三個前沿 AI 模型九成寫出可行工控攻擊計劃

Frenos 測試十個 AI 模型，三個前沿模型約九成寫出可行的工控攻擊計劃

專門做工控滲透測試的保安公司 Frenos 在 2026 年 10 月 21 日發表《2026: The State of AI in OT Security》報告，測試十個 AI 模型為工業控制系統規劃攻擊的能力。據 Frenos 的報告頁，三個表現最好的前沿模型，平均約九成的完整攻擊路徑在模擬器中走得通；土耳其通訊社安納杜魯 10 月 21 日的報道把這個區間寫得更細，是 89.5% 至 92.9%。

OT 是 operational technology，即是操作技術，指控制實體設備的那層系統，例如監測水處理流程的軟件、電廠的控制器和工廠的機械臂，與辦公室的 IT 系統分開管理。Frenos 表示，研究沒有公開受測模型的名稱。

一萬六千九百八十次測試，分成三種題型

據安納杜魯，整項研究共 16,980 次測試，分為 13,884 次單一決策、2,520 次完整攻擊計劃，以及 576 次模擬執行。Frenos 的報告頁指，受測的是六個前沿模型、兩個美國開放權重模型和兩個境外開放權重模型，測試由 2025 年 10 月做到 2026 年 9 月。

開放權重指模型的參數可以公開下載，任何人都可以在自己的機器上運行，不受供應商的使用限制約束。

開放權重模型遠遠落後：境外最佳 36.2%，美國最佳 5.2%

據安納杜魯和 Red Tiger Security 10 月 21 日的分析，表現最好的境外開放權重模型通過率 36.2%，美國最佳的開放權重模型只有 5.2%，與前沿模型的約九成相距甚遠。Frenos 在報告頁強調，這些是個別模型版本的成績，不是國家或授權方式的評分。

前沿模型也不是每次都答得準。Frenos 指，即使是分數最高的那幾個，重複同一條路徑時表現亦不穩定。

Frenos 自己劃清界線：這是規劃測試，不是自主攻擊

Frenos 在報告頁寫明，模型拿到的是現成的事實和可選動作，測試只檢查計劃本身走不走得通，或者在簡單模擬器中有沒有達成目標。模型有時會漏掉必要步驟，或者假設自己擁有前面步驟並未取得的存取權限；沒有人覆核的話，這些錯誤會留在最終計劃裏。

Frenos 和安納杜魯都指出，研究沒有證明 AI 可以自行找出目標並發動工控攻擊。

現實案例：墨西哥水務公司與法國超市雪櫃

據安納杜魯，Frenos 在報告中引述今年 1 月一宗針對墨西哥一間水務公司的攻擊，攻擊者用 Anthropic 的 Claude 找出一個工業監測介面，並建議下一步的存取嘗試；該些嘗試失敗，亦未確認有操作控制系統被入侵。同一篇報道提到近期法國有黑客操控數百間超市的雪櫃系統，令溫度急升，食品變壞並據報引發火警。

Red Tiger Security 補充，Booz Allen 本月亦公布了另一項測試：在模擬製造廠的隔離實驗室中，模型達成全部八項目標，其中一次由突破外圍到在控制區動手只用了十六分鐘多一點，每一次利用漏洞和實體動作都經人手批准。

防守方該做甚麼

Frenos 建議的方向與傳統工控保安一致：分隔網絡、限制遠端存取和用戶權限、測試復原流程，並監察登入失敗、異常遠端連線和未經批准的改動。Red Tiger Security 的建議更直接：把反應時間當成以分鐘計而非以日計，並清除工程工作站和閘道上長期有效的連線。該公司指，Booz Allen 在測試中發現一個 SCADA 閘道，對 14 部 OT 裝置保持已驗證的連線。

來源

• 2026: The State of AI in OT Security（Frenos 報告頁）
• Top AI models successfully plan cyberattacks on water, power systems in 90% of attempts: Study（Anadolu Agency）
• AI Models Are Learning to Plan OT Attacks: What Two New Studies Mean for Plant Defenders（Red Tiger Security）