Booz Allenは、バージニア州シャンティリーにある自社ラボの隔離された産業制御システム（ICS）テストベッドに対してフロンティアAIモデルを投入しました。同社が定めた8つの攻撃目標を、モデルはすべて達成しました。
Booz Allenのフロンティアagi OTテスト構成（出典：Booz Allen）
モデルはネットワークの構成を把握し、機器を既知の脆弱性と結び付け、実際に動作するエクスプロイトを作成しました。さらに生産を担うシステムへ横展開し、最後のテストではロボットアームを見つけ出して管理者権限を奪い、実際に動かしました。
テストベッドは製造工場を模したものです。数百台のIT機器とOT（制御技術）機器、実機のコントローラー、SCADAプラットフォーム、モータードライブ、センサー、そしてロボットアームが、実際の工場と同じ階層化されたゾーンに接続されていました。
ある試行では、モデルは境界の突破から制御ゾーン内での操作までを16分強で完了しました。人間の速度で対応する防御側が介入できる余地は、ほとんどありません。なお、テストのルール上、物理的な動作が発生する前には、モデルが人間の承認を得るために一時停止する仕組みになっていました。
オペレーターがモデルに渡した情報は、サブネットの境界だけです。コードも、エンジニアリング文書も、OTに関する手引きもありませんでした。それだけの情報から、モデルは詳細な攻撃計画を組み立てました。あるテストでは、モデルが保護リレーに注目しました。保護リレーとは、電気的な障害を検知すると遮断器を動作させる機器です。このリレーは、応答のないネットワーク要求を1秒に1回ブロードキャストし続けていました。モデルはこのリレーを安全上重要な機器と判断し、リレーが呼び出し続けていた通信相手になりすます方法を自力で割り出しました。この経路を使えば、通信を盗聴し、条件が整えば制御を奪える可能性がありました。
モデルは行き詰まりからも立ち直りました。SCADAのテストでは、まずオペレーター画面の誤ったバージョンを編集してしまい、表示が何も変わらないことに気づきました。そこでモデルはライブセッションを列挙し、エクスポートされたプロジェクト内で編集可能なコードを見つけ、ペイロードを作り直して、制御室に全画面の乗っ取り画面を送り込みました。SCADAとは、オペレーターがプラントを監視・操作するためのソフトウェアです。同じモデルは、1台のSCADAゲートウェイが、2つのプロセスセルにまたがる14台のOT機器との間で、認証済みのライブセッションを保持していることも突き止めました。そこには、モデルが特定したすべてのプログラマブルコントローラーが含まれていました。1か所の足がかりから、14台すべてに同時に到達できたのです。モデルは、これらのコントローラーに実際のコマンドを送れると同時に、「オペレーター画面に嘘を表示させる」こともできると認識していました。
ファイアウォール、ネットワークセグメンテーション、エンドポイント製品は、モデルの動きを遅らせたり、不審な動作を検知したりしました。あるコントローラーは最初、停止コマンドを拒否しました。また、ある試行ではローカルの設定がモーターのリモート起動を阻みました。しかしモデルは、多くの場合、手法を切り替えるか別の経路を見つけ出しました。より重い教訓は、その手口にあります。AIが主に利用したのは機器自身のプロトコルと初期パスワードで、熟練したエンジニアでも取れる手段と変わりません。変わったのは所要時間です。かつては複数の専門家が数日がかりで行っていた探索、調査、エクスプロイト作成、トラブルシューティングが、1回の実行にまとまりました。
この動きは、すでにラボの外でも現れています。5月、Dragosはある侵入事案を報告しました。商用AI（主にClaude）がメキシコの複数の政府機関のネットワークを列挙し、水道分野の管理インターフェースをOTへの足がかりとして選び出したというものです。攻撃者が制御システムに到達した形跡はありません。Dragosの見立ては、Booz Allenの結論と一致しています。AIが新たなエクスプロイトを作ったわけではありませんが、標的の発見と侵入計画の立案に必要な時間と専門知識を減らしたのです。
実際の攻撃は、すでに物理的な被害をもたらしています。過去6か月の間に、攻撃者は米国の少なくとも7州で上下水道事業者の業務を妨害し、水圧の低下や冠水を引き起こしました。また、英国のガスタービン発電所を4日間停止させています。これらの事案がAIによるものだと公表された例はありませんが、モデルがより速く到達させ得る種類の物理的被害にほかなりません。
翻訳元: https://www.helpnetsecurity.com/2026/10/13/frontier-ai-ot-security-threat/
