În 2025, Luigi Coppolino et al a publicat un studiu care arată modul în care modelele lingvistice mari (LLM) pot îmbunătăți descoperirea activelor din infrastructurile critice. Instrumentele tradiționale, cum ar fi Nmap sau platformele de securitate industrială, fie riscă să perturbe sistemele sensibile prin scanări active, fie nu reușesc să detecteze dispozitivele ascunse atunci când se bazează doar pe monitorizarea pasivă.

Cercetătorii au propus un cadru "Mixture of Experts" bazat pe LLM, care combină date din observarea pasivă a traficului, sondaje active atent limitate și semnale fizice precum emisiile electromagnetice. Agenți LLM specializați interpretează apoi aceste date: unul se concentrează asupra protocoalelor industriale, altul asupra vulnerabilităților din rețelele IT/OT, iar altul asupra arhitecturii și dependențelor sistemului.

De asemenea, sistemul se poate baza pe surse externe de informații (cum ar fi MITRE ATT&CK sau bazele de date CVE) pentru a identifica punctele slabe și a recomanda măsuri de securitate. În testele efectuate pe o rețea industrială simulată, sistemul a clasificat cu succes active precum controlere logice programabile, brațe robotizate și imprimante, semnalând în același timp practici nesigure precum traficul Modbus necriptat.

O astfel de abordare transformă cartografierea suprafeței de atac într-un proces adaptiv și conștient de context care oferă vizibilitate în timp real și reduce riscurile scanării tradiționale. Prin reducerea barierelor tehnice pentru apărători, aceasta permite o monitorizare mai cuprinzătoare și consolidează poziția generală de securitate a infrastructurii critice.