送電網や上水道システムなど重要インフラを停止させるサイバー攻撃について、AIは現時点では、スクリプトキディ（既製ツールに頼る未熟な攻撃者）を高度な国家支援型攻撃者に変えるまでには至っていません。しかし、運用技術（OT）セキュリティの専門家らは「その可能性は存在する」と指摘しています。
「公益事業に関しては、私たちは長年、隠蔽によるセキュリティに頼ってきました」と語るのは、American Electric Powerの元最高情報セキュリティ責任者（CISO）、Steve Swick氏です。「そうした攻撃を実行するために必要だった知識は、次第に不要になりつつあります」と、Swick氏はFrenosの「State of AI in Security」レポート公開に先立つメディア向けパネルで述べました。
AIによって、人間の攻撃者は重要インフラを標的にし、公益事業者や製造工場に侵入し、OTシステムの偵察を行うことが、より容易かつ迅速になります。
「基本的なアクセス権があれば、ドキュメントを偵察し、それを非常に素早く精査して、プラントや施設の重要な設計上の特徴を把握できます」と、ArmadinでOT部門責任者を務めるPaul Shaver氏はパネルで述べました。「ほぼすべての自動化コントローラーのマニュアルをダウンロードして素早く解析し、セキュアバイデザインではない専用機能を悪用する方法を見つけ出せます」
Armadinは、Kevin Mandia氏が立ち上げた新しいセキュリティ企業で、自律型のAIエージェントの群れを使って現実のサイバー攻撃をシミュレートします。Shaver氏はArmadin入社前、Mandia氏が以前に創業し、2022年にGoogleが買収したMandiantで、グローバルOTプラクティスのリーダーを6年間務めていました。
「少しだけMandiantの旗を掲げて言いますが、世界の終わりが来る、スクリプトキディが全員、高度な国家支援型の敵対者になる、といった恐怖や不安、絶望論からは距離を置きたいと思います。ただし、その可能性がないとは言いません。ツールが進化し、情報へのアクセスが格段に速くなっているからです」
Shaver氏によると、Armadinでは、AIの支援を受けて「通常なら数カ月かかるツールを、数日でどんどん構築しています」。さらに次のように続けました。「AIが私にそれができるなら、基本的なスキルしかない人にも同様の効果をもたらしているはずです。今の段階でスクリプトキディまでとは言いませんが、モデルが進歩するにつれ、この分野ではその可能性が高まります」
さらに、AIがOTへの攻撃を目論む者の技術的ハードルを下げることで、「脅威の到来時期が早まる」と指摘するのは、OT環境向けにAIペネトレーションテストを手がけるセキュリティ企業Frenosの最高技術責任者（CTO）兼共同創業者、Harry Thomas氏です。
「平均以上のスクリプトキディが攻撃を実行できるようになれば、脅威アクターが増えます」とThomas氏は述べました。「時期が前倒しになり、攻撃が増える可能性があります。防御側から見れば、誰が脅威アクターなのかもはや分からなくなるかもしれません」
攻撃計画を支援するLLMの能力を検証
水曜日に公開されたFrenosのレポートは、AIが産業システムへの攻撃計画をどこまで支援できるかを検証しました。同社は2025年10月から2026年9月にかけて、複数のAIモデルに対して合計16,980回のテストを実施しました。内訳は、意思決定の試行が13,884回、計画立案の試行が2,520回、模擬攻撃が576回です。
同社はモデル名やプロバイダー名を明らかにしていませんが、テスト対象は最先端モデル6種、米国製のオープンウェイトモデル2種、海外製のオープンウェイトモデル2種だったといいます。タスクは、単一の行動の選択、目標に至る手順の立案、模擬シナリオの遂行という3種類でした。
各テストでは、モデルに背景情報と選択可能な攻撃アクションの一覧を与えました。選択の前に、各モデルは資産、ネットワーク、既知の脆弱性に関する詳細情報と、各アクションに必要なアクセス権の情報も受け取っています。
Frenosは次に、モデルの選択が求められる結果と一致していたかを確認しました。モデルによって、選択が合格した割合は6％から47％の範囲でした。
テストの結果、上位3つの最先端モデルは、計画立案の試行の約90％で成功しました。つまり、実行可能な攻撃計画を作成できたことになります。ただし、これらのモデルの結果には一貫性がなく、すべての繰り返しで合格した攻撃計画の割合は、60％、62.9％、74.3％でした。
レポートは次のように指摘しています。「計画は一見もっともらしくても、不可欠な要素が抜けていることがあります。モデルはタスクに関する情報を持っていたものの、手順を飛ばしたり、計画上で確立されていないアクセス権を前提にしたりする回答がありました」
一方、オープンウェイトモデル4種のうち最も成績が良かったのは、米国以外のモデルで、全体の成功率は36.2％でした。この数値は、米国製の最先端モデル3種の全体成功率（それぞれ31.9％、18.8％、17.9％）を上回っています。
「AIモデルはツール開発やアクセス、知識の移転を加速してくれますが、それでもハルシネーション、つまり誤りを起こしやすいことが分かっています」とThomas氏は述べました。「こうしたAIモデルを使って脅威アクターが目的や目標を達成するには、今でも人間の判断が欠かせないと考えています」
今回のテストでは、人間がモデルに計画の修正を求めることはありませんでした。しかし実際の攻撃では、標的を理解している悪意ある者が、AIの計画の穴を見抜き、追加情報を与えて回答の修正を求めることができます。
「それに加えて、AIモデルのテストでは非常にシンプルなハーネスを使いました。情報とコンテキストを与えて、答えを出させるという形です」とThomas氏は述べました。「より高機能なハーネスを使えば、AIモデルはさらに優位に立てたかもしれません」
Frenosは調査結果を踏まえ、OTの防御担当者が取るべき対策を提言しています。最初に挙げているのは多層防御で、ネットワークのセグメンテーション、リモートアクセスとユーザー権限の制限、復旧手順のテストなどが含まれます。
「事業継続計画や災害復旧計画があるのには理由があります」とThomas氏は述べました。「それらを実行に移しましょう」®
