Die Modelle erkannten fehlkonfigurierte Geräte und arbeiteten sich durch mehrere Netzwerkebenen bis zur physischen Aktion vor. Alle acht Testziele wurden erreicht – vom Kartieren der Umgebung über das Auffinden von Schwachstellen bis zur Kompromittierung eines SCADA-Systems.

Überraschend war für die Forscher nicht der Erfolg an sich, sondern das Tempo, mit dem die Modelle einen Weg in den operativen Teil des Netzwerks fanden, sagt Kyle Miller, Vice President für Infrastruktur-Cybersicherheit bei Booz Allen. „Ich mache OT-Sicherheit mein ganzes Berufsleben lang, und ob es uns gefällt oder nicht: Wir leben ein Stück weit von Sicherheit durch Verschleierung – wir glauben, ein Angreifer müsse hochentwickelt sein, um in eine OT-Umgebung zu gelangen und sie gut genug zu verstehen, um Dinge zu manipulieren und ein kinetisches Ergebnis zu erzielen“, sagt er. „Diese Tests mit Frontier-Modellen zeigen, dass KI viele dieser Barrieren einreißt.“

„Dieses 16-Minuten-Fenster war die Zeit, die die Modelle brauchten, um von der Perimeter-Firewall durch das IT-Netz in das OT-Netz zu gelangen und ein kinetisches Ergebnis herbeizuführen – also tatsächlich einen Ausgang an einem der Controller in der OT-Umgebung zu bestromen“, erläutert Miller. Ohne die nötige Freigabe durch einen Menschen im Ablauf hätte das Vorgehen vermutlich nur die halbe Zeit gedauert. In den ersten Durchläufen ließ Booz Allen zudem einige ungepatchte Schwachstellen bestehen, sodass die Angriffsdauer keine Zeit für Recherche und Entwicklung von Exploits für Zero-Day-Lücken enthielt.

KI-gestützte Angriffe auf OT-Netze sind bislang vergleichsweise selten, auch wenn Angreifer und staatliche Akteure rasch mit KI experimentieren und nahezu autonome KI-Angriffe häufiger werden. Anfang 2026 verschaffte sich eine kleine Hackergruppe mit KI-Unterstützung Zugang zu mindestens neun mexikanischen Behörden, scheiterte aber am OT-Netz eines örtlichen Wasser- und Entwässerungsversorgers. Nach Angaben von Jay Deen, Associate Principal Adversary Hunter beim OT-Sicherheitsunternehmen Dragos, das den Vorfall meldete, kombinierten die Angreifer zwei kommerzielle Modelle mit wenig bis gar keinem OT-spezifischen Wissen; diese stuften das System dennoch schnell als lohnendes Ziel ein und recherchierten Zugangsmethoden. „Bemerkenswert war nicht, dass KI neue oder besonders ausgefeilte Techniken eingebracht hätte, sondern dass sie den Bedarf an Fachwissen und Zeit für einen groß angelegten Einbruch deutlich gesenkt hat“, sagt Deen. Die KI sei nahe genug herangekommen, um einen Pfad in die OT-Umgebung zu identifizieren und aktiv zu entwickeln, es gebe aber keine Hinweise darauf, dass die Angreifer tatsächlich in das Steuerungsnetz vorgedrungen seien.

Das OT-Sicherheitsunternehmen Claroty setzte in eigener Forschung seines Teams Team82 einen KI-Coding-Agenten auf Kühlungs-Controller von Danfoss an. Der Agent fand drei bereits offengelegte Schwachstellen, kombinierte zwei davon zu einer Kette und erlangte Root-Zugriff auf einem Laborgerät. Der Aufwand: 28 Minuten und rund 6 US-Dollar an Token-Kosten, sagt Sean Tufts, Field Chief Technology Officer des Unternehmens. „Für Verteidiger kann das bedeuten, dass weniger Zeit zur Reaktion bleibt, sobald eine Schwachstelle öffentlich wird – vor allem, wenn Geräte aus dem Internet erreichbar sind“, so Tufts. Unternehmen müssten ihre Aufmerksamkeit darauf richten, wo Angreifer den größten Schaden anrichten können: „Wenn jemand Zugang zu einem verwundbaren Gerät erlangt – wie weit kommt er? Könnte er verändern, wie die Anlage arbeitet? Welche Schutzmaßnahmen halten ihn auf?“

Dieselben Schwachstellen führten zu dem kürzlichen Angriff auf Kühlsysteme in Frankreich – zwei Monate nachdem Claroty den Hersteller über die Probleme informiert hatte, woraufhin ein Firmware-Update bereitgestellt wurde.

Für Betreiber kritischer Infrastrukturen, die ihre relative Unauffälligkeit als erste Verteidigungslinie betrachtet haben, seien KI-gestützte Angriffe ein Weckruf, sagt Tufts. Laut einer Umfrage von Claroty setzen 70 Prozent der Unternehmen KI in irgendeiner Form im Betrieb ein. Weder die Claroty-Studie noch die Labortests von Booz Allen zeigten, dass ein Angreifer einen bereits in einer Betriebsumgebung eingesetzten KI-Agenten kompromittiert – ein Szenario, über das Organisationen laut Tufts dennoch nachdenken sollten: „Ein Agent mit weitreichenden Berechtigungen könnte einem Angreifer einen weiteren Weg zu kritischen Systemen eröffnen, wenn dieser Agent oder seine zugrunde liegende Infrastruktur kompromittiert würde.“

KI-gestützte Angriffe mit KI-gestützter Verteidigung zu blockieren, liege zwar nahe, doch angesichts der Neigung von KI-Agenten, gelegentlich eigenmächtig zu handeln oder ihren vorgesehenen Funktionsumfang zu überschreiten, werde es dauern, bis OT-Betreiber Vertrauen fassen, sagt Miller. „In einer OT-Umgebung, in der wir sehr sicherheits- und verfügbarkeitsbewusst sind, kann es beängstigend sein, wenn wir eine Verteidigung automatisieren“, so Miller. „Aber ich halte gerade Techniken für wichtig, bei denen wir – wenn wir eine anomale KI-Bewegung in der OT-Umgebung erkennen – automatisch etwas auslösen, das diesen Verkehr am Perimeter blockiert. Sonst läuft alles in menschlicher Geschwindigkeit ab, und das ist wahrscheinlich zu langsam.“

Als weitere Gegenmaßnahmen nennen die Experten:

  • Segmentierung und besser noch Mikrosegmentierung, um KI-Angreifer auszubremsen und Verteidigern Reaktionszeit zu verschaffen
  • Überwachung der Netze auf anomales Verhalten – KI-Agenten sehen in OT-Netzen zwar oft wie andere OT-Geräte aus, ein gut abgestimmtes Monitoring kann sie aber erkennen
  • Täuschungstechnologien wie Honeypots und Canaries, die Angreifer verlangsamen und zu ihrer Entdeckung führen

„Eine Art Canary, Köder oder Täuschungslösung einzusetzen, wird sehr wirkungsvoll sein“, sagt Miller. „Wenn man es gut macht, kann man Köder oder Honeypots aufsetzen, die eine typische OT-Umgebung nachahmen, und dem Modell sogar falsche Daten unterschieben.“