「Super Intelligence Reached OT Systems and Moved Equipment」が報告したこと

「Super Intelligence Reached OT Systems and Moved Equipment」。Booz Allen Hamiltonが2026年10月に自社サイトで公開した報告の題名です。題名の強さに比べ、中身は条件の多い実験報告として読む必要があります。

同社によると、実験の場は外部から隔離した自社のOTサイバーセキュリティラボで、製造施設を模した複数ベンダーの機器構成です。Cloud Security Alliance（CSA）が10月14日に出した解説ノートは、PLC、SCADA、HMI、インバータ（可変周波数ドライブ）、センサー、ロボットアームが置かれ、ファイアウォールでゾーンを区切ったうえで、あえて「不完全な分離」を残した環境だったと整理しています。モデルに渡されたのはサブネットの範囲だけで、ソースコードや設計資料、OT向けの手引きは与えていません。

試したシナリオは8つです。The Registerが10月11日に伝えた内容を言い換えると、資産の把握、脆弱性の発見、侵入手段への転換、複数の弱点を連ねた生産系への移動、複数メーカーのコントローラ操作、交流モーターの速度と起動・停止の変更、SCADAの画面改ざんと接続機器の制御、そしてロボットアームを見つけて動かすことでした。Booz Allenは、定めた目標はすべて達成したとしています。

数字として広まったのは「16分強」です。ある試行で、境界の侵害から産業制御ネットワーク内での操作まで、16分を少し超える時間で進んだと同社は書いています。SCADAの試験では、事前に認証済みの状態で14台のOT機器につながったままの接続が見つかりました。

境界の侵害から制御網内の操作までの時間（1回の試行）
16分強
Booz Allen Hamilton（自社OTラボでの実験、2026年10月公表）
定めた攻撃目標の達成数
8/8
同上（シナリオは8つ）
事前認証済みの接続が残っていたOT機器の数
14台
同上（SCADAの試験）

深刻に受け取る理由と割り引く理由

同じ報告から、読み手によって正反対の結論が出ています。論点ごとに、肯定的に読む根拠と懐疑的に読む根拠を並べます。

論点深刻に受け取る理由割り引く理由
速度境界から制御網まで16分強。人が気づいて止めるまでの時間がほとんどないCSAは、計測の基準（人の承認待ちの時間を含むか）が示されていないと指摘している
自律性ソースコードや設計資料なしで、異なる手段に切り替えながら目標に届いた脆弱性の悪用と物理的な影響を伴う操作は、すべて人が承認してから実行した
再現性8つの目標すべてに届き、偶然の1回ではない使ったモデル名が公表されておらず、第三者が同じ条件で確かめられない
環境の現実味数百台規模のIT・OT機器と実物のコントローラを使い、実際の工場に近い意図的に分離を不完全にした環境で、監視要員やプロセス安全系は部分的にしか再現されていない可能性がある
手口担当者数人が数日かけていた作業を1回の試行にまとめた使われたのは主に機器本来の通信プロトコルと初期パスワードで、新種の攻撃手法ではない
情報源実機を使ったラボでの検証結果を、具体的な場面とともに公開しているセキュリティサービスを売る企業の自社報告で、報道もこの報告に依拠しており独立した裏づけではない

肯定側の論点で軽く扱えないのは、モデルが行き詰まったときの振る舞いです。報告では、SCADAの試験で最初に古い版の操作画面を狙って失敗したあと、稼働中のセッションを調べて制御室で使われている版を特定し、攻撃内容を作り直したとされます。保護リレーが通信相手を探して出し続ける要求に気づき、その相手になりすます方法を見つけた場面もあります。設定ミスを一つずつ突くのではなく、現場の構成を読み取って経路を組み立てている点が、従来の自動化ツールとの違いです。

懐疑側の論点で見落とせないのは、言葉の問題です。SecurityWeekの記者は、題名の「Super Intelligence」が何を指すのか分かりにくいと書き、Booz Allenは問い合わせに答えなかったとしています。報告を社内で共有するときは、題名ではなく実験条件から伝えるほうが誤解を生みません。

割り引いても残ること

懐疑的な読み方をすべて受け入れても、報告から外せない事実が2つあります。

1つ目は、モデルが「できなかったこと」です。あるコントローラは停止コマンドを拒否し、ローカル操作モードにしていたモーターは遠隔から起動できませんでした。ファイアウォール、セグメント分割、エンドポイント対策も一部の操作を遅らせるか止めました。一方で同社は、どれか1つの対策が一貫してモデルを止めたわけではないと結論づけています。機器側の設定と現場の安全装置が最後の壁になる、という読み方は、懐疑的な立場からも否定しにくいところです。

2つ目は、経路の問題です。14台の機器に事前認証済みのまま接続していた仕組みは、一点を押さえられると全体に届く入口になりました。製造業のデータ基盤では、これに近い構成が珍しくありません。設備データを集めるゲートウェイ、ヒストリアン、MESのインタフェースサーバ、エンジニアリング用PCは、IT側とOT側の両方に足をかけ、常時接続のセッションを持つことが多いからです。ここから先は編集部の推測ですが、AI活用のためにデータ収集の経路を増やした工場ほど、報告にある「橋渡しをするシステム」の数も増えている可能性があります。

MES・データ基盤の担当者が点検すること

Booz Allenが所有者・運用者向けに挙げた推奨は5項目です。重要度の高い工程の周りを分割し、境界をまたぐ二重接続のホストや共有サービス、事前認証済みセッションをなくす。ファイアウォール、ジャンプホスト、SCADA、エンジニアリング端末など橋渡しをするシステムを固める。脆弱性の深刻度スコアだけでなく、到達した先で何を変えられるかで優先順位を付ける。コントローラのモード変更やプログラム書き込み、SCADAプロジェクトの取り込みを監視し、検証済みのバックアップを用意する。機器の設定とローカルの安全制御を最後の壁として扱う。

これをMES・データ基盤の側に置き換えると、点検の対象ははっきりします。

1と2は、IEC 62443のゾーンとコンジットの考え方でいう「コンジットの棚卸し」にあたります。4は社内で使うAIエージェントの話で、攻撃に使われるAIとは別の論点に見えますが、どちらも「AIがどこまで届くか」を決める設計です。読み取り専用から段階的に権限を広げる手順はAIエージェントの権限設計で整理しました。製造業を狙う攻撃全体の傾向はIBM X-Force・Dragosのデータで見たAI基盤のリスク、OTの対策体系はNIST SP 800-82 Rev.3の要点が出発点になります。

CSAはさらに、AIを使った攻撃者を想定した演習を、本番設備ではなくラボやデジタルツインで、人の承認と停止手段を決めたうえで行うよう勧めています。自社で検証する場合も、この条件は外さないでください。

よくある質問

実験に使われたAIモデルはどれですか

公表されていません。CSAの解説ノートは2つの最先端モデルが使われたとしていますが、名前は伏せられており、第三者が同じ条件で再現できない点が懐疑的な見方の根拠になっています。

AIが人の許可なく工場の設備を動かしたのですか

いいえ。Booz Allenによると、脆弱性の悪用と物理的な影響を伴う操作は、すべて人の担当者が承認してから実行しています。調べたのは「AIがそこまで到達できるか」で、無人で攻撃を完遂することではありません。

中小規模の工場でも対策は同じですか

考え方は同じです。報告で効いたのは、停止コマンドを拒否するコントローラの設定や、ローカル操作モードのような機器側の基本設定でした。高価な製品を入れる前に、二重接続の機器と常時ログイン済みの接続を洗い出すことから始められます。

この記事に出てくる用語

用語集（日・英・中）をすべて見る

この記事のテーマ
#セキュリティ#AIエージェント#データ基盤#欧米動向
この特集について

AIは「データ基盤」で決まる

PoCは成功したのに本番で止まる。原因の多くはモデルではなく、MESと設備データの側にある　全139本

  1. MES×AIの始め方：使えるデータ・3つの連携方式・製品選定までの実装ガイド
  2. 中国の製造業AIの全体像：政策・主要プレーヤー・規制・日系工場への影響
  3. 中国が起草中の新一代智能制造政策は日系工場に関係するか：立場別の4つの問い
  4. Critical Manufacturing V12のAIエージェントを2026年の年表で読む
特集の記事をすべて見る →

この記事を書いた人

株式会社サオス

株式会社サオス 製造DX部

DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成と、製造業向けAIの調査・開発・教育を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES・データ基盤・AI導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。

運営者情報　編集方針　株式会社サオスのサイト