In 2025, Luigi Coppolino e.a. een studie gepubliceerd waarin wordt aangetoond hoe grote taalmodellen (LLM's) het opsporen van activa in kritieke infrastructuren kunnen verbeteren. Traditionele tools zoals Nmap of industriële beveiligingsplatforms lopen het risico gevoelige systemen te verstoren door actieve scans, of slagen er niet in verborgen apparaten te detecteren wanneer ze alleen op passieve monitoring vertrouwen.

De onderzoekers stelden een op LLM gebaseerd “Mixture of Experts”-raamwerk voor dat gegevens combineert uit passieve verkeersobservatie, zorgvuldig beperkte actieve sondering en fysieke signalen zoals elektromagnetische emissies. Gespecialiseerde LLM-agenten interpreteren vervolgens deze gegevens: de ene richt zich op industriële protocollen, de andere op kwetsbaarheden in IT/OT-netwerken en weer een andere op systeemarchitectuur en afhankelijkheden.

Het systeem kan ook gebruikmaken van externe informatiebronnen (zoals MITRE ATT&CK- of CVE-databases) om zwakke plekken te identificeren en beveiligingsmaatregelen aan te bevelen. In tests op een gesimuleerd industrieel netwerk heeft het met succes activa zoals programmeerbare logische controllers, robotarmen en printers geclassificeerd, terwijl het onveilige praktijken zoals niet-versleuteld Modbus-verkeer heeft gemarkeerd.

Een dergelijke aanpak maakt van het in kaart brengen van het aanvalsoppervlak een adaptief en contextbewust proces dat realtime zichtbaarheid biedt en de risico's van traditionele scans vermindert. Door de technische barrières voor verdedigers te verlagen, maakt het een uitgebreidere monitoring mogelijk en versterkt het de algehele beveiligingspositie van kritieke infrastructuur.