互锁扛住了，网络没有

两个前沿模型，除了子网边界之外什么都没拿到——没有代码、没有工程文档、没有任何运营技术（OT）方面的指引——却清掉了 Booz Allen 针对一套隔离制造业试验台设定的全部八项攻击目标，并在其中一次运行里，从初始网络沦陷到在控制环境内部采取动作，只用了十六分钟出头。值得带回家的结果不是它们成功了，而是哪些防御扛住了：一台拒绝了命令的控制器，以及一台因本地模式开关在位、根本无法被远程启动的电机。凡是活在模型能够触达的软件里的，统统让了路。

概览

Booz Allen 在其位于弗吉尼亚州尚蒂伊的隔离 OT 实验室里做了这场演练，试验台按一座现代制造工厂搭建：企业网络、SCADA 平台、可编程逻辑控制器、传感器、电机驱动器，以及一台协作机械臂。相关报道出现在 2026 年 10 月 13 日。该公司只把受测对象描述为「来自领先厂商的两个最新前沿模型」。

维度	这场测试做了什么	为什么要紧
起始知识	只有子网边界——没有代码、文档或 OT 指引	把「隐蔽性」当防御这条路直接拿掉，而它恰是多数工厂真正倚仗的那条。
目标	八个场景，全部完成	不是一个后面挂着限定条件的部分结果。
速度	十六分钟出头，从网络沦陷到在 ICS 内部动作	低于任何人类响应周期，而那次运行还被审批卡着。
物理效应	识别出机械臂，摸清安全区与运动限位，然后把它动了	把一起 IT 事件变成一起安全（safety）事件的那一步。
人工卡关	每一次漏洞利用、每一个物理动作都由人类批准	量的是能力，不是自主性。而能力才是会迁移的那一半。

两项控制扛住了。两者都是硬件里的状态。没有一项是策略。

起了作用的那些保护措施，被报道得很窄、很具体，而这正是它们有用的地方：一台控制器拒绝了停机命令，一台留在本地模式的电机无法被远程启动。两者是同一类东西——由不去征询网络意见的设备，在设备层自己做出的决定。

十六分钟，是那个该改变计划的数字

把这十六分钟当真，多数 OT 安全路线图的问题就不是覆盖面，而是排序。通常那套计划是对的，也是慢的：盘点资产、在 OT 网段部署被动监控、为协议异常建检测、培训团队、演练预案。上面每一项都值得做。但没有一项在十六分钟之内起作用，而产出这个数字的那次运行还被「人类逐一批准每次漏洞利用」刻意放慢过——所以不受约束的版本比你拿到的那个数字更快。

把它与各机构在内部人一类事件上实际报出的检测与响应时间比一下：约十五小时，大致七小时检测、八小时行动，我们在《十五小时是给智能体内部人用错了的那只钟》里读了这个数。以小时作答的监控依然值得拥有——定范围、做通知、应付监管——但如果你指望它去打断那条链，算术说你没指望上。

能在十六分钟之内起作用的，是一份比谁都希望的更短的清单：一台会拒绝命令的设备、一个必须动手去拨的模式开关、一项按物理量跳闸的额定保护功能，以及一道需要两件互相独立的事同时为真的互锁。这些才是要优先排序的控制，而本文的后半段讲的是，怎么把它们和那些仅仅长得像它们的东西分开。

受测的那道防御正是隐蔽性，而它败得最彻底

每一层对攻击者的假定都不同。而其中只有一个假定活下来了。

这场设计里最有意思的部分是起始条件。模型拿到的是子网边界，别无其他：没有源码、没有工程图纸、没有工艺文档、没有 OT 预案。这相当贴近一座真实工厂隐含的威胁模型——那里专业知识就是护城河：协议是私有的，标签名对外人毫无意义，操作顺序住在某位工程师的脑子里和一本活页夹里。这场演练故意把护城河抽掉，而模型照样把网络摸了出来、找到弱点、朝与生产相连的系统横向移动，并从零推算出一台机械臂的安全区与运动限位。

这是越出 OT 的那层推论，它适用于任何「安全性靠没人愿意去读说明书」的系统。读说明书过去是贵的那部分。而针对一个陌生、文档糟糕、协议古怪的环境做侦察，成本已经降到大致等于那些 token 的钱——正是我们在《挑目标这件事刚刚变成了免费的》里追踪过的那个转变。你防御里任何一项「按人的耐心来定价」的东西，都需要重新定价。

分段是多数团队会第一个说出口的那一层，而测试结果没有看起来那么给它面子。分段没有阻止那次横向移动；它塑造并延迟了它。这是实打实的贡献——十六分钟比零长，扁平网络更糟——但一道由「从它所保护的那张网络就能够触达的设备」上的配置来执行的边界，是一项软件控制，带着软件的全部失效模式。它该作为摩擦被写进计划，而不是作为你押上整座熔炉的那样东西。

扛住的那两项控制，共有一个属性

一台拒绝停机命令的控制器，和一台处于本地模式的电机，在协议层面毫无共同点，在结构上却共有一切：两种情形下，决定都是由设备作出的，用的是网络改不了的状态。这就是要去设计的那个属性，而且值得分成四档，因为团队经常买了第三档却以为买到了第一档。

物理与额定保护功能。泄压阀、光幕、安全额定的速度与间距监控、急停回路。它们按功能安全要求评估，并且被设计成在控制系统本身已经失效时仍然动作。智能体通过以太网发出的任何东西都改不了它们。
硬件模式状态。拨在本地或编程模式的钥匙开关、物理写使能跳线、维护选择开关。要改它，得有人在厂房里。这一档产出了 Booz Allen 两项存活保护措施中的一项，而且它几乎是免费的：它大体上只是一个决定——远程启动并不是你需要的功能。
设备层拒绝。那台拒绝了命令的控制器——逻辑跑在设备自身、在它自己的固件里，不依赖编排层。这一档很强，也是细节最要紧的一档：它的好坏取决于固件、工程协议上的认证，以及有没有人能远程改写那段逻辑。
命令路径上的一切。网关、策略引擎、历史库，以及你智能体自己的工具定义与系统提示。这些才是你真正会去建的控制，也值得建——策略即代码正是把前三档表达给那些必须遵守它们的软件的方式——但它们没通过这里唯一算分的那道检验：它们从智能体所在的那张网络就能触达。

这项实务练习并不光彩。对你厂里每一个带物理效应的操作，写下实际在阻止它的是哪一档，以及那一档的状态能否通过网络改变。多数诚实地做完这件事的团队会发现，绝大多数操作的答案是第四档，而把其中少数几个挪到第二档，代价是一个钥匙开关和一场关于便利性的争论。我们对这套设计更长的处理在智能体与 IT/OT 边界，而「没有撤销」这个一般问题则在物理动作安全。

「人在环中」这条限定条件买到了什么，又没买到什么

那道审批闸门是让这场演练可以安全开跑的东西。它不是模型的属性。

每一次漏洞利用、每一个可能产生物理效应的动作，都由人类批准过。对这件事有两种读法，都是错的，而且方向相反。

轻蔑的那种读法——「所以它并不是真的自主，这是一次人类驱动的渗透测试，外加一个很贵的自动补全」——没抓住被测量的是什么。模型并没被告知东西在哪、工厂怎么运转；侦察、选目标、产出利用路径，都是它们做的。一个人类在每一步上点「批准」，供不了这些。那是一项实验室安全控制，正是你在一场能让机械臂动起来的演练里会想要的东西。

惊慌的那种读法——「自主 AI 正在攻击关键基础设施」——则夸大了这场演练所显示的东西，而至少有一家报道它的媒体把这点讲得很直白：这些是受控演示，不是自主攻击活体基础设施的证据。这里没有任何东西能确立：模型会在无人协助下把整场行动排好序、从死胡同里恢复过来，或者避开那个会触发告警的失误。

有用的读法落在两者之间：这场演练测量的是人工卡关之下的能力，而能力是这个问题里会迁移的那一半。防御方可没资格假定攻击者也留着那道闸门。而那道闸门本身，在你自己的部署里正是要当心的东西，因为一个在十六分钟里弹出 40 次的审批会被条件反射般批掉——这正是人在环中里的那种失效模式，也是物理动作那套手册把人的决策从「逐步批准」挪到「开跑前授权一个有界信封」的原因。

常见问题

这是否意味着智能体能对一座真实工厂干出这些事？

它意味着：在拥有网络访问的前提下，侦察与利用这部分工作已在当前模型的射程之内，而那个前提才是要紧的。真实工厂的不同之处在两个方向上都成立：活设备比试验台更脏更脆，而真实网络往往比一家安全公司搭的实验室更扁平、更老旧、监控更少。把它当作一次能力演示，而它的前提——能从网络触达 OT——才是你该去核查的那件事。

既然分段没能阻止它，分段还值得做吗？

值得，而这场测试也没有相反的主张。正是分段让那次横向移动花了十六分钟并留下痕迹，而不是一跳就到。错在把它当成带物理效应操作的最后一道控制，因为它是由攻击者能够触达的设备上的配置来执行的。

我们的智能体离 OT 网络远得很。这跟我们有关系吗？

攻击者的智能体不需要你的许可就能是个智能体，所以这项能力发现与你自己采用与否无关。你在 IT 侧部署智能体之后改变的，是那些已经朝 OT 跨过去的、带凭据的自动化路径的数量——工程师工作站、历史库复制作业、厂商的远程支持隧道。这些路径正是这个结果所主张去盘点的东西。

这个季度最值得做的一项改动是什么？

把厂里每一个「经由网络抵达的指令能使其产生物理效应」的操作枚举出来，并为每一个点出会阻止它的那项控制。这份清单通常比预想的短，而一旦写下来，缺口通常显而易见。把其中两三项改成硬件模式开关，是一项便宜、耐久、且不依赖任何人检测延迟的改善。

模型被点名了吗？

没有。Booz Allen 只把它们描述为「来自领先厂商的两个最新前沿模型」。对这篇文章要讲的论点而言，这关系不大——扛住或失效的那些控制是工厂的属性，不是模型的属性——但这确实意味着：你没法把这个发现钉在某家厂商的安全姿态上，也别指望一次模型更新就能让它作废。