KI-Agenten bewegten den Roboterarm: OT-Angriffspfade als Graph modellieren

Das Szenario ist nicht hypothetisch. In einem isolierten OT-Labor (Operational Technology), das eine Fertigungsanlage nachbildete, überwand ein Frontier-KI-Modell den Perimeter und bewegte innerhalb von Minuten einen Roboterarm — ohne je einen Netzwerkplan, eine technische Zeichnung oder auch nur den Namen eines Geräts erhalten zu haben.

Booz Allen veröffentlichte die Ergebnisse am 8. Oktober 2026 in Super Intelligence Reaches OT Systems, begleitet von The Offensive Frontier: AI as the Attacker. Acht Frontier-Modelle wurden in acht kontrollierten Szenarien gegen eine Multi-Vendor-Industrieumgebung gefahren. Jedes Szenarioziel wurde erreicht. Kein Modell benötigte Quellcode, Protokolldokumentation oder OT-spezifische Anleitung. Das ist der Punkt, über den Verteidiger länger nachdenken sollten: Die Einstiegshürde ist keine Domänenexpertise mehr — sie ist ein Prompt.

Was das Labor tatsächlich enthielt

Die Testumgebung war ein getreuer Ausschnitt einer echten Anlage, kein Capture-the-Flag-Netz. Sie folgte dem klassischen Schichtenmodell mit Assets über vier Zonen hinweg:

Ebene	Typische Komponenten
Enterprise	Unternehmensnetz, Identität, Fernzugriff
Industrial DMZ	Jump-Hosts, Historian, Patch- und Proxy-Server
Plant Operations	SCADA-Plattform, Engineering-Workstations, HMIs
Production	SPS (PLCs), Frequenzumrichter, ein Roboterarm, Sensoren

Der Angriffslauf begann auf der Enterprise-Seite und endete zwischen den Steuerungen. Die Gesamtzeit bis zur ersten Aktion innerhalb des industriellen Steuerungsnetzes: etwa sechzehn Minuten.

Die Kill Chain, rekonstruiert

Drei Momente im Bericht verdienen es, langsam gelesen zu werden.

Erstens die Übernahme des SCADA-Bedienerdisplays. Der Agent zielte zunächst auf die falsche Build-Version der Bedienoberfläche. Statt zu scheitern, enumerierte er aktive Sitzungen, identifizierte die tatsächlich im Leitstand laufende Version, fand editierbaren Code in einem exportierten SCADA-Projekt, baute eine Nutzlast dagegen neu und führte eine Vollbild-Übernahme des Bedienerdisplays aus. Ohne menschliches Eingreifen.

Zweitens die Entdeckung eines SCADA-Gateways mit lebenden, vorauthentifizierten Sitzungen zu vierzehn OT-Geräten über zwei Zonen hinweg. Der Agent musste die Authentifizierung nicht brechen; er erbte sie.

Drittens das unaufgeforderte ARP-Manöver. Ein sicherheitskritisches Gerät hatte über fünfundvierzig Minuten einen unbeantworteten ARP-Request gesendet. Der Agent erkannte, dass er diesen Broadcast beantworten, sich als fehlenden Peer ausgeben und die daraufhin vom Gerät geöffnete Protokollsitzung übernehmen konnte. Er meldete dies — ein Lehrbuch-Adversary-in-the-Middle — ohne dazu aufgefordert worden zu sein.

Diese Techniken lassen sich sauber auf MITRE ATT&CK for ICS abbilden: T0830 (Adversary-in-the-Middle), T0848 (Rogue Master), T0883 (Internet Accessible Device), T0886 (Remote Services), T0822 (External Remote Services). Das Neue ist nicht das Technik-Set; es ist, dass ein Allzweckmodell diese Techniken autonom auswählte und anordnete.

Warum das grundlegend ein Graph-Problem ist

Eine OT-Umgebung ist keine Geräteliste — sie ist ein Netz aus Erreichbarkeit, Vertrauen und Protokollbeziehungen, geschichtet entlang des Purdue-Modells und aufgeteilt in IEC-62443-Zonen und -Conduits. Angreifer durchqueren sie Kante für Kante. Verteidiger denken zu oft noch in flachen Inventaren.

Das richtige Denkmodell ist der Angriffspfad-Graph: ein gerichteter azyklischer Graph, der einen Angriffsbaum erweitert, in dem Knoten Assets oder Zustände und Kanten ausnutzbare Beziehungen sind. Bayes'sche Angriffsgraphen versehen jede Kante mit einer Wahrscheinlichkeit, wodurch aus „ist dieser Pfad gefährlich?" die Frage „wie hoch ist die kumulative Wahrscheinlichkeit, physische Konsequenz zu erreichen?" wird.

Genau diese Formulierung betont Booz Allen. Die Frage lautet nicht „wie viele kritische Geräte besitzen wir?", sondern „welche Pfade enden in einer Handlung mit physischer Konsequenz?" — ein Steuerungsschreibvorgang, ein Umrichterbefehl, eine Ventilzustandsänderung. Nach diesem Kriterium zu priorisieren ist genau das, was eine Graph-Traversierung von selbst liefert.

Den Angriffspfad-Graphen aufbauen

Man beginnt mit den Assets und ihrer Zonenzugehörigkeit und fügt dann Erreichbarkeitskanten hinzu. Ein Neo4j-Modell legt Purdue-Ebene und IEC-62443-Zone auf jeden Knoten und die Ausnutzungswahrscheinlichkeit auf jede Beziehung:

// Welche Pfade erreichen eine sicherheitskritische Steuerung, und wie wahrscheinlich sind sie?
MATCH p = (entry:Asset {zone: 'Enterprise'})
          -[:CAN_REACH*1..6]->
          (plc:Asset {purdueLevel: 1})
WHERE plc.safetyCritical = true
RETURN [n IN nodes(p) | n.name]        AS attackPath,
       reduce(r = 1.0, rel IN relationships(p) | r * rel.probability)
                                        AS cumulativeRisk
ORDER BY cumulativeRisk DESC
LIMIT 10

Die Asset-Beziehungs-Schicht ist bei den meisten Teams am schwächsten ausgeprägt. Sie muss dual-homed Hosts, geteilte Dienste und — das entscheidende Detail aus dem Bericht — vorauthentifizierte Sitzungen erfassen. Eine lebende Sitzung auf einem Gateway ist eine Erreichbarkeitskante, die keine Firewall-Regel dokumentiert.

Zwei Open-Source-Werkzeuge verkürzen den Weg vom Inventar zum Graphen. norwytch/ics_attack_surfaces nimmt eine YAML-Beschreibung einer Anlage und erzeugt einen Angriffsgraphen, annotiert mit MITRE ATT&CK for ICS, NIST-SP-800-30-Bewertung und IEC-62443-Zonen-/Conduit-Beziehungen — plus einen ATT&CK-Navigator-Layer für den Workshop. aakashsingh-sec/ot-segmentation-validator kodiert zehn Segmentierungsregeln aus Purdue und IEC 62443 und bewertet die Exposition durch Traversierung des Graphen ausgehend von der Enterprise-/DMZ-Grenze. Für vollständig regelbasierte Generierung bleibt MulVAL der Referenzpunkt: Es drückt Exploit-Vorbedingungen als Datalog-Ableitungsregeln aus und erzeugt den Graphen aus Systemfakten.

# Minimale YAML-Form für einen Graph-Generator (ics_attack_surfaces-Stil)
assets:
  - id: hmi-control-room
    zone: plant-operations
    purdue: 2
    services: [rdp, scada-client]
  - id: plc-line-1
    zone: production
    purdue: 1
    safety_critical: true
conduits:
  - from: industrial-dmz
    to: plant-operations
    allows: [rdp]

Wo die Erkennung sitzen muss

Ist der Vorteil des Agenten Geschwindigkeit und Autonomie, darf die Erkennung nicht davon abhängen, dass ein Mensch Logs liest. Die defensiven Empfehlungen des Berichts übersetzen sich fast direkt in Graph-Abfragen und stehende Alarme:

• Moduswechsel von Steuerungen, Programmschreibvorgänge und SCADA-Projektimporte überwachen — das sind die Kanten mit hoher Konsequenz, nicht der Routine-Netzverkehr.
• Auf unerwartete Nutzung vertrauter Schnittstellen alarmieren, einschließlich Jump-Hosts und Engineering-Workstations.
• ARP-Anomalien verfolgen: Eine unaufgeforderte Antwort eines zuvor stillen Peers ist die T0830-Signatur, die dem Manöver vorausging.
• Dual-homed Systeme, geteilte Dienste und vorauthentifizierte Sitzungen entfernen oder streng begrenzen und die Traversierung erneut ausführen, um zu bestätigen, dass der kürzeste Pfad zur physischen Konsequenz länger wurde.

Ein nützlicher operativer Kreislauf: den Graphen nächtlich mit FIRST-EPSS- und CISA-KEV-Daten bewerten und bei jeder Inventaränderung neu bewerten. Angriffspfad-Risiko ist keine statische Eigenschaft eines Geräts; es ist eine Eigenschaft des Pfades.

Was hielt — und was nicht

Nicht jede Kontrolle versagte. Eine Steuerung wies einen Stop-Befehl zurück, den sie als unsicher bewertete. Ein Motor im Local-Control-Modus konnte nicht remote gestartet werden. Firewalls, Segmentierung und Endpoint-Schutz verlangsamten oder blockierten einzelne Aktionen. Der unbequeme Befund ist, dass keine einzelne Schutzmaßnahme die Modelle konsequent stoppte. Segmentierung erhöhte die Kosten; sie errichtete keine Mauer.

Der Bericht merkt zudem aus der Cyber-Weapon-Index-Arbeit an, dass derzeit nur eines von achtzehn getesteten Modellen die vollständige Cyber-Kill-Chain autonom ausführt, die meisten aber nahe dran sind, und Booz Allen eine breite Parität innerhalb von etwa sechs Monaten erwartet. Er stellt außerdem fest, dass der Harness um ein Modell ebenso wichtig sein kann wie das Modell selbst — ein Punkt, den man sich merken sollte, denn er bedeutet, dass die Exposition eines Verteidigers sich mit dem Werkzeug eines Angreifers ändern kann, nicht nur mit einem neuen Modellrelease.

Die Konsequenz für Verteidiger

Agentische Angreifer kollabieren die Zeit zwischen Entdeckung und Handlung. Die Gegenmaßnahme ist keine größere Firewall, sondern ein lebendes, abfragbares Modell der eigenen Angriffsfläche, priorisiert nach den Pfaden, die in physischer Konsequenz enden. Baue den Graphen, hänge Wahrscheinlichkeiten an und überwache die Kanten, die zählen — Steuerungsmodus, Programmschreibvorgänge, Projektimporte und der leise ARP, der dort nicht sein sollte.

Die Labormodelle erledigten in Minuten, was früher einen Spezialisten mit Wochen an Aufklärung erforderte. Wer nicht mit einer Abfrage beantworten kann, „was ist unser kürzester Pfad vom Internet zu einer sicherheitskritischen Steuerung?", hat noch nicht das Bild, das Angreifer längst haben.