Meno di dieci ore. Oltre cinquanta tecniche MITRE ATT&CK differenti. Un impatto paragonabile a quello che avrebbero ottenuto diversi red team umani al lavoro in coordinata per due settimane. Sono i numeri con cui gli esperti di threat intelligence della Unit 42 di Palo Alto Networks hanno ricostruito un’intrusione condotta quasi interamente da agenti AI contro la rete di un'azienda.

Il caso merita attenzione perché non si tratta di un test di laboratorio, né di uno scenario ipotetico: quanto sintetizzato sopra è frutto dell'indagine di incident response su un'intrusione reale, subita da un'azienda che ha poi negoziato con gli attaccanti. E proprio in fase di negoziazione, i cybercriminali hanno dichiarato apertamente di aver usato modelli AI di frontiera e framework agentici sviluppati appositamente per l'attacco, affidando l'esecuzione tattica a un ciclo automatizzato che monitorava i risultati, li valutava e ripianificava i passi successivi in tempo reale.

Gli esperti hanno precisato che il caso in questione riguardava un'intrusione, non un ben più complesso attacco ransomware, e che non si tratta di un caso isolato dato che pochi mesi fa i ricercatori della stessa Unit 42 avevano già dimostrato, in laboratorio, che un sistema multiagente poteva condurre da solo un attacco cloud completo, e a inizio 2026 era emerso il caso GTG-1002, una campagna di cyberspionaggio attribuita a un gruppo legato allo stato cinese e condotta in gran parte con Claude Code. Il caso oggetto di questo articolo resta comunque un episodio da appuntarsi per l'efficienza operativa che è stata possibile grazie all'uso dell’AI. In particolare, l'attaccante si è limitato a fissare obiettivi di alto livello e ha delegato agli agenti AI l'esecuzione tattica, l’osservazione degli output e la conseguente pianificazione dei passi successivi.

La catena di attacco: l’attaccante umano ha fissato gli obiettivi, gli agenti specializzati eseguono, analizzano i risultati e adattano l’attacco in tempo reale

La catena di attacco

La catena di attacco ha seguito la progressione lineare che è tipica delle intrusioni classiche, ma eseguita a velocità macchina. Tutto è partito dalla violazione di un servizio web esposto pubblicamente, usato come canale d'ingresso in rete. Un agente di ricognizione automatizzato ha mappato i microservizi interni, quindi sotto-agenti dedicati hanno setacciato i repository di codice aziendali alla ricerca di token e password. Quest’ultima è un’attività di raccolta che un attaccante umano impiegherebbe giorni a svolgere. Le credenziali trovate sono state usate per violare il sistema di gestione dei secret così da entrare in possesso delle credenziali amministrative e ottenere l'accesso root, il livello di controllo più alto sui sistemi.

Con il controllo root in mano, l'attaccante ha dirottato l'applicazione di code enterprise tramite i suoi agenti per eseguire build CI/CD non autorizzate ed esfiltrare le chiavi di accesso cloud. Ha anche tentato di installare una backdoor nelle configurazioni Terraform, ma i controlli di branch protection dell'azienda hanno bloccato il tentativo. L'ultima fase è stata la più significativa dal punto di vista strategico: usando le chiavi cloud rubate, l'attaccante ha trasformato gli endpoint AI della vittima in infrastruttura post-compromissione, quindi ha sfruttato la potenza di calcolo della vittima per orchestrare le mosse successive e scaricare anche il costo economico dell'attacco sulla vittima stessa. È esattamente lo scenario descritto da CrowdStrike in un'analisi recente sull'LLMjacking, da cui è emerso che le infrastrutture AI aziendali diventano bersaglio diretto degli attaccanti.

Un dettaglio che dà la misura della spregiudicatezza dell'operazione riguarda ciò che l'attaccante ha lasciato dietro di sé prima di chiudere la negoziazione: un report tecnico di 80 pagine, generato dagli agenti AI, che documentava in dettaglio le decine di falle riscontrate nella postura di sicurezza dell'organizzazione target. In pratica un audit di sicurezza non richiesto.

Che cosa abbiamo imparato

Dal punto di vista forense, il materiale collezionato dalla Unit 42 è interessante per chi si occupa di difesa cyber, dato che l'attività ha lasciato tracce riconoscibili: chiamate LLM parallele verso più modelli AI di frontiera, file Markdown strutturati usati per passare informazioni tra agenti e sessioni diverse, script personalizzati che gli analisti reputano generati dall'AI, alla luce di elementi tipici di interfacce utente automatizzate. Sono pattern che si aggiungono a quelli già documentati in altre analisi sui vettori di attacco specifici dell'AI agentica, dal memory poisoning all'estensione eccessiva dei permessi degli strumenti, e che confermano quanto anticipato mesi fa da Luca Nilo Livrieri di CrowdStrike, secondo cui gli agenti AI avrebbero presto orchestrato attacchi end-to-end senza intervento umano.

Un'altra lezione riguarda la persistenza. Grazie all'automazione, l'attaccante ha potuto stabilire e testare in parallelo un intero portfolio di meccanismi di persistenza ridondanti, distribuiti su chiavi SSH, funzioni serverless, policy di riavvio dei container, identità cloud e pipeline CI/CD. È un lavoro che un operatore umano avrebbe svolto in sequenza, con margini di errore più alti e tempi più lunghi. L’AI lo ha reso parallelo e sistematico, e ha complicato notevolmente le operazioni di bonifica.

Alla luce di quanto appreso con l'analisi di questo attacco, gli esperti di Unit 42 forniscono alcune indicazioni ai team di difesa che dovessero trovarsi ad affrontare un attacco di questo tipo. Prima di tutto la velocità e la necessità di portare avanti un'attività sincronizzata di contenimento: revocare le credenziali compromesse, chiudere le sessioni attive, bloccare le pipeline CI/CD e isolare gli account cloud coinvolti devono diventare azioni simultanee perché con un attaccante che si muove a velocità di agenti AI, ogni minuto speso a coordinare i passaggi tra un team dà la possibilità all’attacco di spostarsi altrove.

Una seconda indicazione riguarda la governance dell'AI trattata come infrastruttura critica a tutti gli effetti: occorre un inventario completo di ciascun endpoint, chiave API e gateway MCP, corredato da limiti rigorosi, privilegi minimi e logging diagnostico costante, oltre a ogni integrazione di strumenti AI. Il terzo punto di attenzione è la capacità di individuare i loop comportamentali tipici di questi attacchi, come richieste API a raffica, cambi rapidi tra stati http 401 e 200, autenticazioni parallele e utilizzo improvviso dei modelli da parte di identità inattese. Ultimo ma non meno importante: il blocco immediato e rigoroso delle pipeline DevOps, con revisioni del codice obbligatorie a più mani e branch protection immutabile su tutti i repository infrastructure-as-code, per impedire l'inserimento automatizzato di backdoor nel codice infrastrutturale.