Safety Graph 框架揭示工业控制系统安全响应如何扩大网络攻击面

该论文提出名为 Safety Graph (SG) 的形式化框架，旨在解决现代工业控制系统（ICS）中运营技术（OT）层故障引发的安全响应反而在信息技术（IT）层开启新攻击面的问题。现有模型仅能模拟从网络到物理的升级路径，却缺乏推理机制来解释 OT 故障的安全响应如何触发 IT 层的级联网络攻击。SG 通过统一攻击图、故障树和事件树三种范式，在一个共享命题状态空间中捕捉 IT 与 OT 之间的双向级联效应。

研究团队将 SG 编译为经典的人工智能规划问题，利用 A* 算法搜索跨层级级联路径。通过在田纳西东曼化工流程 plant 的 Web3D 建模与仿真中进行演示，SG 成功自动发现了由安全响应诱导的横向移动，并识别出在传统模型下无法定位的责任屏障。复杂度与可扩展性分析进一步刻画了该规划编译随模型规模和级联深度变化的扩展特性。

事实层面，SG 是首个形式化建模 IT-OT 攻击并允许操作员探索此类问题的框架；推断层面，这意味着现有的 ICS 安全防护设计可能存在盲区，即过度关注阻断外部入侵而忽视了内部安全机制被利用的风险；猜测层面，随着 AI 在工业控制中的部署增加，此类基于形式化方法的攻击面分析工具可能成为合规审计的标准组件，但具体落地需验证其在大规模实时系统中的性能表现。