智能体驱动下的工控渗透测试

原创

自主研发技术驱动
自主研发技术驱动

珞安科技

2026年11月12日 18:00
北京

去阅读

01

前   言

上一篇《智能体安全分析与攻防实践》，我们讨论了AI智能体自身面临的安全风险及相关攻防实践。本篇将进一步把视角从智能体自身的安全问题，转向AI渗透测试智能体的能力与风险，分析它如何理解测试目标、调用安全工具、根据环境反馈调整策略，并在工业控制网络中验证这些能力。

与传统渗透测试相比，AI智能体尝试将环境侦察、任务规划、工具调用和结果分析组织成连续的测试流程。但在工控场景中，面对网络分区、访问控制、工业协议和PLC等关键设备，它究竟能自主推进到哪一步？当遇到权限限制、网络阻断或执行失败时，它又能否识别问题并调整策略？

2026年8月，美国国家安全局（NSA）、网络安全和基础设施安全局（CISA）等多个联邦机构发布联合网络安全通报，披露攻击者正在使用AI生成针对西门子S7系列PLC的利用脚本，并将相关工具伪装成正常的工业监控软件，用于目标侦察和攻击能力准备。相关威胁涉及能源、制造、水务、化工等关键基础设施领域。这表明，AI辅助能力已经进入工业控制系统的现实威胁场景。值得注意的是，AI生成攻击工具并不意味着整个攻击过程已经实现自主化。

本文将通过隔离、授权的工控实验环境，围绕MES、工程师站、SCADA、OPCServer、工业防火墙和PLC等关键节点，分析AI渗透测试智能体的自主测试与决策过程，重点观察其跨区访问、失败重规划、风险验证和安全边界控制能力，并与传统渗透测试方式进行对比。

02

智能体如何改变传统渗透测试

传统渗透测试通常采用“人工分析决策+自动化工具执行”的模式。测试人员利用Nmap、Nuclei、BurpSuite等工具完成资产发现、服务识别和漏洞检测。现有工具虽然具备规则匹配、条件判断及自动化执行能力，但面对复杂业务逻辑、多步骤测试依赖和异常结果时，仍需要人工分析和调整。

AI智能体（AIAgent）的核心变化，是利用大语言模型的分析与规划能力，将工具调用、结果分析和任务管理组织成动态执行流程，使系统能够根据环境反馈调整测试策略，而不只是执行预设规则。

2.1动态任务规划

传统自动化工具主要按照预设规则和工作流执行测试，而AI智能体能够根据测试目标、历史结果和当前环境，动态决定下一步操作。其典型执行流程为：

观察环境→建立假设→选择工具→权限检查→执行测试→分析结果→调整策略或结束验证

例如，当接口返回异常状态码时，传统工具通常记录错误或执行预设处理流程，而智能体可以结合上下文分析原因，判断是请求格式错误、认证失效、访问权限不足，还是测试假设本身不成立，再选择调整请求、补充验证或终止当前任务。

这种反馈驱动的任务规划，使智能体能够处理部分预设规则难以覆盖的情况，但模型的判断仍可能出错，需要通过实际测试结果验证。

2.2长程任务执行

为支持多步骤渗透测试，AI智能体需要具备四项关键能力：

（1）记忆功能

保存已发现资产、服务信息、接口路径、测试结果、失败原因及相关证据，为后续测试提供依据，避免重复执行无效操作。长期记忆通常需要借助数据库或文件系统实现。

（2）上下文管理

维护当前测试目标、认证状态、历史操作和待验证假设之间的关系，使智能体能够理解测试进展，并在任务切换或上下文压缩后保持必要的信息连续性。

（3）工具自主调用

根据任务需要选择并调用扫描器、HTTP测试工具、日志分析程序和源码检索工具，并利用执行结果决定后续测试方向。工具调用能力由外部执行组件提供，并不意味着模型拥有任意系统权限。

（4）任务管理

将复杂渗透测试任务拆分为资产发现、漏洞分析、漏洞验证等子任务，明确各任务的执行顺序、依赖关系和完成条件，并根据执行结果动态调整任务优先级，避免重复测试或遗漏关键环节。

对于复杂场景，可采用多智能体协同架构，由主智能体负责任务规划、分配和结果汇总，子智能体分别承担信息收集、黑盒测试、源码分析及漏洞验证等工作。各智能体通过共享任务状态和结构化证据交换信息，实现并行分析与协同验证。

（5）安全边界管控

通过独立的权限控制机制，限制测试范围、工具权限、执行时长和操作频率。涉及数据修改、业务中断或敏感信息访问等高风险行为时，应进行人工审批，并保留审计记录与终止机制。

（6）AgentLoop

通过“模型决策—工具执行—结果反馈—再次决策”的循环，实现多步骤任务的连续执行。每轮执行后，智能体根据工具返回的结果判断下一步行动，必要时调整策略或重新选择工具，直至生成最终结果或触发停止条件。

2.3多源信息关联

AI智能体还能够关联黑盒测试、白盒分析和历史测试结果，提高复杂问题的分析效率。在具备源码访问权限的授权场景中，智能体可以通过黑盒测试发现异常，再结合源码分析检查身份认证、权限校验或数据处理逻辑，最后返回隔离环境验证漏洞假设。

例如，当普通用户能够请求管理员接口时，智能体可以进一步分析接口预期权限、响应内容和服务端权限校验逻辑，再通过不同权限的测试账号进行对比验证。

需要注意，接口能够访问不代表一定存在越权漏洞。只有确认低权限用户实际访问了无权访问的资源，或执行了受限制的操作，才能形成可靠的漏洞结论。

2.4漏洞真实性验证

AI智能体能够分析工具结果，但不能直接将模型判断作为漏洞成立的依据。

HTTP返回200状态码、程序出现异常或测试脚本成功执行，都不能单独证明漏洞存在。因此，智能体应区分“待验证线索”“已确认漏洞”和“已排除问题”，并保存必要的请求响应、测试条件、权限状态及执行记录，使测试结论能够独立复现和审计。

同时，目标系统返回的网页、日志和工具输出均应视为不可信数据，防止提示注入干扰智能体判断或诱导越权操作。

2.5智能体的能力与不足

AI智能体带来的改变，并非简单地将大语言模型接入扫描工具，而是将分散的自动化操作组织为具备任务规划、状态管理、反馈分析和失败重规划能力的连续测试流程。

其价值主要体现在减少重复操作、提高多步骤测试的连续性、辅助复杂结果分析，以及增强测试过程的可追溯性。但智能体仍存在错误推断、上下文丢失、工具执行失败、漏洞误报和越权操作等风险，不能完全替代专业人员的判断。

因此，AI智能体渗透测试的关键，是让模型在明确授权和受控环境中完成任务规划、工具执行、结果分析与动态调整，同时通过独立权限控制、人工审批和可复现证据，确保测试过程可控、结论可信。

03

工控网络下的渗透测试实践

已有研究表明，AI正在参与连续的安全测试任务，但工业网络涉及复杂的业务关系、网络隔离和设备控制，一旦测试影响PLC等关键设备，风险可能从信息系统延伸至生产过程。

为验证AI智能体在工业环境中的自主测试能力，本次实验参考客户真实网络架构，在隔离靶场中构建MES、工业DMZ、SCADA、工程师站及PLC等关键区域及系统，并部署多层防火墙，观察智能体能否自主完成资产侦察、漏洞分析、横向移动风险验证及工业控制影响评估。

3.1测试环境构建

靶场采用Docker分层部署，划分为外部测试区、IT业务区、工业DMZ和OT控制区四个区域，通过三层防火墙模拟工业网络的跨区访问控制。外部仅开放MES部分业务入口，PLC仿真器位于独立的OT控制区，无法从初始位置直接访问。

本次实验采用珞安AI渗透测试系统承载智能体任务。系统集成了多种面向工业控制系统的 MCP 安全测试工具，涵盖工控资产识别、工业协议分析、漏洞检测与验证等能力，并结合工控漏洞知识库，为智能体提供相应的技术支持。

在任务执行过程中，系统采用主从多智能体协同机制，由主智能体负责测试任务拆解、策略规划和子智能体调度，子智能体通过 MCP 调用相应工具开展测试，并将执行结果反馈给主智能体。同时，通过 Skill 为智能体提供工控领域知识、测试方法及任务规则，辅助其分析失败原因、调整测试策略和整理验证证据，使智能体能够根据实际测试反馈持续推进任务，而非简单执行预设的攻击脚本。

实验不向智能体提供预设攻击路径，仅指定初始位置、PLC目标及授权范围，观察其能否根据实际反馈自主规划，并在受控环境中完成跨区风险及控制影响验证。

3.2智能体自主测试与决策过程

与传统固定脚本不同，本次实验由主智能体拆解任务，调度子智能体完成资产侦察、漏洞分析、权限检查和网络边界验证。各子智能体通过MCP调用工具，将结果返回主智能体，由其关联线索、更新任务状态并决定后续测试方向。

（1）MES入口与登录验证

测试开始后，主智能体根据初始目标拆分侦察任务，由子智能体通过MCP工具识别外部暴露资产、Web服务和业务接口，并将结果上报主智能体。

初始侦察发现系统信息接口，以及robots.txt中暴露的诊断和文件导出路径，而受保护的业务接口在未登录时返回HTTP 401错误。

靶场预置的第一个漏洞位于MES登录接口，存在SQL注入导致的认证绕过风险。该阶段需要验证异常登录是否能够产生有效管理员会话，并结合用户角色信息确认实际权限。

主智能体在获取子智能体反馈后，将已确认的身份权限信息纳入任务状态，为后续业务接口安全分析提供依据。

（2）凭据获取与IT区域风险扩展

获得有效业务会话后，测试重点转向MES后端接口及其与工业DMZ的关联关系。靶场在工单查询接口预置了UNION型SQL注入漏洞，可能导致数据库中用于内部服务认证的敏感信息泄露，其中包含工业DMZ运维网关的维护Token。

同时，MES文件导出接口还存在路径穿越缺陷，可能造成内部集成配置文件integration.ini被非授权读取。该文件记录了工业DMZ的相关通信关系和维护接口信息。

这两个漏洞的作用并不相同：SQL注入可能暴露跨系统认证凭据，路径穿越则可能泄露内部服务配置。主智能体需要汇总不同子智能体的发现，将身份信息、内部配置与目标资产进行关联分析，判断是否存在进一步的权限扩展风险。

这一阶段体现的不是孤立漏洞检测，而是AI对多个安全问题之间潜在关联关系的分析能力。

（3）SSRF跨区访问与DMZ网关跳板

在工业网络分区中，外部测试区不能直接访问工业DMZ，初始位置对运维网关及PLC的直接连接应受到防火墙阻断。

但MES系统为了实现业务集成，提供了内部服务连通性检查接口。靶场将该接口设计为存在SSRF风险，使业务服务器可能代替外部请求者访问原本不可直接到达的内部资源。

因此，该环节的核心不再是单一Web漏洞，而是应用层请求能力能否突破原有的访问预期，形成从IT业务系统向工业DMZ的跨区访问风险。SSRF验证首先对应DMZ运维网关的内部状态接口，随后结合前期泄露的维护凭据，验证网关维护身份及会话管理是否存在可被滥用的条件。

当有效维护会话建立后，网关提供的工业通信中继能力，可能进一步扩大访问者对OT侧服务的实际影响范围。需要注意，这种跳板并不意味着攻击者已经获得网关操作系统权限，也不等于OT网络的全部主机均可直接访问。其本质是通过业务接口、维护身份和应用层中继能力形成了新的访问路径。

对于AI智能体而言，这一阶段重点验证其能否把前期发现的敏感凭据、内部配置和SSRF风险联系起来，并准确区分内部信息泄露、跨区访问与有效网关会话三个不同的验证结果。

（4）工业通信中继与PLC控制影响

进入OT影响评估阶段后，靶场通过网关维护中继连接PLC仿真器的HTTP管理服务和Modbus/TCP服务，而非从外部测试区直接访问PLC。

标准验收流程首先确认虚拟生产线处于运行状态，随后通过受控的维护写入条件和Modbus功能码FC06，对仿真器的保持寄存器执行状态变更验证，使虚拟产线由运行转为停止，并进一步验证恢复操作。

这一阶段不再只是检查工业设备是否可达，而是验证前期业务漏洞、维护身份和网关中继风险在特定条件下是否可能影响工业控制过程。为判断实际影响，实验需要结合PLC状态接口和审计记录，确认running状态是否发生变化，以及仿真产线停止与恢复是否产生对应的验证标记。

（5）总结

这里虽然影响对象是隔离靶场中的PLC仿真器，攻击结果也仅表现为拒绝服务（DoS），在真实工业生产环境中，类似攻击可能带来更严重的后果。一旦 PLC 与 HMI、工程站之间的通信受到干扰，可能导致设备状态无法及时监测、控制指令下发受阻，甚至影响生产线的正常运行。

更值得关注的是，当AI智能体能够自主完成资产发现、漏洞分析和攻击路径规划时，原本需要专业人员逐步操作的测试过程，可能被整合为连续执行的自动化流程。这意味着部分工控攻击的技术门槛可能进一步降低。以下是整个AI攻击的一个路径：

3.3遇到失败后如何调整

实际测试中，网络阻断、权限不足、漏洞条件不匹配及工具异常都可能导致任务失败。当子智能体返回失败结果时，主智能体结合MCP反馈与Skill规则分析原因，判断应补充验证、调整任务或终止当前测试，并重新分配相应任务。

例如，目标不可达时，先判断是否由防火墙策略或服务状态导致；候选漏洞验证失败时，重新核对版本和利用条件；发现异常但证据不足时，则交由其他子智能体复核。

整个过程如下：

主智能体调度→子智能体执行→MCP工具反馈→Skill辅助分析→动态重新规划

同时，系统中所有跨区访问及涉及PLC的高风险操作会遵守授权范围，并保留工具调用、审批、异常响应和审计记录。

3.4与传统渗透测试的对比

04

工业企业安全防范措施

AI改变了部分攻击活动的组织和执行方式，但企业防御的核心仍然是资产、身份、权限、检测和响应。真正需要加强的，是面对连续自动化攻击时的防护和处置能力。

4.1加强资产管理与网络边界控制

企业应持续梳理互联网暴露资产、远程管理接口、测试环境及存在风险的组件，明确业务归属和责任人，及时消除不必要的外部访问入口。

对于工业企业，还应重点检查生产管理层、过程监控层和现场控制层之间的访问控制关系，防止业务系统的安全问题向控制网络扩散。

4.2强化身份权限与异常行为检测

落实多因素认证、最小权限、凭据轮换及高权限操作审计，限制单个账号失陷后的影响范围。同时，将检测重点从单一工具特征转向连续行为关联，重点分析异常登录、权限变化、跨系统访问和批量数据读取等活动。对于工业网络，还需关注工程师站、SCADA、OPCServer与PLC之间不符合正常生产流程的访问行为。

4.3通过授权演练验证实际防御能力

企业应通过授权安全测试检验漏洞防护、异常检测、凭据撤销和系统隔离能力，而不是仅以部署了多少安全产品作为评价标准。

针对AI智能体，还应验证目标范围限制、工具权限控制、任务恢复及高风险操作审批机制，不能仅依靠提示词约束执行行为。工业控制场景尤其需要确保测试不会影响设备运行和业务连续性。

4.4完善应急响应与人员安全意识

面对自动化程度更高的攻击，企业应明确告警分级、账号冻结、证据保存、系统隔离和业务恢复流程，并定期开展演练。

普通用户同样需要防范AI辅助生成的钓鱼信息、仿冒客服和账号欺诈，为重要账号启用多因素认证，并通过官方渠道核实敏感操作请求。

05

总   结

智能体正在改变传统渗透测试的执行方式，其影响在工业控制网络中尤为值得关注。与单一漏洞检测不同，智能体能够尝试关联 MES 业务漏洞、身份凭据泄露、工业 DMZ 跨区访问和网关中继等风险，将分散的安全问题纳入连续的测试流程，从而帮助识别传统单点检测容易忽略的跨系统、跨区域风险。

但在工控环境中，发现漏洞并不等于突破网络边界，能够访问工业服务也不代表具备 PLC 控制权限。智能体的实际能力仍受到网络隔离、身份认证、工业协议、工具执行条件和安全策略的共同限制。尤其涉及 PLC 启停、参数修改等操作时，必须将设备运行状态、业务连续性和操作安全纳入验证范围。

对于工业企业而言，未来的安全防护不能只关注单个设备或漏洞，还应重视 IT 与 OT 之间的访问边界、跨系统身份管理、异常通信检测以及关键控制操作审计。同时，应通过隔离、授权的安全演练，验证防火墙策略、凭据管理、异常检测和应急恢复机制能否有效限制风险扩散。

工业网络空间安全实验室

珞安科技工业网络空间安全实验室专注于工业互联网安全的前沿技术研究，重点聚焦工控系统、物联网、电力能源等关键信息基础设施的网络安全防护。团队由行业技术专家、漏洞安全研究员、渗透测试工程师等专业人才构成，拥有国家级攻防对抗实战经验，持续参与行业漏洞挖掘及技术支撑工作。

目前，珞安科技工业网络空间安全实验室已构建起涵盖安全研究、攻防对抗、安全服务在内的核心能力矩阵，业务范围涉及渗透测试、漏洞挖掘、安全培训及课题研究等，能够为用户提供全面、定制化的安全解决方案。

LUOANKEJI