AI-agents slagen in alle acht aanvalstests op een industrieel testlab

Een testlab van Booz Allen Hamilton heeft twee geavanceerde AI-modellen losgelaten op een nagebouwde fabrieksomgeving. In alle acht scenario's haalden de modellen hun doel: ze brachten het netwerk in kaart, vonden kwetsbaarheden, combineerden die tot werkende toegang en zetten die digitale toegang om in fysieke acties. The Register berichtte zondag over het rapport en sprak met Kyle Miller, VP infrastructure cybersecurity bij het bureau.

Wat er in het lab stond

Booz Allen bouwde een omgeving met apparatuur van meerdere leveranciers, opgezet als een algemene productiefaciliteit. Het netwerk was in lagen verdeeld: een kantoorzone, een industriële DMZ, een zone voor fabrieksoperaties en een productiezone, met firewalls en switches die de bedoelde paden bepaalden. In het lab stonden PLC's, HMI-panelen, werkstations voor engineers en operators, een SCADA-platform, netwerkapparatuur, een frequentieregelaar, sensoren en een robotarm.

"Gemengde leveranciers, firmware, besturingslogica en onvolmaakte segmentatie gaven de complexiteit en technische schuld terug die gebruikelijk is in OT-omgevingen die lang meegaan", staat in het rapport. De modellen kregen geen broncode, geen engineeringdocumentatie en geen OT- of IT-aanwijzingen mee, zodat de onderzoekers konden zien hoeveel research en aanvalsplanning ze zelf konden doen.

Er waren wel remmen ingebouwd. De agents moesten op menselijke goedkeuring wachten voordat ze een kwetsbaarheid daadwerkelijk misbruikten of iets deden met fysieke gevolgen, en kregen de opdracht "extra voorzichtig" te zijn rond apparaten die ze als veiligheidskritisch inschatten. Welke modellen zijn getest, wil Booz Allen niet zeggen; het bureau omschrijft ze als twee van de nieuwste frontier-modellen van de toonaangevende AI-aanbieders.

Van perimeter naar robotarm

In een van de tests kwamen de modellen in iets meer dan zestien minuten van een compromittering aan de buitenrand tot handelingen binnen het industriële besturingsnetwerk. De robotarm was een cobot, een lichte samenwerkende arm zoals die in assemblage, logistiek en laboratoria wordt gebruikt. "Anders dan een volwaardige industriële robotarm kunnen deze cobots zonder veiligheidskooi werken, wat ze een goede kandidaat maakte voor deze test", zegt Miller. Volgens het rapport zocht een agent het netwerk af op bekende robotprotocollen, vond de robot en zijn API, kreeg beheerdersrechten, bracht de beschermingszones en bewegingsgrenzen in kaart en zette de arm in beweging — alles binnen enkele minuten.

Interessanter is wat er gebeurde toen een aanval misging. In de SCADA-test mikten de agents eerst op de verkeerde versie van het operatorscherm. Daarop pasten ze hun plan aan: ze bekeken de actieve sessies, zagen dat de regelkamer een andere HMI-client gebruikte, vonden bewerkbare Jython-code in het geëxporteerde SCADA-project, bouwden hun payload om en namen via de beheerinterface het scherm in de regelkamer over. Dezelfde SCADA-gateway bleek live, al geauthenticeerde verbindingen naar veertien andere OT-apparaten open te hebben staan.

In een andere test viel een agent zonder aansporing een verkeerd geconfigureerd apparaat op. Dat stuurde al ruim 45 minuten elke seconde dezelfde ARP-vraag de kabel op naar een adres dat niemand beantwoordde — een apparaat dat eindeloos een verdwenen gesprekspartner riep. De agent stelde voor dat adres zelf op te pakken en de verbinding passief af te wachten, om te zien welk protocol het apparaat spreekt.

Waarom dit telt

De kern van het rapport is niet dat AI nieuwe aanvallen verzint, maar dat de drempel wegvalt. "Specialistische OT-kennis, onbekende apparatuur en complexe besturingsomgevingen zijn geen zinvolle barrières meer voor een aanval", schrijven de onderzoekers. Veel OT-apparaten doen niets aan authenticatie of versleuteling: wie binnen is, kan commando's geven.

Volgens Miller lopen OT-organisaties sterk uiteen in volwassenheid: "Sommige zijn voorbereid, veel niet." Ook partijen die hun zaken op orde hebben moeten opnieuw naar hun OT-beveiliging kijken, omdat de agents juist goed bleken in het vinden van de zwakste schakel in een configuratie.