ИИ-агенты в OT успешно выполнили все восемь сценариев атаки, которые проверили специалисты Booz Allen Hamilton: от поиска уязвимостей в промышленной сети до изменения параметров контроллеров и движения роботизированной руки. Для российских предприятий это не очередная страшилка про «злой ИИ», а сигнал о том, что дефицит OT-экспертизы больше не защищает устаревшую автоматику от атакующих.
Эксперимент проводился в лаборатории операционных технологий Booz Allen, сообщает The Register. Консалтинговая компания использовала две неназванные передовые модели от крупных поставщиков ИИ и построила стенд, близкий к типичному производственному объекту: корпоративный сегмент, промышленную DMZ, зону операций предприятия и производственную сеть. Внутри были PLC, операторские и инженерные рабочие места, SCADA, HMI, частотный преобразователь, датчики и роботизированная рука.
Стенд намеренно не был стерильным. В нём смешали оборудование разных вендоров, прошивки, логику управления и несовершенную сегментацию — знакомый набор для производств, где часть автоматизации работает десятилетиями и меняется только во время капитального ремонта. Агентам не выдали исходный код, инженерную документацию или заранее подготовленные инструкции по OT и IT. Им пришлось самостоятельно вести разведку, строить план действий и искать технические зацепки.
У людей всё же оставался рубильник. Перед эксплуатацией уязвимости или действием с физическим эффектом агенты должны были получить одобрение оператора. Им также предписали с особой осторожностью обращаться с системами, которые они сочтут критичными для безопасности. Это важно: тест не доказывает, что модели уже без присмотра способны устроить аварию на реальном объекте. Он показывает, что после получения доступа и разрешения на следующий шаг они умеют быстро пройти значительную часть цепочки.
От сетевой разведки до физического воздействия
Восемь проверок охватывали полный маршрут атаки: инвентаризацию среды и поиск критичных активов, выявление уязвимостей, получение первоначального доступа, продвижение к производственному контуру, работу с контроллерами разных производителей и командами управления. Модели также проверяли на способности менять частоту и скорость двигателя через частотный преобразователь, останавливать и запускать его, компрометировать SCADA и находить роботизированную руку для последующего управления.
По данным Booz Allen, цели были достигнуты во всех восьми сценариях. В одном из них агент обнаружил и привёл в движение роботизированную руку за считанные минуты. В другом он прошёл путь от компрометации периметра до действий во внутренней сети промышленного управления немногим более чем за 16 минут. В отчёте подчёркивается не только скорость, но и точность: модели распознавали оборудование, взаимодействовали с контроллерами, меняли технологические значения и вызывали контролируемые физические изменения.
Особенно показателен сценарий с SCADA. Первая попытка не удалась: агент выбрал не ту версию клиентского интерфейса оператора. Вместо того чтобы застрять на нерабочей гипотезе, он проверил активные сессии, выяснил, какую версию HMI использует диспетчерская, нашёл редактируемый код Jython в экспортированном проекте SCADA, пересобрал нагрузку и распространил её через административный интерфейс. Итогом стал полноэкранный захват интерфейса, видимый персоналу в операторской.
При этом SCADA-шлюз держал активные предварительно аутентифицированные соединения с 14 устройствами OT в двух сегментах, включая PLC. Компрометация одного узла открывала агенту путь к остальным: он мог передавать команды от имени доверенного сервера. В практическом смысле это сценарий, при котором оператор видит на экране одну картину процесса, а контроллеры получают другую команду. У атакующего появляется возможность скрыть изменение параметров не за счёт фантастического взлома, а через уже существующие доверенные связи.
Порог входа в атаки на производство снижается
В другом тесте агент без отдельной подсказки заметил неправильно настроенное устройство в зоне, относящейся к критичным для безопасности. Оно больше 45 минут ежесекундно посылало ARP-запрос к отсутствующему адресу — искало удалённого партнёра для связи. Агент предложил занять этот адрес и ответить на запрос, чтобы устройство само начало настроенную сессию с подставным узлом. Даже без немедленной отправки команд такая находка даёт злоумышленнику редкую возможность изучить промышленный протокол и выстроить дальнейшую атаку.
Главный неприятный вывод не в том, что языковая модель внезапно стала инженером АСУ ТП. Она сокращает время и стоимость получения этой экспертизы. Раньше атакующему приходилось разбираться в закрытых протоколах, старом оборудовании и логике конкретного цеха либо искать специалиста. Теперь агент может методично собирать данные, читать доступные интерфейсы, менять план после сбоя и выполнять рутину с машинной скоростью. Для малых групп и менее квалифицированных преступников это снижает порог входа в атаки на физическую инфраструктуру.
Вице-президент Booz Allen по кибербезопасности инфраструктуры Кайл Миллер предупредил, что скорость, настойчивость и инженерная точность агентов могут опередить организации, не внедрившие базовую защиту OT. Отдельной даты для «кошмарного сценария» компания не называет, но указывает на уже заметный рост применения ИИ в реальных атаках. Чем мощнее и доступнее модели, тем меньше надежды на то, что неизвестность оборудования сама по себе остановит противника.
Для ИТ-директоров, команд ИБ и инженеров АСУ ТП вывод довольно приземлённый: ИИ-агенты в OT превращают старые проблемы в более быстрые. Нужны сегментация, инвентаризация активов, контроль удалённого доступа, проверка доверенных соединений между SCADA и контроллерами, журналирование и отработанные процедуры остановки подозрительной активности. В инфраструктуре, где команда на запуск двигателя может выглядеть как обычный обмен между привычными узлами, минуты на обнаружение — уже не комфортный запас, а почти весь бюджет времени. Подробности испытаний и выводы Booz Allen приведены в материале .