La supply chain dell’AI è diventata il vero campo di battaglia del 2026: il nuovo Threat Hunting Report di CrowdStrike certifica che un APT allineato alla Corea del Nord ha iniettato codice NPM malevolo in almeno 131 pacchetti del framework AI Mastra. Un gruppo cyber criminale ha compromesso oltre 300 dipendenze software in un solo giorno. In una singola campagna di LLMjacking gli attaccanti hanno inviato quasi 200.000 richieste a un modello di AI in appena due minuti, prima che il sistema automatico di protezione bloccasse il flusso.

Per approfondire questi temi abbiamo intervistato Luca Nilo Livrieri, Senior Director Sales Engineering Southern Europe di CrowdStrike, che ha ricordato come questo report sia un’analisi reale di quanto accaduto sui clienti, che in questo caso si basa su 7 mila miliardi di eventi analizzati giornalmente dalle infrastrutture CrowdStrike e oltre 14 milioni di detection giornaliere che hanno portato a 36.000 investigazioni e notifiche annue reali. In questa edizione in particolare, “l’elemento principale di novità riguarda soprattutto il modo in cui la supply chain dell’AI è stata sfruttata dagli avversari”.

Per far comprendere il concetto, Livrieri usa un episodio singolare analizzato dai threat hunter di CrowdStrike: un attacco di LLMjacking con quasi 200.000 richieste in due minuti, in cui l’AI è stata sfruttata anche come pura potenza computazionale. Un attaccante finanziariamente motivato ha usato un’identità cloud compromessa dotata di chiavi di accesso a lungo termine per condurre una campagna su larga scala contro un servizio cloud che offre accesso a grandi modelli di base come GPT, Claude o Gemini, via API, pagando in base all'uso. Dopo aver verificato i permessi dell’account, l’attaccante ha generato credenziali temporanee tramite un token di autenticazione (federation token) per mascherare la sessione come un login legittimo, e vi ha associato i privilegi di amministratore.

Luca Nilo Livrieri, Senior Director Sales Engineering Southern Europe di CrowdStrike

Con questo accesso ha sbloccato l’utilizzo dei modelli LLM e ha iniziato a invocarli centinaia di migliaia di volte, con un impatto economico notevole addebitato alla vittima. Livrieri spiega che “l’attaccante non ha rubato dati, ha usato l’accesso a pagamento della vittima per far girare i propri servizi e le proprie interrogazioni. Nel MITRE ATLAS questa tecnica si chiama Cost Harvesting e identifica proprio l’utilizzo dei servizi al di là delle funzionalità lecite, con lo scopo di causare un danno economico alla vittima che deve pagare la fattura, e allo stesso tempo di ottenere un vantaggio illecito”. Lo scenario contempla anche l’eventualità della “rivendita dei modelli a terzi, in cui chi conduce l’attacco rivende il servizio che qualcun altro sta pagando. Il report riporta svariati messaggi di health check che avevano proprio la funzione di verificare che il servizio restasse attivo e rivendibile” puntualizza Livrieri.

Il report lega l’episodio alla sequenza di passaggi che ha permesso di sfruttarlo: “il furto di un’identità cloud, seguito da un’escalation di privilegi, e infine dallo sblocco dell’accesso ai modelli con questo privilegio”. In sostanza, gli attaccanti “hanno usato tecniche ben conosciute, come l’escalation dei privilegi e la violazione degli accessi, applicate ai modelli di intelligenza artificiale con il supporto degli agenti invece che con il metodo tradizionale. Hanno potenziato un modello che già funzionava, cambiando il bersaglio” e aprendo di fatto a nuove opportunità di business criminale.

C’è inoltre un dato che Livrieri considera tra i più significativi dell’intero report: “Oggi registriamo un volume di segnali di detection generati da attività agentica pari a 2,5 volte quelli generati da attività umana”, sottolinea. “È la prima volta che vediamo questo sorpasso ed è la testimonianza che gli attaccanti utilizzano ormai questi agent in maniera massiva. Il dato si può legare all’esempio dell’LLMjacking perché una delle caratteristiche che distingue una detection umana da una agentica è proprio la presenza di health check continui, ripetuti in sequenza in un determinato lasso di tempo, automatizzati”.
A questo si lega anche “una delle tendenze che emergono dal report: la persistenza delle intrusioni interattive umane supportate da attività agentica. L’LLMjacking riflette esattamente questo: la crescita del volume e della velocità dei segnali legati all’attività agentica”.

I dati su cui si basa il report

La supply chain dell’AI diventa il nuovo campo di battaglia

Il cambio di bersaglio più marcato individuato da Livrieri riguarda però lo sviluppo software. Il report colloca la tecnica AI Supply Chain Compromise, al secondo posto tra le tecniche di accesso iniziale più diffuse nel MITRE ATLAS, subito dopo l’abuso di account validi. Quello che certifica questa tecnica è un passo avanti rispetto al passato, quando gli attaccanti prendevano di mira gli sviluppatori: “invece di limitarsi ad accedere alle credenziali di un singolo sviluppatore, in alcuni casi gli attaccanti hanno ottenuto un accesso totale all’intera catena di sviluppo dell’intelligenza artificiale, e in questo caso specifico anche alla capacità computazionale collegata”.

Le principali tecniche MITRE ATLAS abilitate dall’AI o mirate all’AI utilizzate dagli avversari osservati da CrowdStrike

Ne è un esempio un altro attacco di Stardust Chollima, che come certificato dal report ha iniettato un pacchetto NPM malevolo come dipendenza in almeno 131 pacchetti del framework Mastra, un framework open source per lo sviluppo di applicazioni AI. “A differenza di un attacco tecnico diretto contro il codice, in questo caso si è trattato di un attacco allo sviluppatore che sblocca l’accesso al codice e lo compromette”, racconta Livrieri. Il report ricostruisce la dinamica: l’attaccante ha violato l’ambiente di pubblicazione grazie a un’operazione classica di social engineering in cui un dipendente di Mastra è stato contattato su LinkedIn e indotto a cliccare un link malevolo nel corso di una videochiamata. “Invece di prendere l’accesso e infettare il codice del singolo sviluppatore, gli attaccanti hanno ottenuto l’accesso a tutta la catena di sviluppo dell’intelligenza artificiale, inserendo un componente infetto che si è propagato automaticamente a tutti i pacchetti che lo utilizzavano. Successivamente hanno distribuito il malware. In sostanza, il framework AI è diventato il bersaglio perché chi lo sviluppava aveva accesso a credenziali cloud, a infrastrutture computazionali molto costose, a token API per servizi AI e a framework di automazione”.

Il report propone anche un interessante focus sull’attività del gruppo cyber criminale Altered Spider, che nelle campagne di maggio 2026 ha compromesso oltre 300 dipendenze software in un solo giorno, propagando l’infezione tramite un malware auto-replicante che pubblica in autonomia versioni infette di altri pacchetti sugli ecosistemi NPM e PyPI. Un singolo set di credenziali rubate a un maintainer è bastato a innescare una catena di compromissioni estesa a centinaia di pacchetti su più registry.

A marzo 2026, lo stesso gruppo aveva già dimostrato un'altra faccia di questa strategia, colpendo direttamente l'infrastruttura di sviluppo condivisa: la compromissione di trivy-action, la GitHub Action ufficiale del tool open source di scansione Trivy, usata da innumerevoli organizzazioni nelle proprie pipeline CI/CD. Livrieri spiega che "hanno silenziosamente sovrascritto il codice legittimo con codice malevolo su più tag di release già pubblicati, tramite una tecnica chiamata Git tag poisoning. Il risultato è che ogni organizzazione che richiamava quella specifica versione nel proprio workflow automatizzato eseguiva inconsapevolmente il codice infetto, senza che nulla apparisse 'aggiornato' o sospetto". La compromissione di un singolo componente CI/CD condiviso si è quindi trasformata in un attacco simultaneo contro tutte le organizzazioni che si affidavano a quello strumento. "È lo stesso principio che rende la supply chain dello sviluppo AI così distruttiva quando viene colpita: c'è pochissimo controllo su tutte le dipendenze e su tutti i componenti che vengono richiamati automaticamente, che si tratti di un tool di scansione generico o di un framework AI", conclude Livrieri.

NPM resta di gran lunga l'ecosistema più colpito. Secondo il report, i pacchetti NPM malevoli rappresentano l'87% di tutte le minacce identificate sui registry software nel primo semestre 2026, complice la profondità delle catene di dipendenze tipiche di questi progetti e la possibilità per i pacchetti di eseguire script in automatico durante l'installazione. Un singolo pacchetto malevolo, sottolinea il report, può raggiungere milioni di utenti in una settimana, il che rende ogni maintainer violato una porta d'accesso a un numero potenzialmente enorme di ambienti di sviluppo a valle. Con la diffusione dell'AI questo registro è diventato un bersaglio ancora più ambito, perché è proprio dall’NPM che passano molte delle librerie su cui si appoggiano gli strumenti e i framework di sviluppo AI, aprendo così le porte agli attacchi alla supply chain del software.

Il report colloca questi episodi dentro un trend più ampio che Livrieri sintetizza così: “gli ecosistemi degli sviluppatori, soprattutto quelli AI, sono uno dei nuovi bersagli, al di là del fatto che gli attacchi sono più automatizzati e scalabili. L’identità resta il punto di ingresso critico, ma il fatto che l’intera pipeline CI/CD sia sotto attacco per questi motivi, e che l’AI sia attaccata anche attraverso container, registry, tool open source e repository, è una falla che il report evidenzia in maniera importante. Se oggi vado in un’azienda e chiedo quali dipendenze ha la loro AI, cosa richiama e quali registry usa, spesso nessuno lo sa con esattezza” e questa è una lacuna che gli attaccanti sfruttano abilmente.

Cina più veloce di tutti, il resto del mondo si adegua

Sul fronte dello sfruttamento delle vulnerabilità, il report osserva che tra gennaio e giugno 2026 l’88% degli sfruttamenti con proof-of-concept pubblica osservati da CrowdStrike è avvenuto entro 48 ore dalla pubblicazione del PoC. Gli APT cinesi si sono mossi più rapidamente di chiunque altro. In particolare, Vault Panda e Genesis Panda hanno sfruttato la vulnerabilità critica React2Shell di un’applicazione web entro 24 ore dalla divulgazione pubblica. Vault Panda l’ha usata per distribuire il proprio impianto GoneDoor camuffato da utility Linux legittima, mentre Genesis Panda ne ha abusato per installare due RAT, VShell e altri strumenti, spingendosi oltre l’accesso iniziale fino al cloud con il tool di scansione FScan. “Il primo semestre 2026 indica che 9 sfruttamenti su 10 sono avvenuti entro 48 ore dalla pubblicazione del proof-of-concept”, sottolinea Livrieri.

Un secondo caso, distinto ma vicino nei tempi, riguarda un gruppo APT che il report collega alla Bielorussia, che ha sfruttato la vulnerabilità Linux di local privilege escalation CopyFail poco più di 20 ore dopo la sua divulgazione pubblica, colpendo un ente governativo in Ucraina.

Un dato che Livrieri trova interessante riguarda poi il bilanciamento tra le due grandi categorie di attaccanti: APT e cybercrime. Il report mostra una distribuzione piuttosto equilibrata: nel settore dei servizi finanziari, per esempio, il 57% delle intrusioni è attribuito ad avversari eCrime e il 43% ad attori nation-state, con un pattern simile in altri settori. Livrieri osserva che “è un dato interessante, anche se sappiamo bene che la divisione fra cybercrime e nation-state può essere più accademica che reale, perché spesso vengono utilizzati componenti eCrime anche dagli attori statali. Però l’attribuzione resta importante soprattutto per dare un nome e definire le tecniche di attacco”.

Cybercrime

Focalizziamoci quindi sul cybercrime. Livrieri indica nel device code phishing una delle tendenze più rilevanti dell’anno. Il report documenta che nell’ultimo semestre si è verificato un aumento di 15 volte nei tentativi di uso mensili di questa tecnica, spinto dalla diffusione di piattaforme di phishing-as-a-service come EvilTokens e Kali365. La tecnica, già utilizzata in modo mirato dall’attore russo Cozy Bear contro obiettivi governativi tramite pagine HTML, redirect da applicazioni Entra ID malevole ed email, è oggi diventata accessibile anche a un ampio ventaglio di gruppi cyber criminali che affittano l’infrastruttura necessaria.

Timeline e detection dell'intrusione tramite phishing attuata da Cozy Bear

“Il device code phishing passa per il social engineering, ma non porta al furto di password: è di fatto un furto di token, quindi un attacco che fa il bypass dell’autenticazione a due fattori”, spiega Livrieri. “L’attaccante genera un codice legittimo su una vera pagina di login, e il dispositivo che si aggancia alla sessione è quello dell’attaccante, non quello del dipendente. La tecnica di per sé non è nuova, quello che è cambiato è l’efficacia e la disponibilità come servizio acquistabile su larga scala: l’infrastruttura necessaria si può affittare in modo molto più semplice che in passato. La parte difensiva essenziale, a quel punto, è il monitoraggio di tutto il comportamento post-autenticazione”.

Il report registra inoltre un incremento del 171% delle attività di cybercrime mirate ad ambienti cloud, un trend che Livrieri collega direttamente al tema dell’AI: “l’aumento percentuale indicato nel report è da correlare anche al fatto che sono cresciuti ulteriormente i costi legati all’uso del cloud per l’AI. Il discorso ha delle analogie con quello dell’LLMjacking. Gli attaccanti si concentrano sul cloud sia per accedere gli asset finanziari, sia per dirottare risorse computazionali. Un esempio su tutti è quello del crypto mining, che è molto costoso per gli attaccanti, da qui l’esigenza di fare provisioning e istanziare risorse molto velocemente, di avere accesso a infrastrutture in geografie distribuite disponibili in pochi minuti, e di attaccare il cloud in modo distribuito. Sono questi i due motivi principali dietro l’aumento del 171% degli attacchi cloud”.

Sul fronte identità, il report segnala un raddoppio delle intrusioni che utilizzano il vishing come vettore di accesso iniziale nella prima metà del 2026. Indicativo è un caso attribuito a Snarky Spider, in cui “fra la compromissione delle credenziali e l’esfiltrazione dei dati sono passati in tutto 5 minuti, che è indicativo sulla velocità a cui è oggi necessario reagire”, racconta Livrieri.

Difendersi si può, dalla postura tradizionale a un approccio agentico

Guardando oltre i numeri, che cosa possono fare concretamente i team di sicurezza? Il report si distingue proprio perché dopo ogni caso descritto propone raccomandazioni puntuali. Per esempio, nel caso delle close access operation condotte dall’APT cinese Overcast Panda, gli attaccanti “sono entrati fisicamente nelle camere d’albergo di dipendenti di settori verticali importanti mentre erano in trasferta, hanno ricostruito le fasce orarie in cui i dispositivi restavano incustoditi (per esempio durante la cena), e hanno installato sulle loro macchine strumenti come FlowCloud tramite boot da un dispositivo USB e DLL hijacking, distribuendo poi il malware sui laptop”.

Non si è trattato di un episodio sporadico: il report certifica che tra marzo e maggio 2026 CrowdStrike ha identificato e neutralizzato una serie di intrusioni di prossimità fisica in cui Overcast Panda ha installato la backdoor proprietaria FlowCloud sui dispositivi delle vittime. I settori più colpiti includono agricoltura, hospitality, energy, legal, no profit, oltre a logistica, tecnologia, media e utility, con vittime di nazionalità statunitense, britannica, giapponese e taiwanese. “È una tecnica particolarmente legata allo spionaggio industriale, ma è interessante perché ci riporta a tipi di attacco vecchio stile applicati a gruppi cinesi”, commenta Livrieri. “Su questo tipo di attacco il report propone raccomandazioni molto concrete, come la full disk encryption e le password BIOS, che per chi lavora nel nostro settore sono abbastanza scontate, ma magari meno per un dipendente che non è così dentro a queste tematiche”.

Passando alle raccomandazioni più trasversali, le due priorità che Livrieri considera imprescindibili sono la messa in sicurezza dell’AI e quella dell’identità. “Sul fronte AI, per le aziende più strutturate significa definire un team di security dedicato, profondo conoscitore delle AI, capace di capire come funzionano e a che cosa hanno accesso, e di governarle davvero”, spiega. “L’AI dev’essere trattata come un’infrastruttura critica a tutti gli effetti: bisogna mettere in sicurezza i modelli, le chiavi API, i service account che vengono utilizzati. La prima cosa da fare è proteggere l’AI, avere visibilità e controllo, e farla lavorare secondo un’ottica di Zero Trust, con privilegi limitati”.

Sul fronte delle identità, Livrieri insiste sul trattamento degli ambienti di sviluppo come asset da blindare: “bisogna trattare gli account privilegiati, quelli legacy e quelli degli sviluppatori come dispositivi da proteggere in modo importante, con un hardening serio degli ambienti di sviluppo. Serve forzare la validazione del codice utilizzato e dei pacchetti, sia tramite lo scan dei repository sia monitorando le anomalie e le terze parti coinvolte nello sviluppo, per ridurre la superficie di attacco legata allo sviluppo AI e, più in generale, alla supply chain”.

L’ultimo tassello, per Livrieri, riguarda la capacità di risposta: “non è più pensabile essere privi di una risposta agentica agli attacchi”, afferma. “Mettere in piedi un SOC agentico non è più un’opzione: è l’unica modalità che abbiamo per rispondere alla velocità delle macchine. Servono agenti che lavorano per noi su detection, investigazione e automazione della remediation, con un’ottica cross-domain, mettendo in correlazione cloud, endpoint e identità, e lavorando in modo sinergico per avere un unico punto di controllo centrale. O ci si dota di un SOC evoluto in autonomia, oppure si utilizzano SOC di terze parti che offrono questo livello di risposta, che deve avvenire in minuti, non in ore”.

Ovviamente ci aspettiamo ulteriori sviluppi futuri. Secondo Livrieri “la tendenza chiara è il cambio di paradigma nella traiettoria degli attacchi: non si tratta più di un semplice furto di credenziali, gli attaccanti vogliono un accesso totale alle infrastrutture di sviluppo dell’intelligenza artificiale, e più in generale a tutta la supply chain. Ci dobbiamo aspettare che lo stesso attore, che sei mesi fa si limitava a rubare credenziali e condurre intrusioni, sviluppi ora attacchi interattivi mirati a colpire direttamente l’infrastruttura di sviluppo dell’intelligenza artificiale. Gli attacchi guadagneranno velocità e soprattutto scala, lo dimostrano i casi di cui abbiamo parlato, che hanno colpito il cuore dello sviluppo dell'AI e non la sua periferia. Non è uno scenario futuro, è già la tendenza in atto".