变更和测试兼容性的工作。Anthropic计划在未来几个月把工业防御项目扩展至更多伙伴和行业，并公布经验，包括未奏效的方法。

防护聚焦生产后果

Booz Allen给出的措施落在跨网络边界的控制通道上：减少共享服务和跨区的已认证连接，重点保护SCADA平台、工程工作站、管理接口及网络设备。公司还建议监测控制器模式变化、程序写入和异常使用可信接口，并准备经过测试的备份与正常配置。Dragos的事件调查强调，网络分区、密码管理和补丁仍有必要，运营者还需具备OT网络可见性、检测和响应能力。对AI与数据中心运营者而言，由此可推断，相关审查应落实到管理接口能否访问控制设备、现场限制能否阻止危险动作，以及备份能否恢复正常配置。漏洞识别带来的防御收益，取决于这些控制和恢复措施能否在运行系统上实施。