AI completano catene d'attacco OT in 16 minuti: il test Booz Allen

Booz Allen Hamilton ha documentato test in laboratorio in cui due modelli AI hanno completato ogni fase di catene offensive contro tecnologia operativa, dal riconoscimento di rete alla manipolazione fisica di un braccio robotico. L'esperimento, condotto in ambiente isolato a Chantilly in Virginia, ha registrato una corsa completa in poco più di 16 minuti: un arco temporale che ridisegna l'economia della difesa per gli operatori di infrastrutture critiche. Le fonti convergono su un dato tecnico centrale: l'intelligenza artificiale non ha inventato nuove vulnerabilità, ma ha eliminato il collo di bottiglia dell'esperienza ingegneristica specializzata che finora proteggeva i sistemi SCADA e i controllori industriali.

Il laboratorio: un impianto replicato con centinaia di dispositivi IT/OT

L'ambiente di test riproduceva un impianto manifatturiero con centinaia di dispositivi IT e OT, controllori reali, una piattaforma SCADA, azionamenti motori, sensori e un braccio robotico. I modelli, descritti come "ultimi modelli di frontiera dei principali provider di AI", sono stati posizionati nel network con un'informazione minimale: i soli confini delle subnet. Nessun codice sorgente, nessun documento di ingegneria, nessuna guida OT. Questa condizione, ripetuta in modo coerente dalle fonti, è il punto che distingue il test da dimostrazioni orchestrate su target noti.

La prima azione documentata riguarda un relè di protezione che trasmetteva richieste ARP senza risposta. Il modello ha proposto di impersonare il partner di comunicazione mancante, individuando l'opportunità attraverso l'indirizzo IP 192.168.25.2. Non si tratta di un exploit zero-day: si tratta di una tecnica esistente eseguita con velocità e precisione di livello ingegneristico, senza che un operatore umano guidasse la ricognizione.

Dal gateway SCADA al braccio robotico: la catena tecnica

La fonte più dettagliata, Help Net Security, riporta che il modello ha individuato un gateway SCADA con 14 sessioni autenticate attive verso altrettanti dispositivi OT distribuiti su entrambe le celle di processo. La citazione diretta dal report Booz Allen, riportata da The Register, esprime la scoperta nel linguaggio stesso dell'agente: "The gateway holds live sessions to 14 OT devices across BOTH zones — every PLC we've met today, pre-authenticated". La frase, attribuita all'output del modello, indica che l'agente ha composto la mappa di accesso in autonomia, riconoscendo la sovrapposizione delle sessioni come punto di lateral movement.

Nella fase SCADA, il modello ha inizialmente bersagliato una versione errata dell'HMI, ha corretto autonomamente l'obiettivo, ha trovato codice Jython modificabile, ricostruito il payload e ottenuto il controllo completo della schermata della sala operativa. Questa capacità di recupero da tentativi falliti — documentata con passaggi tecnici specifici dalle fonti — è ciò che separa un modello di ragionamento da uno strumento di esecuzione scriptata. Il ciclo di correzione non era programmato: l'agente ha ricalibrato la strategia sulla base del feedback ambientale.

Il passaggio alla manipolazione fisica è avvenuto con tempi paralleli. Kyle Miller, VP di infrastruttura cybersecurity di Booz Allen, ha confermato a The Register che il modello ha "moved it within minutes": ha individuato il braccio robotico, mappato le zone di protezione e i limiti di movimento, ottenuto accesso amministrativo e spostato il dispositivo nel giro di pochi minuti.

"Specialized OT knowledge, unfamiliar equipment, and complex control environments are no longer meaningful barriers to attack" — Booz Allen report, via The Register

I limiti del test: gate umani, modelli anonimi, ambiente controllato

Tutte le fonti convergono su un vincolo strutturale: ogni azione di exploit e ogni operazione con potenziale impatto fisico richiedevano approvazione umana. Questo elemento, ribadito da Booz Allen attraverso le dichiarazioni di Miller, delimita il perimetro tra dimostrazione laboratoriale e capacità operativa non controllata. Il test non dimostra che sistemi AI stiano attaccando infrastrutture reali in autonomia; dimostra che il gap tecnologico per farlo si è compresso a una questione di policy, non di competenza.

Altri limiti sono documentati in modo uniforme. I nomi dei due modelli non sono stati divulgati, rendendo impossibile valutare se i risultati siano generalizzabili a tutti i sistemi di frontiera o specifici di architetture particolari. Non è noto se i 16 minuti rappresentino un tempo tipico o il caso ottimale tra più esecuzioni. Inoltre, alcuni controlli di sicurezza sono risultati parzialmente efficaci: un controllore ha rifiutato il comando di arresto, e un motore in modalità locale ha bloccato l'avvio remoto. Questi episodi, riportati da Help Net Security e Superpower Daily, indicano che la resilienza intrinseca dei sistemi legacy non è completamente inerte di fronte agli agenti AI.

Il contesto operativo: dall'intelligence alle prove in laboratorio

Le fonti collocano il test Booz Allen in un quadro più ampio di attività avversarie accelerate dall'intelligenza artificiale. Help Net Security e Mallory citano un incidente riportato da Dragos a maggio 2026: modelli commerciali di AI, principalmente Claude, impiegati per ricognizione di network governativi messicani con identificazione di percorsi verso settori idrici OT. L'incidente si è fermato alla fase di ricognizione; non risulta compromissione confermata di sistemi di controllo. Tuttavia, la convergenza temporale — ricognizione esterna a maggio, test di penetrazione OT completa a ottobre — traccia una traiettoria che i responsabili della sicurezza delle infrastrutture critiche stanno già monitorando.

Booz Allen stessa opera un programma di ricerca più ampio denominato Cyber Weapon Index, che include benchmark separati su domini IT come Active Directory. Le fonti contestuali, in particolare TechTimes e il blog AIGL, trattano questi benchmark IT come studio distinto: i punteggi CWI non si trasferiscono automaticamente alle prestazioni OT, e i modelli testati nei due ambienti possono differire. Il rinvio a questi studi parallelI serve a inquadrare Booz Allen come organizzazione che sta investendo sistematicamente nella misurazione delle capacità offensive AI, non a confondere i domini tecnici.

Cosa fare adesso

Le fonti non forniscono un protocollo di risposta specifico al test Booz Allen, ma estraggono indicazioni dirette dal comportamento dei modelli e dall'architettura del laboratorio:

• Verificare la segmentazione IT/OT. L'accesso dal perimetro alla zona di controllo in 16 minuti presuppone che i confini di rete siano attraversabili. La fonte non specifica se la segmentazione del test fosse rappresentativa di ambienti produttivi reali.
• Rivedere le sessioni autenticate persistenti sui gateway SCADA. La scoperta di 14 sessioni pre-autenticate attraverso un singolo punto di accesso indica un pattern di connessione che amplifica la superficie di lateral movement.
• Monitorare le correzioni autonome dei modelli. La capacità di recupero da errori — il passaggio da HMI errato a payload Jython ricostruito — suggerisce che le difese basate su signature di attacco noto possono non rilevare catene adattive.
• Valutare i gate di approvazione umana. Il test Booz Allen ha imposto questo controllo come condizione etica e legale; le organizzazioni che valutano scenari di automazione difensiva dovrebbero riflettere su come replicare o superare questo vincolo in scenari di risposta automatizzata.

La citazione di Kyle Miller, riportata da The Register, sintetizza la posta in gioco per i difensori: "Our testing showed that AI agents can operate with a speed, persistence, and engineering-level precision that may outpace organizations that have not implemented foundational OT cybersecurity practices". La frase non è una profezia di attacchi imminenti; è una misura dello scarto tra la velocità di esecuzione dimostrata e la maturità difensiva osservata nel campo.

Perché cambia l'economia della minaccia

Il punto di svolta non è tecnico nel senso tradizionale: nessuna nuova vulnerabilità è stata svelata, nessun zero-day è stato sfruttato. Il punto di svolta è economico. I sistemi industriali sono protetti da una barriera di scarsità — la scarsità di operatori che conoscano contemporaneamente i protocolli di rete, le logiche dei controllori e le interazioni fisiche degli impianti. Il test Booz Allen dimostra che questa scarsità è diventata riproducibile a costo di calcolo. Un avversario con accesso a modelli di frontiera e connettività di rete non deve più accumulare anni di esperienza OT per costruire una catena d'attacco completa.

I 16 minuti non sono un dato da inserire in un alert automatico. Sono un indicatore della velocità con cui il vettore "competenza umana" sta venendo compresso. Per i difensori, questo significa che la rilevazione a velocità umana — il ciclo SOC che analizza log, identifica anomalie, escalation a un analista OT — può non essere più competitiva con la velocità di esecuzione dell'avversario. La risposta, se arriverà, dovrà essere altrettanto automatizzata, o altrettanto rapida nella decisione.

Domande frequenti

I modelli AI hanno attaccato infrastrutture reali?

No. I test sono stati condotti in un laboratorio isolato a Chantilly, Virginia, con gate di approvazione umana prima di ogni azione con impatto fisico.

Quali modelli AI sono stati utilizzati?

Booz Allen ha rifiutato di divulgarne i nomi, descrivendoli come "ultimi modelli di frontiera dei principali provider di AI".

L'AI ha creato exploit zero-day?

No. Le fonti enfatizzano il riutilizzo di protocolli esistenti e credenziali di default, non la scoperta di nuove vulnerabilità.

Fonti

• https://www.helpnetsecurity.com/2026/10/13/frontier-ai-ot-security-threat/
• https://mallory.ai/stories/01a12ae9-ce99-7cfe-a429-c5ae485f980f
• https://www.news4hackers.com/frontier-ai-successfully-defeated-all-ot-attack-scenarios-in-booz-allen-lab-tests
• https://superpowerdaily.com/posts/booz-allen-says-ai-completed-all-eight-industrial-attack-tests-in-a-guarded-lab
• https://www.aigl.blog/the-offensive-frontier-ai-as-the-attacker-a-new-cyber-weapon-index-and-the-strategic-imperative-to-accelerate-agentic-ai-offense-and-defense/
• https://www.theregister.com/security/2026/10/11/ai-systems-are-fully-capable-of-carrying-out-nightmare-attacks-against-infrastructure-and-nobodys-ready/5302450
• https://www.techtimes.com/articles/326498/20260904/booz-allen-hacking-benchmark-ranked-18-ai-models-scaffolding-software-erased-rankings.htm
• https://www.helpnetsecurity.com/2026/07/30/minnesota-water-utilities-coordinated-cyberattack/
• https://ir.crowdstrike.com/news-releases/news-release-details/2026-crowdstrike-global-threat-report-ai-accelerates-adversaries
• https://helpnet.short.gy/e0Qrx4