Một exploit chỉ chạy trên một PLC: AI mất vài giờ để “dịch” nó sang thiết bị công nghiệp khác

Trong cybersecurity, một exploit hiếm khi là chiếc chìa khóa vạn năng.

Cùng một lỗ hổng có thể xuất hiện trên hai thiết bị gần như giống nhau, nhưng code khai thác chạy được trên model này chưa chắc hoạt động trên model kia. Chỉ cần firmware khác phiên bản, địa chỉ bộ nhớ thay đổi, compiler tạo binary hơi khác hoặc vendor sửa một đoạn xử lý nhỏ, exploit có thể crash thiết bị thay vì giành được quyền thực thi code.

Đó là lý do “port exploit” — chuyển một exploit đã biết sang một target tương tự — từ lâu vẫn là công việc đòi hỏi reverse engineering khá chuyên sâu.

Một thí nghiệm mới của Forescout Vedere Labs cho thấy AI bắt đầu có thể hỗ trợ chính công việc này trên thiết bị công nghiệp thật.

Các nhà nghiên cứu đưa cho Anthropic Claude một exploit remote code execution đã hoạt động trên PLC WAGO 750-852, firmware của một model khác là WAGO 750-831 và một PLC vật lý để kiểm thử. Sau nhiều giờ phân tích, thử nghiệm và nhiều lần được researcher dẫn đường, hệ thống cuối cùng đã làm exploit chạy trên thiết bị thứ hai.

Riêng giai đoạn phát triển RCE cuối cùng mất 8 giờ 32 phút và tiêu tốn 535,74 USD API usage, theo Forescout.

Đây chưa phải cảnh một “AI hacker” tự động xâm nhập nhà máy trong vài phút.

Nhưng nó đặt ra một câu hỏi quan trọng hơn cho operational technology: nếu exploit cho một thiết bị đã tồn tại, AI có thể làm chi phí chuyển nó sang cả một họ thiết bị tương tự giảm nhanh đến mức nào?

PLC là máy tính nhỏ nhưng hậu quả của lỗi không chỉ nằm trên màn hình

Programmable Logic Controller, hay PLC, là một trong những nền tảng cơ bản của tự động hóa công nghiệp.

Chúng đọc tín hiệu từ sensor, chạy logic điều khiển rồi gửi command tới motor, valve, relay và những thiết bị vật lý khác. PLC có mặt trong dây chuyền sản xuất, hệ thống nước, tòa nhà, năng lượng và nhiều hạ tầng công nghiệp.

Về bản chất, PLC vẫn là computer: có CPU, firmware, memory và network stack.

Nhưng khác với laptop, một lỗi trên PLC có thể làm dừng conveyor, đóng nhầm valve hoặc khiến một quy trình vật lý mất kiểm soát.

Đó là lý do exploit development trong OT không chỉ là bài toán cybersecurity. Nó cũng là bài toán safety.

Thí nghiệm của Forescout minh họa điều đó theo cách khá trực tiếp: sau khi port thành công exploit, một thử nghiệm tiếp theo nhằm mở rộng capability đã ghi nhầm vào vùng memory liên quan tới flash và làm PLC hỏng vĩnh viễn.

Trong software thông thường, một agent đưa ra lệnh sai có thể khiến process crash và được restart. Trên embedded hardware, cùng loại sai lầm có thể biến thành một thiết bị không còn boot được.

Exploit ban đầu nhắm vào một lỗ hổng cũ trong Nucleus RTOS

Thí nghiệm xoay quanh CVE-2021-31886, một lỗ hổng memory corruption trong Nucleus TCP/IP stack.

Nucleus là real-time operating system và network stack từng được tích hợp vào nhiều embedded product. Forescout đã công bố nhóm lỗ hổng Nucleus:13 từ năm 2021 và trước đó xây dựng exploit proof-of-concept cho WAGO 750-852.

CERT@VDE cũng liệt kê nhiều WAGO controller cũ bị ảnh hưởng bởi nhóm lỗ hổng này, trong đó có cả 750-852 và 750-831.

Điểm đáng chú ý là đây không phải một zero-day AI vừa tự tìm ra.

Vulnerability đã được biết từ nhiều năm trước. Researchers cũng đã có một exploit hoạt động trên một model.

Nhiệm vụ của AI là thích nghi exploit với target khác.

Chính sự khác biệt này khiến kết quả đáng quan tâm. Kho exploit công khai và private trên thế giới đã rất lớn. Nếu AI ngày càng giỏi biến một exploit thành nhiều biến thể tương thích với hardware và firmware khác nhau, threat surface có thể mở rộng mà không cần attacker tìm thêm zero-day.

Vì sao cùng một lỗ hổng nhưng exploit lại không chạy trên PLC khác?

Để hiểu thí nghiệm, cần phân biệt vulnerability và exploit.

Vulnerability là lỗi trong software hoặc firmware.

Exploit là cách cụ thể để biến lỗi đó thành một kết quả có ích cho attacker, chẳng hạn thực thi code.

Hai model PLC có thể cùng chứa vulnerable component nhưng binary cuối cùng vẫn khác nhau.

Compiler có thể đặt function ở vị trí khác. Memory map khác. Firmware bổ sung module mới. Một đoạn code xử lý input có thể thay đổi nhỏ. Những khác biệt đó đủ làm assumption của exploit cũ không còn đúng.

Với embedded system, công việc còn khó hơn vì researcher thường không có source code đầy đủ và không phải lúc nào cũng có debugger tiện lợi như trên desktop software.

Do đó port exploit thường yêu cầu static analysis firmware, so sánh binary, suy luận control flow và kiểm thử trên phần cứng thật.

Đây chính là loại công việc mà coding agent đang ngày càng phù hợp: nó có thể đọc lượng lớn disassembly, viết script phân tích, tìm pattern và lặp lại nhiều giả thuyết nhanh hơn một workflow thủ công thuần túy.

Claude được đặt cạnh reverse-engineering tool và PLC thật

Forescout không chỉ mở chatbot rồi dán exploit vào.

Claude Code được đặt trong một môi trường agentic có terminal, công cụ reverse engineering và khả năng tương tác với target thật. Researchers cung cấp ba input chính: exploit hoạt động trên WAGO 750-852, firmware binary của 750-831 và chính thiết bị 750-831 chạy firmware được đánh giá là vulnerable.

Model ban đầu được sử dụng là Claude Sonnet 4.6. Sau khi các attempt RCE đầu tiên không tiến triển đủ tốt, nhóm chuyển sang Claude Opus 4.6.

AI có thể phân tích firmware, tạo các script hỗ trợ, kiểm tra giả thuyết và điều chỉnh code.

Nhưng nó không làm việc độc lập.

Forescout mô tả quá trình cần sustained researcher steering: con người phải sửa các giả định sai, cung cấp thêm context và kéo agent ra khỏi những hướng phân tích không hiệu quả.

Đây là một chi tiết quan trọng, vì chỉ nhìn vào kết quả “AI port được exploit” có thể khiến capability bị phóng đại.

8 giờ 32 phút không có nghĩa AI nhanh hơn hacker

Giai đoạn cuối để đạt remote code execution mất 8 giờ 32 phút và 535,74 USD API cost.

Con số nghe rất thấp so với chi phí của một security team, nhưng chưa thể dùng để kết luận AI đã làm exploit development rẻ hơn hoặc nhanh hơn con người.

Chính Forescout thừa nhận một researcher có đủ chuyên môn có thể đã port exploit ban đầu trong thời gian ngắn hơn, chi phí thấp hơn và có thể không làm hỏng PLC.

Thí nghiệm cũng không có một control group nơi chuyên gia làm cùng nhiệm vụ hoàn toàn không dùng AI để so sánh.

Vì vậy, kết luận hợp lý không phải “Claude đã đánh bại exploit developer”.

Kết luận là: frontier AI đã đủ khả năng tham gia vào một workflow reverse engineering low-level trên hardware công nghiệp và tạo ra kết quả thực.

Đó là một cột mốc khác với tốc độ.

AI mạnh nhất sau khi con người đã vượt qua đoạn khó

Một pattern đáng chú ý trong thí nghiệm là capability của AI tăng rõ khi những trở ngại target-specific đã được giải quyết.

Trước đó model đi qua nhiều giả thuyết sai và cần human guidance.

Nhưng sau khi remote code execution đã hoạt động, Claude chỉ mất khoảng 12 phút để tạo thêm hai payload thử nghiệm đơn giản nhằm chứng minh code tùy ý thực sự đang chạy trên PLC.

Chi tiết này gợi ý một kiểu phân công lao động mới trong offensive security.

Con người xử lý insight khó nhất: hiểu architecture, đặt câu hỏi đúng và nhận ra model đang lạc hướng.

AI xử lý phần “nhân bản” sau đó: viết biến thể, kiểm thử assumption, chỉnh code và automate những bước lặp lại.

Trong ngắn hạn, threat không nhất thiết là attacker biến mất khỏi loop.

Threat có thể là mỗi expert attacker điều khiển được nhiều agent hơn và xử lý nhiều target hơn cùng lúc.

Một exploit từ một PLC có thể trở thành template cho cả một product family?

Đây là câu hỏi chiến lược lớn nhất từ nghiên cứu.

OT environment chứa rất nhiều product family.

Một vendor có thể bán hàng chục PLC model khác nhau dựa trên cùng RTOS, network stack hoặc codebase. Firmware khác nhau nhưng có quan hệ họ hàng rõ rệt.

Trong quá khứ, nếu exploit phải được port thủ công từng model, việc weaponize toàn bộ family có thể tốn rất nhiều thời gian.

AI có thể thay đổi economics của bài toán đó.

Hãy hình dung một researcher giải xong model đầu tiên. Agent sau đó được cung cấp firmware của 20 variant khác nhau và tự chạy static analysis song song, tìm những phần tương đồng, xác định khác biệt rồi đề xuất patch cho exploit.

Không có bằng chứng thí nghiệm của Forescout rằng workflow này hiện đã hoạt động ở quy mô đó.

Nhưng thành công trên 750-831 cho thấy direction là khả thi về mặt kỹ thuật.

Giá trị của AI có thể vì thế không nằm ở “một exploit nhanh hơn”, mà ở marginal cost thấp hơn cho target thứ hai, thứ ba và thứ mười.

OT là môi trường đặc biệt dễ bị tác động bởi kiểu scaling này

Enterprise IT thường có vòng đời thiết bị vài năm và patching tương đối thường xuyên.

Industrial equipment có thể ở lại hiện trường 10, 15 hoặc 20 năm.

Một PLC vẫn chạy tốt về control logic thường không được thay chỉ vì CPU cũ. Hệ thống còn có dependency với engineering software, certification, production schedule và cả quy trình safety.

Điều đó tạo ra một population lớn của legacy device.

CERT@VDE cho biết nhóm WAGO controller bị ảnh hưởng bởi Nucleus vulnerability bao gồm nhiều model firmware cũ. Với một số thiết bị legacy, giải pháp thực tế có thể dựa nhiều vào network mitigation hơn việc update firmware.

Trong bối cảnh đó, việc AI giúp adapt exploit giữa những thiết bị họ hàng trở nên đáng lo hơn trên PC thông thường.

Attacker không cần nhắm tới latest device.

Họ có thể nhắm tới thiết bị cũ đang làm một nhiệm vụ quan trọng và rất khó thay thế.

Vụ PLC bị brick là cảnh báo cho cả attacker lẫn defender dùng AI

Phần đáng nhớ nhất của thí nghiệm có thể không phải exploit thành công, mà là thất bại xảy ra sau đó.

Khi researchers thử mở rộng code execution thành một command-and-control capability giàu chức năng hơn, một payload do AI hỗ trợ tạo ra đã thực hiện thao tác sai lên vùng memory liên quan tới flash.

PLC bị brick vĩnh viễn.

Đây là một ví dụ rất rõ về cyber-physical hallucination: trong OT, model không chỉ có thể viết code sai; code sai có thể phá hardware.

Vấn đề áp dụng cho cả offensive lẫn defensive agent.

Một SOC có thể muốn dùng AI tự động cô lập asset, đổi configuration hoặc remediation vulnerability. Nhưng nếu agent hiểu sai topology, device state hay command semantics, hành động “phòng thủ” cũng có thể dừng dây chuyền.

Forescout vì thế cho rằng rủi ro gần hơn không nhất thiết là một agent tự quyết định tấn công PLC. Nó có thể là một authorized agent làm sai thao tác trên hệ thống vật lý.

Industrial AI cần một thứ mà coding agent trên laptop ít phải nghĩ tới: blast radius vật lý

Trong DevOps, automation thường được thiết kế quanh rollback.

Deploy sai software thì quay lại image trước. Config sai thì restore snapshot.

OT không phải lúc nào cũng rollback được.

Valve đã mở thì chất lỏng có thể đã chảy. Motor đã chạy thì load đã di chuyển. Flash chip đã bị ghi hỏng thì PLC có thể phải thay trên hiện trường.

Do đó agent dùng cho industrial environment cần permission architecture nghiêm ngặt hơn.

Một AI có thể được phép đọc firmware và tạo patch offline nhưng không được phép gửi command tới production device.

Một agent khác có thể tương tác với digital twin nhưng phải qua human approval trước khi chạy trên hardware thật.

Action nguy hiểm cần independent validation thay vì dựa vào chính model vừa tạo ra chúng.

Ở đây, nguyên tắc least privilege của cybersecurity gặp trực tiếp nguyên tắc fail-safe của safety engineering.

Kết quả này cũng cho thấy tại sao “security by obscurity” đang yếu đi nhanh hơn

Nhiều embedded system historically hưởng một lớp bảo vệ không chính thức từ độ khó reverse engineering.

Firmware đóng. Tooling khó. Architecture ít phổ biến. Documentation hạn chế.

Đó không phải security control thực sự, nhưng nó làm tăng cost cho attacker.

LLM agent có thể bào mòn lớp ma sát này.

Model đọc assembly nhanh, tổng hợp documentation, viết script parsing và giữ context từ hàng nghìn dòng disassembly. Nó vẫn có thể sai, nhưng công việc từng đòi hỏi nhiều thao tác tay trở nên dễ parallelize hơn.

Điều đó khiến vendor không thể dựa vào giả định “ít người đủ chuyên môn để nghiên cứu firmware của chúng tôi”.

Nếu exploit porting ngày càng được tự động hóa, secure-by-design và giảm attack surface sẽ quan trọng hơn việc làm thiết bị khó hiểu.

AI không cần giỏi tuyệt đối để thay đổi threat model

Một phản ứng tự nhiên với nghiên cứu là: nếu AI mất hơn tám giờ, tốn hơn 500 USD, cần chuyên gia và còn phá luôn PLC, capability này có thực sự đáng sợ không?

Câu trả lời phụ thuộc vào baseline.

AI không cần trở thành exploit developer hoàn hảo để có tác động.

Nó chỉ cần giúp một expert làm được nhiều hơn.

Nếu trước đây một researcher chỉ có thời gian phân tích hai firmware mỗi tuần, agent có thể giúp họ triage 20 firmware, tạo script cho 10 và tập trung human attention vào ba target hứa hẹn nhất.

Nếu attacker đã có exploit cho một device family, AI có thể làm việc 24/7 để thử các variant.

Nếu model generation sau tốt hơn một chút mỗi năm, economics tiếp tục đổi dù success rate chưa bao giờ đạt 100%.

Cybersecurity thường bị thay đổi bởi automation theo đúng cách đó: không phải vì machine hoàn hảo, mà vì machine làm cho một thao tác đủ rẻ để thực hiện ở scale lớn.

Điều OT defender nên quan tâm nhất vẫn là những control cơ bản

Kết quả AI nghe mới, nhưng mitigation cho vulnerability cụ thể lại rất truyền thống.

CERT@VDE và các nguồn liên quan khuyến nghị giảm exposure của dịch vụ không cần thiết, chặn hoặc vô hiệu hóa các interface dễ bị khai thác khi có thể, phân đoạn network và monitor traffic bất thường.

Đây là một điểm quan trọng: AI không làm segmentation trở nên lỗi thời.

Nó làm segmentation quan trọng hơn.

Nếu PLC không thể bị truy cập trực tiếp từ nơi attacker đứng, exploit tốt đến đâu cũng khó phát huy tác dụng.

Nếu engineering workstation, IT network và OT control zone bị tách hợp lý, một compromise ở email system không dễ nhảy thẳng tới controller.

Nếu asset inventory đầy đủ, security team có thể biết chính xác model và firmware nào nằm trong vùng ảnh hưởng khi một exploit mới xuất hiện.

AI làm tốc độ weaponization tăng lên thì defense càng cần giảm thời gian từ advisory tới mitigation.

Asset inventory sẽ trở thành dữ liệu chiến lược hơn trước

Một trong những vấn đề dai dẳng nhất của OT security là tổ chức không phải lúc nào cũng biết mình đang có thiết bị gì.

Trong nhà máy lớn, controller có thể được lắp từ nhiều năm trước, qua nhiều integrator và nhiều lần mở rộng dây chuyền.

Nếu một exploit được port từ WAGO model này sang model khác, câu hỏi đầu tiên của defender là:

chúng ta có những model nào, firmware nào, nằm ở đâu và kết nối với process gì?

Không trả lời được bốn câu hỏi này, patch hay network mitigation đều chậm.

AI-assisted exploit scaling có thể làm window phản ứng ngắn hơn, khiến passive asset discovery, configuration management và vulnerability mapping từ thứ “nên có” trở thành core security control.

Vendor cũng phải giả định exploit sẽ được “dịch” nhanh hơn

Trước đây, một vendor có thể nhìn vulnerability trên một model và cho rằng các variant khác có rủi ro thực tế thấp hơn vì exploit chưa được public cho chúng.

Assumption đó ngày càng nguy hiểm.

Nếu root cause nằm trong shared component hoặc codebase chung, defender nên đánh giá toàn bộ product family chứ không chỉ model nơi exploit đầu tiên xuất hiện.

Software bill of materials, firmware provenance và shared-library tracking vì vậy có giá trị lớn.

Forescout từng chỉ ra rằng Nucleus vulnerability không phải câu chuyện của riêng một PLC; nó nằm trong một component embedded được tích hợp vào nhiều sản phẩm.

AI càng giỏi mapping binary, shared component càng dễ trở thành điểm xuất phát để chuyển knowledge từ một target sang target khác.

Điều đáng lo không phải AI tạo exploit từ số 0, mà là nó giảm “chi phí dịch thuật”

Headline về AI cybersecurity thường tập trung vào khả năng model tự viết malware.

Thí nghiệm PLC của Forescout chỉ ra một threat thực tế hơn.

Cyber offense đã có một lượng knowledge khổng lồ: CVE, proof-of-concept, write-up, leaked source code, firmware image và exploit private.

Nút thắt thường là chuyển knowledge đó sang target cụ thể.

Đây chính là bài toán translation.

Exploit nói “ngôn ngữ” của WAGO 750-852. Firmware 750-831 có cùng họ nhưng khác dialect. Claude được giao nhiệm vụ hiểu khác biệt rồi điều chỉnh exploit cho phù hợp.

Nó chưa làm việc đó hoàn hảo.

Nhưng nó đã làm được một lần trên hardware thật.

Từ một demo thành rủi ro công nghiệp còn một khoảng cách lớn

Cũng cần tránh suy diễn quá mức.

Forescout làm việc trong phòng lab, có physical access tới target, có firmware binary và có exploit khởi đầu đã hoạt động.

Researcher giàu kinh nghiệm giám sát quá trình.

Không có bằng chứng từ thí nghiệm này rằng một attacker không chuyên có thể chỉ nhập IP của PLC rồi để AI tự động chiếm quyền điều khiển.

Cũng không có benchmark đủ rộng trên nhiều vendor để biết capability generalize tới đâu.

WAGO 750-852 và 750-831 là hai thiết bị có quan hệ tương đối gần. Port exploit giữa hai family hoàn toàn khác có thể khó hơn rất nhiều.

Vì vậy, đây nên được xem là capability demonstration, không phải bằng chứng rằng autonomous OT hacking đã hoàn chỉnh.

Nhưng đường xu hướng đã khá rõ

Năm 2026, nhiều nghiên cứu khác cũng bắt đầu kiểm tra LLM agent trên industrial control system.

PLCBench, một benchmark hardware-in-the-loop công bố tháng 8/2026, đánh giá năm họ LLM trên bốn PLC thương mại và 240 episode, tập trung vào khả năng agent biến quyền truy cập digital thành tác động vật lý kéo dài.

Trong thử nghiệm đó, 75/240 episode đạt mục tiêu physical được định nghĩa bởi benchmark.

Một nghiên cứu khác, APIOT, nghiên cứu autonomous vulnerability management trên bare-metal industrial OT và nhấn mạnh rằng agent cần governance layer để tránh vòng lặp, lỗi xác minh và hành vi không ổn định.

Các nghiên cứu khác nhau dùng setup khác nhau nên không thể cộng các con số lại thành một “tỷ lệ hack thành công”.

Nhưng chúng cho thấy một hướng nghiên cứu đang hình thành: frontier model không còn chỉ được đánh giá bằng CTF hay web security; chúng đang được đưa xuống hardware, firmware và process control.

Cuộc đua mới có thể là attacker agent và defender agent cùng học firmware

Nếu AI giúp attacker port exploit, cùng capability cũng có thể giúp defender.

Agent có thể so sánh firmware version, tìm shared vulnerable component, xác định asset chịu ảnh hưởng và đề xuất network mitigation.

Nó có thể hỗ trợ reverse engineering một binary legacy mà vendor đã ngừng hỗ trợ.

Nó có thể giúp tạo regression test để xác minh firmware fix không phá control logic.

Vì vậy công nghệ không tạo lợi thế chỉ cho một phía.

Khác biệt sẽ nằm ở ai tích hợp AI vào workflow tốt hơn và ai có dữ liệu đầy đủ hơn về environment của mình.

Attacker cần tìm một đường vào.

Defender lại có một lợi thế riêng: họ biết process, topology và expected behavior của chính nhà máy. Nếu dùng đúng, context nội bộ này có thể giúp defensive agent phân biệt hành vi bình thường với hoạt động bất thường tốt hơn attacker đứng ngoài.

Một PLC bị brick có thể là bài học quan trọng nhất của cả thí nghiệm

Thành công của Claude dễ trở thành headline.

Nhưng chiếc PLC bị hỏng ở cuối nghiên cứu có lẽ mới là hình ảnh tốt nhất về tương lai AI trong industrial systems.

Model đủ giỏi để làm những việc trước đây cần chuyên gia.

Đồng thời nó vẫn đủ không đáng tin để phá thiết bị vì một assumption sai.

Hai sự thật này tồn tại cùng lúc.

Đó là lý do OT không thể áp dụng agentic AI theo logic “cho model thêm tool rồi để nó tự xử lý”.

Càng cho AI nhiều quyền trên hệ thống vật lý, architecture kiểm soát càng phải mạnh: sandbox, digital twin, approval gate, independent verifier, audit log và hard limits ở tầng network lẫn device.

Trong thế giới software, AI có thể học bằng cách thử rồi rollback.

Trong thế giới công nghiệp, một số sai lầm không có nút Undo.

AI đang biến exploit development thành bài toán scale

Forescout chưa chứng minh AI có thể tự hack hàng loạt PLC.

Nhưng họ đã chứng minh một bước nhỏ hơn và có thể quan trọng hơn về lâu dài: một model frontier có thể tham gia đủ sâu vào reverse engineering để chuyển một exploit đang hoạt động từ một PLC sang một PLC khác.

Lần này mất hơn tám giờ, hơn 500 USD và một chuyên gia ngồi cạnh.

Những con số đó có thể không gây ấn tượng nếu so với một exploit developer giỏi.

Nhưng AI thường không thay đổi ngành bằng phiên bản đầu tiên của capability.

Nó thay đổi ngành khi capability trở nên rẻ hơn, parallel hơn và dễ lặp lại hơn qua từng thế hệ model.

Nếu chi phí “dịch” một exploit từ thiết bị A sang các biến thể B, C và D tiếp tục giảm, defender sẽ không còn nhiều thời gian dựa vào giả định rằng exploit hiện tại “chỉ chạy trên model khác”.

Trong OT security của tương lai, một exploit cho một PLC có thể phải được xem như tín hiệu cảnh báo cho cả họ thiết bị.

Và thứ đang làm khoảng cách giữa chúng ngắn lại có thể không phải một hacker mới.

Nó có thể là một AI đủ kiên nhẫn để đọc firmware suốt đêm.

Nguồn tham khảo

• SecurityWeek, 1/9/2026: Experiment — Porting a PLC Exploit With AI Takes Hours and Hundreds of Dollars
• Security Affairs, 2/9/2026: $536 and 8 Hours — AI Learns to Attack a Different PLC
• Forescout Vedere Labs: NUCLEUS:13 research report
• CERT@VDE: WAGO devices affected by vulnerabilities in Nucleus TCP stack
• PLCBench (2026): Can Autonomous LLM Agents Turn PLC Access into Sustained Physical Impact?
• APIOT (2026): Autonomous Vulnerability Management Across Bare-Metal Industrial OT Networks