ИИ-атаки на OT перестали быть упражнением для презентаций: в лабораторном стенде Booz Allen агент за 16 минут прошёл от внешнего межсетевого экрана через IT-сеть в операционный контур и привёл в движение роботизированную руку. Для российских предприятий с промышленной автоматизацией вывод неприятный, но полезный: старые границы между корпоративной сетью и цехом теперь проверяет противник, которому не обязательно годами изучать протоколы контроллеров.
Эксперимент провела Booz Allen — американская компания, работающая в том числе с государственными и военными заказчиками; об испытании сообщает Dark Reading. Исследователи собрали макет корпоративной OT-инфраструктуры и поручили коммерческим ИИ-моделям выполнить восемь задач: разведать среду, найти уязвимые места, перейти между сетевыми сегментами, скомпрометировать SCADA-систему и добиться физического эффекта. Все восемь целей были достигнуты.
Ключевая цифра здесь не только 16 минут. По словам вице-президента Booz Allen по кибербезопасности инфраструктуры Кайла Миллера, это время включало весь путь — от периметра до подачи сигнала на один из контроллеров в OT-сегменте. В сценарии сохранялись известные непатченные уязвимости, поэтому модели не нужно было искать и разрабатывать эксплойт для уязвимости нулевого дня. Кроме того, действия агента подтверждал человек; без такого контроля атака могла бы занять примерно вдвое меньше времени.
Это важная оговорка против излишне драматичных выводов. Работа не доказывает, что любой чат-бот способен завтра остановить производство или вмешаться в работу энергосистемы. Она показывает другое: если в инфраструктуре уже есть ошибки конфигурации, устаревшие сервисы и доступный путь между IT и OT, ИИ заметно снижает требования к квалификации и скорость подготовки атаки. То, на что раньше у оператора или злоумышленника уходили дни ручной разведки, агент способен разложить на последовательность действий почти без пауз.
OT живёт десятилетиями, атаки ускоряются за месяцы
У промышленной инфраструктуры другой жизненный цикл, чем у обычного корпоративного ПО. Контроллеры, станции инженерного управления и специализированные сетевые устройства часто эксплуатируются десять лет и дольше. Их нельзя просто перезагрузить среди смены, а обновление прошивки нередко требует остановки оборудования, проверки совместимости и участия поставщика. В результате «не светить устройство в интернете» и «никто не знает, как тут всё устроено» долго оставались неформальными компенсирующими мерами. ИИ-атаки на OT делают такую ставку на неизвестность особенно хрупкой.
Похожий результат получила исследовательская команда Team82 компании Claroty. Она задействовала ИИ-агента для анализа контроллеров охлаждения Danfoss и нашла три уже раскрытые уязвимости. Агент сумел связать две из них в одну цепочку и получить root-доступ к лабораторному устройству. На работу ушло 28 минут и около 6 долларов на токены. Полевая ценность таких тестов не в том, что ИИ изобретает принципиально новую технику, а в способности быстро сопоставлять документацию, опубликованные уязвимости, код и сетевую логику.
Атаки с ИИ-поддержкой против OT пока не стали рутиной, но граница уже близко. В начале 2026 года небольшая хакерская группа с помощью двух коммерческих моделей проникла как минимум в девять мексиканских организаций. По данным Dragos, модели распознали местную водопроводную и дренажную службу как ценную цель и помогали искать способ попасть в её операционную сеть. Подтверждений, что злоумышленники действительно пересекли границу контрольного контура, нет. Однако этот эпизод хорошо иллюстрирует сдвиг: модели не обязаны знать OT изначально, чтобы быстро собрать контекст и предложить маршрут.
Для команд эксплуатации и ИБ практический вопрос звучит не «может ли ИИ атаковать», а «какой ущерб получит атакующий после первого доступа». Нужна инвентаризация устройств и каналов удалённого доступа, проверка внешней экспозиции, приоритизация обновлений по реальному влиянию на процесс, а не только по оценке CVSS. Если компрометация холодильного контроллера, инженерной станции или шлюза позволяет менять режим работы оборудования, это уже не рядовая задача управления патчами.
Главный тормоз для таких сценариев — сегментация, а лучше микросегментация. Она не делает уязвимый актив безопасным, но ограничивает переход из офисной сети к контроллерам и выигрывает время для реакции. Второй слой — мониторинг аномального поведения: нетипичные маршруты, новые команды, попытки сканирования и неожиданные обращения между зонами должны быть видны до того, как их заметит технолог по последствиям. При этом защитная автоматика в OT требует особой осторожности: ложное блокирование трафика тоже способно повлиять на производство.
Есть и более неудобный сценарий. По оценке Claroty, около 70% компаний уже используют ИИ в операциях. Если агенту дали широкие права, а его инфраструктуру или учётные данные скомпрометировали, он может превратиться в дополнительную точку входа к критическим системам. В ближайшие годы ИИ-атаки на OT, вероятно, будут чаще использовать не экзотические уязвимости, а давно известные слабости и плохие сетевые границы — просто делать это быстрее человека. Подробности лабораторного исследования Booz Allen доступны в материале .