Dass die Bedrohung real ist, bestreitet Lyne nicht. Am 19. August dokumentierten fünf US-Bundesbehörden Angreifer, die KI-generierte Exploit-Skripte — getarnt als legitime Überwachungswerkzeuge — gegen exponierte Siemens-S7-Steuerungen einsetzten, wie sie in Wasserwerken, Kraftwerken und Chemieanlagen laufen. Der Bau eines solchen Werkzeugs setzte früher spezielles Protokollwissen voraus. Genau dieses Wissen war praktisch der Burggraben vieler kleiner Versorger — neben der Hoffnung, nicht am Internet zu hängen.
Zugleich verweist Lyne auf eine Einschätzung der Analysten von RUSI, Großbritanniens ältestem Verteidigungs-Thinktank, die am selben Tag wie der Brief erschien. Deren Argument: „Kriminelle Innovation ist eine Reaktion darauf, dass eine Einnahmequelle versiegt, nicht darauf, dass eine neue Technologie ein Fenster öffnet." Angreifer interessierten sich für das, was zahlt, nicht für das, was beeindruckt: Phishing, gestohlene Zugangsdaten und Maschinen, die nie im Internet hätten stehen dürfen, seien weiterhin einträglich und skalierbar.
Die Kampagne im Wassersektor ist nach eigener Bewertung der Behörden Aufklärung und Positionierung — geduldiges Vorbereiten, kein schneller Zugriff. Auffällig sei, dass die Behörden keinen Urheber benennen, während ein Parallel-Advisory in diesem Sommer eine vergleichbare Welle von Angriffen auf speicherprogrammierbare Steuerungen (PLC) klar dem Iran zuschrieb. Siemens selbst räumte in seiner Reaktion ein: keine neue Schwachstelle in den Steuerungen, sondern neue Techniken gegen alte Fehlkonfiguration. KI habe verändert, wer den Exploit schreiben kann — nicht, was ihn stoppt.
Die wirksamste Gegenmaßnahme habe mit Spitzen-KI nichts zu tun: internetseitige Steuerungen vom Netz nehmen. Für ein gut besetztes Sicherheitsteam sei das ein Dienstagnachmittag. Für einen ländlichen Wasserversorger, dessen gesamte IT aus einem erschöpften Ingenieur mit fünf Rollen besteht, sei es so gut wie unlesbar. Der Abstand zwischen beiden werde in Menschen gemessen, nicht in Produkten, und kein Modell-Abonnement schließe ihn.
Lyne benennt zudem eine Unstimmigkeit: Einerseits gelten die Modelle als so unkontrollierbar, dass niemand haftbar sei, wenn sie entwischen und Recht brechen; andererseits solle man ihnen die Verteidigung kritischer Infrastruktur zutrauen. Beides könne nicht gleichzeitig stimmen.
Drei Forderungen richtet er an die Unterzeichner. Erstens: in die vorhandenen Betreiber investieren. Der Anlageningenieur, der eine Steuerung seit 15 Jahren führt, kenne seine Umgebung besser als jeder Neueinstieg; ihm das Härten beizubringen dauere Wochen — mit praktischer Arbeit, die in eine Schicht passt, nicht in ein Semester. Gefragt sei der zweisprachige Praktiker, sicher in einer Kerndisziplin und in KI.
Zweitens: „praktische Unterstützung" müsse tatsächlich Hände bedeuten und finanziert werden. Der Brief bitte die Anbieter von Spitzen-KI um Geld, Schulung und praktische Hilfe für unterversorgte Verteidiger — enthalte aber keine Zahl, kein Datum, keine namentliche Zusage eines einzigen Unterzeichners. Modellzugang sei keine Unterstützung, wenn beim Wasserversorger niemand mit der Ausgabe umzugehen weiß.
Drittens: defensive KI-Werkzeuge daran messen, wer sie bedienen kann. Ein Werkzeug, das ein Weltklasse-SOC um fünf Prozent schärfer macht, sei angenehm; die Logik des Briefes verlange ein Werkzeug, mit dem zwei Leute in einem Krankenhaus die Arbeit von zehn erledigen.
Besonders eine Signatur habe ihn aufhorchen lassen: die von Hugging Face, dem Unternehmen, das den meistbeachteten automatisierten Einbruch des Jahres durchlebte. Deren Vorfallanalyse beschreibe ausführlich die Arbeit von Menschen, die die von Maschinen verpasste Erkennung nachbesserten und ihre Werkzeuge mitten im Gefecht anpassten. Genau jener Modellzugang, den der Brief einfordere, habe ihren Einsatzkräften im Ernstfall nichts gebracht. Die Werkzeuge zählten — Menschen mit Fähigkeiten machten sie wirksam.