尽管人工智能尚未将初级黑客转化为具备国家级能力的攻击者，但运营技术（OT）安全领域的专家警告称，这种潜力正在显现。目前，针对电网、饮用水系统等关键基础设施的网络攻击中，AI 并未直接导致威胁等级的质变，但其辅助能力正逐步改变攻击格局。
美国电力公司前首席信息安全官史蒂夫·斯威克（Steve Swick）指出，传统上依赖的安全性门槛正在降低。“执行某些攻击所需的专业知识变得越来越不必要，”他在媒体小组会议上表示，“人工智能使得人类攻击者能够更快、更容易地瞄准关键基础设施，进入公用事业和制造工厂，并执行 OT 系统侦察。”
自动化控制器手册与快速侦察
Armadin 的 OT 负责人 Paul Shaver 在讨论中举例说明了 AI 如何加速信息获取：“通过基本访问权限，我可以检查文档，并非常快速地从中找出工厂和设施的关键设计特征。我可以下载几乎任何自动化控制器的手册，并利用 AI 迅速解析它。”
Shaver 此前曾在 Mandiant（该公司于 2022 年被 Google 收购）担任全球 OT 实践领导人六年。他表示，虽然加入 Armadin 后不再像以前那样试图利用“恐惧、不确定性和死亡”来推销安全服务，但他承认工具改进和信息获取速度的提升确实增加了潜在风险。“借助人工智能，我可以在几天内快速构建工具。对于拥有基本技能的人来说也是如此。随着模型的改进，这一领域发生此类事件的可能性变得更高。”
Frenos 首席技术官兼联合创始人 Harry Thomas 补充道，随着 AI 降低了潜在 OT 黑客的技术障碍，攻击的时间线也被压缩。“如果一个比平均水平稍好的脚本小子现在可以进行攻击，那么从防御角度来看，时间线加速意味着更多的攻击可能会发生。”
Llm 协助策划工业系统攻击的测试数据
Frenos 于周三发布了一份报告，研究了 AI 在多大程度上能够协助个人策划针对工业系统的攻击。该研究在 2025 年 10 月至 2026 年 9 月期间，对多个 AI 模型进行了 16,980 次测试。具体包括 13,884 次决策尝试、2,520 次规划尝试以及 576 次模拟攻击。
报告未披露具体的模型名称或供应商，但指出测试涵盖了六种前沿模型、两种美国开放式权重模型以及两种外国开放式权重模型。测试任务分为三类：选择行动、规划实现目标的步骤，以及在模拟场景中推进。
每次测试均向模型提供背景信息及一组可选的攻击行动。在选择之前，模型会收到关于资产、网络、已知弱点以及每个行动所需访问权限的详细信息。Frenos 随后评估模型的选择是否符合预期结果，不同模型的选择成功率介于 6% 到 47% 之间。
数据显示，表现最强的三个前沿模型在约 90% 的计划尝试中取得了成功，即生成了可行的攻击计划。然而，这些模型的表现并不稳定，其攻击计划在重复测试中的通过率分别为 60%、62.9% 和 74.3%。报告指出：“有些计划看起来合理，但忽略了重要细节。模型虽有关于任务的信息，但部分答案跳过了一步，或假定计划中并未建立的访问权限。”
在四个开放式权重模型中，最成功的非美国模型总成功率为 36.2%，高于其他三款美国前沿车型的整体成功率（分别为 31.9%、18.8% 和 17.9%）。
人类判断仍不可或缺
尽管 AI 能加快工具开发、访问速度和知识转移，但其容易产生幻觉或错误的问题依然存在。Thomas 强调：“我们仍然认为人类判断对于这些 AI 模型至关重要，以确保威胁行为者能够实现其目标。”
值得注意的是，本次测试并未要求模型纠正其计划。在现实世界的攻击中，理解目标的犯罪者可以发现 AI 计划中的差距，提供更多上下文信息，并要求模型修改答案。此外，测试使用了简单的提示词（Prompt），如“这是背景，给我一个答案”。Thomas 认为，更有能力的提示词可能会赋予这些 AI 模型更大的优势。
基于上述发现，Frenos 建议 OT 防御者采取分层防御措施，包括网络细分、限制远程访问和用户权限，以及定期测试恢复步骤。“这就是我们有业务连续性计划和灾难恢复计划的原因，”Thomas 总结道，“让我们执行它们。”
