AI-agents in OT (Operational Technology) halen steeds vaker werk binnen dat voorheen uit meerdere rollen bestond: verkennen, analyseren, plannen én uiteindelijk handelen. Booz Allen presenteerde onlangs bevindingen uit een eigen testopstelling waarin ‘frontier’ AI-agents in onbekende industriële omgevingen konden navigeren en fysieke apparatuur konden verplaatsen binnen minuten.
De kernvraag is niet alleen wat er mogelijk is, maar ook waarom de bestaande beveiligingslaag niet als één consistente rem werkt. Bovendien zorgt de term ‘super intelligence’ voor verwarring: in de praktijk lijkt het onderzoek te leunen op de groeiende mogelijkheden van hedendaagse AI.
Waarom ‘super intelligence’ verwarring oproept
In de berichtgeving rond de Booz Allen-rapportage valt op dat er gesproken wordt over ‘super intelligence’. Dat woord roept vragen op, omdat ‘superintelligence’ al langer een specifieke betekenis heeft binnen AI-discussies. Oxford-filosoof Nick Bostrom koppelde die term in 2014 aan een vorm van intellect die de cognitieve prestaties van mensen in vrijwel alle domeinen ver overtreft.
Tegelijkertijd is ‘super intelligence’ in de context van veiligheidsrapporten lastig te plaatsen. Het onderzoek lijkt te wijzen op verbeterde capaciteiten van huidige AI-systemen, niet op een duidelijk afgebakende nieuwe categorie AI. Booz Allen werd benaderd voor verduidelijking, maar kreeg op het moment van publicatie geen antwoord.
Voor OT-beveiliging is dat meer dan semantiek. Zonder consistente definities is het moeilijk om risico’s te vergelijken, lessen door te vertalen en maatregelen prioriteit te geven.
Wat Booz Allen testte in een OT-lab
Het rapport beschrijft hoe Booz Allen AI-agents evalueerde met behulp van zogenaamde AI frontier-modellen in een geïsoleerde OT-omgeving. Belangrijk detail: de agents kregen geen vooraf beschikbare OT-kennis. Ze beschikten niet over broncode, geen engineeringdocumentatie en ook niet over geavanceerde OT-guidance.
De testopstelling is volgens de onderzoekers geen perfecte kopie van elke echte industriële omgeving, maar wordt wel gezien als een redelijke representatie. De aanpak is dus vooral gericht op het vermogen van de AI-agent om zelfstandig tot resultaten te komen, zonder voorkennis.
8 scenario’s, elk met testdoelstellingen
Over acht scenario’s geven de onderzoekers aan dat alle gedefinieerde testdoelstellingen werden gehaald. In plaats van één losse actie te tonen, beschrijft Booz Allen vooral het bredere ketenwerk dat normaal in verschillende fases en door meerdere mensen wordt gedaan.
Volgens de samenvatting van de onderzoekers koppelden de modellen werk dat doorgaans spanning kent tussen verschillende stappen: asset discovery (het vinden van relevante assets), device research, en attack planning. Daarna volgde handelen richting de industriële omgeving.
Van perimetercompromis naar fysieke actie in 16 minuten
Een van de meest opvallende bevindingen is de snelheid waarmee de AI in bepaalde tests van een buitengrenscompromis door kon schakelen naar acties binnen het industriële netwerk. In één scenario kostte dat traject iets meer dan 16 minuten.
Dat is het soort tijdspanne waar veel traditionele handmatige respons niet op kan sturen. Niet omdat analisten niet alert zijn, maar omdat de responslogica in veel omgevingen volgt op menselijk ritme en overleg. Als AI-agenten zo snel schakelen, verschuift de beveiligingsopgave.
Robotarm: zones in kaart en verplaatsen
In een andere test ontdekte het model een robotarm, bracht de beschermingszones en bewegingslimieten in kaart en verplaatste de arm binnen minuten. De onderzoekers benadrukken hiermee niet alleen “cyber” als doel, maar ook “kinetische” effecten: fysieke gevolgen van niet-kinetische acties.
Waar eerdere analyses vaak vooral keken naar mogelijke aanvallen op IT-services, laat deze casus zien dat de brug naar fysieke verandering steeds directer wordt.
Waarom bestaande defenses niet genoeg zijn als één rem
In de tests werden bestaande verdedigingsmechanismen wel genoemd: sommige acties werden geblokkeerd of vertraagd. Toch geeft het rapport een belangrijk signaal af: geen enkele safeguard stopte de autonome modellen consequent en volledig.
Dat betekent niet dat beveiliging nutteloos is. Het wijst er vooral op dat OT-omgevingen vaak een mix van controles hebben, maar dat die controles niet altijd als één samenhangend “stopmechanisme” werken. De AI-agent kon in meerdere scenario’s alsnog doelen realiseren.
De verschuiving: cyber security en fysieke security lopen door elkaar
De Booz Allen-interpretatie sluit aan op wat veel security-experts eerder signaleerden: autonome AI convergeert cyber security en fysieke security. Zodra een systeem niet alleen informatie verwerkt, maar ook stappen in de fysieke wereld kan zetten, verandert het impactprofiel.
Het rapport stelt bovendien dat cyberbeveiliging op zichzelf niet automatisch autonoom opererende agents kan beheersen als die agents op een tempo werken dat menselijk ingrijpen niet tijdig kan blokkeren.
“Security through obscurity” onder druk
Een relevant punt uit het rapport is dat het de werking van “security through obscurity” ondergraaft. Veel OT-omgevingen leunen historisch op het idee dat details verborgen blijven: onbekend maakt het lastiger om gericht te handelen.
Als AI-agents zonder OT-voorkennis toch tot ontdekking en planning kunnen komen, dan wordt die afhankelijkheid minder houdbaar. Niet omdat obscuriteit per definitie slecht is, maar omdat AI een deel van het “zoeken” kan versnellen.
Wat u nu kunt doen: maak OT moeilijk te doorlopen
Booz Allen waarschuwt dat de “window to prepare” aan het sluiten is. In plaats van te proberen alle denkbare vormen van frontier AI misbruik te voorspellen, raden de onderzoekers aan om de omgeving zó in te richten dat traversing (het doorlopen richting het doel) lastiger wordt.
Concreet draait het rapport om een combinatie van maatregelen, waaronder:
- maak de omgeving moeilijk te doorkruisen (minder eenvoudige routes naar kritieke componenten),
- verwijder impliciet vertrouwen (zodat eenmaal aanwezige toegang niet automatisch brede rechten krijgt),
- detecteer industriële veranderingen snel (zodat fysieke of procesmatige gevolgen vroeg zichtbaar worden),
- beperk de impact na toegang, ongeacht of die toegang via cyber of fysieke weg is verkregen.
Dat vraagt om OT-specifieke zichtbaarheid én om beleid dat niet pas later in de keten corrigeert. Het rapport legt daarmee de nadruk op gevolgen (consequent changes) in plaats van uitsluitend indicatoren op IT-niveau.
Praktische vertaalslag: samenhang in controles
Voor organisaties met OT is het verleidelijk om te denken in losse controles: firewall hier, segmentatie daar, een detectietool elders. De bevindingen uit Booz Allen’s lab wijzen echter op het risico dat zo’n set maatregelen wel vertraging geeft, maar niet onvermijdelijk blokkeert.
Een nuttige denkrichting is daarom: “werken onze controles als keten die een aanvaller effectief afsnijdt, óók als die aanvaller autonoom is en tempo maakt?” Als het antwoord vaag is, is het tijd om de totale route—van eerste toegang tot fysieke impact—door te lichten.
Wil je breder kijken naar hoe identiteit en toegang de basis vormen voor moderne beveiligingsmodellen? Dan is dit artikel over Zero Trust en Identity: strategieën en AI relevant voor de vertaalslag naar minder impliciet vertrouwen.
Vergelijking met andere AI- en security-issues
Hoewel het Booz Allen-onderzoek specifiek over OT gaat, passen de risico’s in een bredere trend: AI-systemen kunnen snel, autonoom en met minder menselijke sturing handelen. In de berichtgeving rond AI is daarom ook aandacht voor de juridische en organisatorische kant van autonome acties.
Voor OT-organisaties betekent dat: naast technische maatregelen is het nodig om processen rond reactie, verantwoordelijkheid en escalatie te herijken. Wanneer systemen sneller handelen dan teams kunnen bijsturen, moet duidelijk zijn wie mag beslissen en op welk moment.
Conclusie: AI-agents in OT versnellen de keten
De kernboodschap van Booz Allen is helder: AI-agents in OT kunnen, zelfs zonder voorafgaande OT-kennis, doelen bereiken die uiteindelijk fysieke effecten veroorzaken. In de geteste scenario’s werden alle doelstellingen gehaald, met trajecten van perimeter naar interne actie in meer dan 16 minuten en demonstraties waarbij een robotarm binnen minuten werd verplaatst.
Het rapport benadrukt bovendien dat bestaande safeguards wel vertragen of blokkeren, maar niet altijd één betrouwbare rem vormen. Daarom verschuift de OT-beveiligingsfocus: maak de omgeving lastig te doorlopen, verminder impliciet vertrouwen, detecteer industriële veranderingen snel en beperk de mogelijke impact na toegang—ongeacht het pad waarlangs toegang is verkregen.
Als u wilt anticiperen, begin dan niet met voorspellen welke AI-acties precies volgen, maar met het versterken van de keten die een aanvaller zou moeten doorbreken. Dat is de manier om snelheid en autonomie niet als verrassing te laten winnen.
