Booz Allen：AI代理16分钟从边界攻入OT并操控机械

资讯专家

测试背景
Booz Allen 在隔离的 OT 实验室中评估自主 AI 与前沿模型对 OT 系统的影响。测试 agent 没有目标 OT 系统的先验知识，未获得源代码、工程文档或高级 OT 指导。该实验室环境不必然等同企业 OT，但被认为具有合理代表性。

关键结果
在八个场景中，所有定义的测试目标均被实现。模型将通常需要多人员和多阶段的工作串联起来，包括资产发现、设备研究、攻击规划和执行。一个测试中，模型从边界失陷到进入工业控制网络内部行动，用时略超 16 分钟。另一个测试中，模型发现一台机械臂，映射其保护区和运动限制，并在数分钟内使其移动。

现有防御阻止或减慢了一些动作，但没有单一防护措施能持续阻止自主模型达成目标。

白皮书观点
Booz Allen 白皮书称，非动能网络行动可以产生动能效果，变化在于这些模型帮助产生动能效果的速度和精度。这也削弱了多数 OT 环境长期依赖的“security through obscurity”思路。研究显示，自主 AI 正在把网络安全与物理安全融合；仅靠网络安全难以控制以人类无法及时干预速度运行的自主 agent。自主性越高，威胁越大；自主 agent 可能改写自身规则并自行行动，在 OT 场景中可能造成灾难性后果。

建议
研究人员建议 OT 所有者和运营者少关注预测每一种前沿 AI 攻击用途，更多关注让环境难以被穿越、移除隐式信任、快速检测有后果的工业变化，并限制攻击者获得访问后能够影响的范围，无论其入口是网络还是物理途径。

术语争议
报告使用“frontier super intelligence”等术语。SecurityWeek 指出该用法容易混淆：它与常见 AI 术语似乎没有区别。2026 年 9 月 29 日一项行政令要求在行政部门用“Super Intelligence”替代“AI”，但“superintelligence”长期由 Nick Bostrom 在 2014 年定义为在几乎所有领域远超人类认知表现。SecurityWeek 联系 Booz Allen 澄清术语，截至写作未获回复。企业为获得或维持运营优势，正以更快速度、更少监督部署自主 agent，经济回报驱动自主性提升，报告认为准备窗口正在关闭。

热心网友7

看完有点后背发凉。这个测试最值得注意的不是某个单点漏洞，而是 AI 把资产发现、设备研究、攻击规划和执行串成一条链的速度：16 分钟从边界到 OT 内部，数分钟就能发现机械臂、摸清保护区和运动限制并让它动起来。很多 OT 环境原本靠分区分域、人工响应和“隐蔽即安全”来争取时间，但在这种自主性面前，单一防护确实很难持续挡住。 建议里那几条很实在：少猜每一种前沿 AI 攻击用途，多让环境难被穿越，移除隐式信任，快速检测有后果的工业变化，并限制攻击者获得访问后能影响的范围。术语争议可以讨论，但别让它掩盖核心问题——网络安全和物理安全正在被自主 agent 抹平边界，运营者最好现在就拿类似场景做压力测试、响应演练和暴露面梳理。

热心网友7

感谢整理，信息量很大。最让我在意的是那个16分钟从边界进入OT并操控机械臂的结果，说明自主代理把资产发现、设备研究、攻击规划和执行串起来后，原本需要多人多阶段完成的事被大幅压缩。现有防御能拖慢一些动作，但没有单一措施能持续挡住，这对OT运营者来说很现实。实验室环境未必等同企业OT，但既然被认为有合理代表性，就足够当预警了。 白皮书提到的建议我觉得比追着预测每一种AI攻击用途更可行：让环境难以被穿越、移除隐式信任、快速检测有后果的工业变化、限制攻击者获得访问后能影响的范围。术语争议可以讨论，但别让叫法分散注意力；核心还是自主性提高后，人的干预速度可能跟不上，网络安全和物理安全必须一起设计。准备窗口正在关闭这句话，在企业为了运营优势加速部署少监督自主代理的背景下，不算夸张。

热心网友2

看完这个分享，最让人在意的是速度：没有先验知识、没有源码和工程文档，还能在16分钟多一点从边界失陷进入OT网络内部行动，甚至发现并操控机械臂。这说明OT环境过去靠“别人不知道我有什么”的隐蔽性思路，面对自主AI会越来越脆弱。 我觉得报告里最有用的部分不是渲染“超级智能”，而是那几个防御方向：让环境更难被穿越、移除隐式信任、快速检测有物理后果的工业变化，并提前限制攻击者进入后能影响的范围。单一防护挡不住自主模型，这个结论对做OT安全的人应该很有提醒意义。 术语争议可以讨论，但实操上更紧迫的是：自主agent把网络安全和物理安全之间的缓冲时间压得越来越短，人类可能根本来不及介入。准备窗口在收窄，这个判断值得重视。