L'AI di frontiera ha centrato ogni obiettivo d'attacco OT nel lab di Booz Allen

Booz Allen ha puntato due dei più recenti modelli di AI di frontiera contro un testbed industriale isolato nel suo laboratorio di Chantilly, in Virginia, fornendo loro soltanto i confini delle subnet, e li ha visti centrare tutti e otto gli obiettivi d'attacco definiti dal lab: mappare l'impianto, collegare gli apparati alle debolezze note, scrivere exploit funzionanti, pivotare nei sistemi che governano la produzione e, nell'ultima prova, prendere il controllo amministrativo di un braccio robotico e muoverlo. Una delle esecuzioni è passata da una breccia sul perimetro all'azione dentro la control zone in poco più di 16 minuti. Non erano prototipi di ricerca sbloccati: erano modelli commerciali, operativi da una partenza a freddo da attaccante.

Notizia in evoluzione — pubblicata alle 07:20 (05:20 UTC) del 13 ottobre 2026. Aggiornata man mano che Booz Allen e altri pubblicano.

Cosa ha davvero testato Booz Allen

Il testbed non era un giocattolo. Secondo il report di Help Net Security del 13 ottobre, riproduceva un impianto manifatturiero su zone stratificate — enterprise, DMZ industriale, operazioni di impianto, produzione — con PLC reali, una piattaforma SCADA, azionamenti a frequenza variabile, sensori e un braccio robotico collaborativo. Centinaia di dispositivi IT e OT. Gli operatori hanno consegnato ai modelli i confini delle subnet e nient'altro: niente codice sorgente, niente documentazione d'ingegneria, nessun manuale OT. Per le regole del test, prima di ogni azione fisica i modelli dovevano fermarsi e chiedere un via libera umano.

Tre momenti meritano una lettura attenta, perché ciascuno è una cosa che i difensori danno per scontato un attaccante non possa fare in fretta:

• Un modello ha notato un relè di protezione che inviava la stessa richiesta senza risposta una volta al secondo, l'ha classificato come safety-critical e ha capito come impersonare il partner di comunicazione che stava chiamando — abbastanza per intercettare e, nelle giuste condizioni, per controllare.
• Ricevuta la versione sbagliata dell'HMI dell'operatore, un modello ha visto che le sue modifiche non cambiavano nulla sulle schermate, ha enumerato le sessioni attive, ha trovato codice modificabile nel progetto esportato, ha ricostruito il payload e ha spinto un takeover a schermo intero nella sala controllo.
• Un gateway SCADA teneva sessioni attive e autenticate verso 14 dispositivi OT su entrambe le celle di processo — ogni PLC che i modelli avevano identificato. Un singolo appiglio arrivava a tutti e 14. Da lì un modello poteva inviare comandi reali e, nelle parole di Booz Allen, "far mentire le schermate dell'operatore".

L'AI, in buona parte, non ha avuto bisogno di exploit esotici. Ha usato i protocolli nativi dei dispositivi e le loro password di default. Firewall, segmentazione e strumenti endpoint l'hanno rallentata o hanno segnalato attività; un controller ha rifiutato un comando di stop e un'impostazione locale ha bloccato un avvio motore remoto in un'esecuzione. Ma quando una strada si chiudeva, il modello cambiava metodo e ne trovava un'altra. Le difese hanno alzato il costo. Non hanno fermato l'obiettivo.

La ricognizione è già attiva nel mondo reale

È comodo archiviare un risultato di laboratorio sotto "interessante ma teorico". Il problema è che la metà di ricognizione è già successa contro un'utility vera. A maggio, Dragos ha riferito che gli attaccanti hanno usato Claude di Anthropic come esecutore primario di un'intrusione in un'utility idrica messicana. Senza alcun contesto ICS pregresso, Claude ha identificato un server che operava come gateway industriale vNode, ne ha trovato l'interfaccia a password singola, ha studiato la documentazione del vendor e ha generato una lista di credenziali per fare spray. L'attacco OT alla fine è fallito — lo spray non è andato a segno — ma l'AI aveva interpretato rapidamente un ambiente OT sconosciuto ed era arrivata dritta al gateway che contava. Dragos ha analizzato circa 350 artefatti, in gran parte script generati dall'AI.

Nello stesso mese, il report Offensive Frontier di Booz Allen ha eseguito un Cyber Weapon Index contro 18 modelli di frontiera statunitensi e cinesi, scoprendo che circa due terzi ottenevano in modo affidabile l'accesso iniziale a una rete difesa senza credenziali. E il settore continua a incassare colpi che finora nessuno ha dovuto attribuire all'AI: a luglio, oltre 30 sistemi idrici comunali del Minnesota hanno avuto l'OT toccato in un evento coordinato di due giorni che i ricercatori collegano al gruppo filo-iraniano CyberAv3ngers. La capacità dimostrata a Chantilly e l'intento dimostrato a Monterrey e in Minnesota stanno convergendo. Il pezzo mancante — un attaccante disposto a lasciar guidare al modello la fase OT dall'inizio alla fine, senza il via libera umano imposto da Booz Allen — è una scelta, non una barriera tecnica.

Perché il tuo monitoraggio OT non lo vedrà

"Far mentire le schermate dell'operatore" è l'intera minaccia in una frase. Se l'HMI è compromessa, la console di cui si fida l'operatore del turno di notte è ora controllata dall'avversario — la pressione legge nominale, la valvola risulta chiusa, l'allarme non scatta mai.

È la trappola di detection tipica dell'OT. L'attacco ha usato protocolli nativi e credenziali valide e di default, quindi non c'è firma malware da riconoscere né tempesta di autenticazioni fallite su cui allertare. I comandi sembrano operazioni. E dal momento in cui l'HMI o lo storico sono nel ciclo, la telemetria on-box non è più un testimone affidabile — riferisce ciò che l'attaccante vuole che riferisca. L'unica superficie che l'avversario non può riscrivere a posteriori è la rete stessa: il relè che d'improvviso risponde a un partner con cui non ha mai parlato, il gateway che apre 14 sessioni in un burst, un controller che riceve una sequenza di scrittura che non ha motivo di arrivare da quell'host. Quel segnale esiste sul filo mentre accade, minuti prima di qualsiasi conseguenza fisica — che, quando la finestra compromissione-control zone è di 16 minuti, è l'unico budget che hai.

Cosa fare adesso

Non puoi applicare una patch a "l'AI di frontiera è diventata più brava a leggere il tuo impianto". Irrigidisci il terreno perché un attaccante veloce e capace abbia meno mosse gratis, e sposti la detection sulla superficie che non si può falsificare. Priorità, mappate su MITRE ATT&CK for ICS:

Controllo	Cosa nega al modello	ATT&CK for ICS
Eliminare credenziali OT di default e condivise	La strada più economica — quella usata dall'AI	T0859 Valid Accounts
Zone e conduit (IEC 62443), deny by default	Il pivot perimetro-controllo in 16 minuti	T0812 Default Credentials · lateral movement
Autenticare le comunicazioni device-to-device dove il protocollo lo consente	Impersonazione del relè / del partner	T0830 Adversary-in-the-Middle
Blindare file di progetto HMI e gestione sessioni	Il takeover a schermo intero dell'HMI	T0831 Manipulation of Control
Monitorare il traffico OT sul filo, non sulla macchina	Tutto quanto sopra, mentre accade	T0842 Network Sniffing (in difesa)

Poi assumi che l'accesso iniziale prima o poi riuscirà e prova il contenimento, non solo la prevenzione: segmenta perché un appiglio su un gateway non raggiunga 14 controller, e assicurati che un comando di stop e un interlock di sicurezza abbiano un'autorità che la rete di controllo non possa scavalcare — come il controller di Booz Allen che ha rifiutato lo stop e l'impostazione locale che ha bloccato l'avvio motore. Quei rifiuti al livello fisico sono state le difese che hanno davvero tenuto.

Cosa non si sa ancora

Booz Allen non ha nominato i due modelli e non ha pubblicato lo studio del testbed come report a sé; il dettaglio finora arriva attraverso la cronaca di Help Net Security. Nessun impianto OT reale è stato pubblicamente compromesso end-to-end da un'AI che guidava la fase di controllo — la prova di Chantilly era isolata e vincolata al via libera umano, e l'attacco OT di Monterrey è fallito. Se gli attaccanti reali toglieranno quel vincolo, e come si comporti un modello contro l'architettura di sicurezza specifica di un impianto anziché contro quella di un laboratorio, è esattamente ciò che metteranno alla prova i prossimi sei mesi.

Dove si inserisce Zero Hunt

La lezione difensiva onesta è che la console mente e la rete no. L'AI Traffic Analysis di Zero Hunt è costruita proprio per il momento che Booz Allen ha dimostrato: un modello di deep learning con quattro teste di inferenza — traffico sospetto, classificazione malware, identificazione del tipo di attacco, fingerprinting applicativo — addestrato su miliardi di sequenze PCAP e in esecuzione locale sulla GPU dell'apparato a 2,7+ Gbit/s. Legge le anomalie dei protocolli OT — un relè che risponde a un partner con cui non ha mai parlato, un gateway che apre sessioni a ventaglio, un controller che accetta una scrittura che non dovrebbe mai vedere — direttamente dal filo mentre l'attività accade, non nel digest del SIEM della mattina dopo, e lo fa senza fidarsi della telemetria dell'HMI compromessa.

La seconda metà della risposta è eseguire tu per primo, sotto controllo, il playbook dell'attaccante. Zero Hunt è un red team autonomo di AI che gira on-premise sui propri modelli privati — la scelta giusta per una rete OT air-gapped, perché nessun dato dell'impianto lascia l'apparato e nessun soggetto esterno può rallentare o spegnere la capacità. Il suo swarm di 10 agenti fa il fingerprinting di ogni bersaglio e scrive un proof-of-concept per quell'ambiente anziché rieseguire uno script pubblico, con un operatore umano nel ciclo che vincola ogni passo di exploitation attraverso cinque livelli di autonomia — la stessa disciplina di via libera imposta da Booz Allen, integrata anziché promessa. Per gli operatori idrici ed energetici dell'UE questa è anche l'evidenza che la NIS2 chiede; la nostra guida agli obblighi di test NIS2 e la guida all'acquisto di una piattaforma on-premise spiegano cosa significa per un parco OT. Ne avevamo già scritto a proposito di OT esposta sulla rete pubblica; il risultato di Booz Allen è ciò che trova quell'esposizione in 16 minuti, adesso.