Quattro episodi emersi nelle ultime settimane, diversi per settore e per tecnica, sono accomunati dall’uso dell'automazione agentica da parte degli attaccanti per gestire intere fasi della kill chain, senza l’intervento di un operatore umano. Probabilmente negli ultimi mesi eventi simili a questi sono stati decine. È un cambiamento di scala più che di natura, perché nella maggior parte dei casi le tecniche sono quelle ben note e già catalogate da anni: furto di credenziali, movimento laterale, all'escalation di privilegi, eccetera. A cambiare è la velocità con cui vengono incatenate queste tecniche.

La sensazione è che siamo arrivati al punto in cui un attacco che fa uso dell’AI non fa più notizia di per sé. È la norma, un po’ come un ordinario attacco ransomware. Certo, si saranno sempre gli eventi che spiccano nelle cronache per qualche carattere di eccezionalità ma, a proposito di velocità, il solo uso offensivo dell'AI sta (già) perdendo l’effetto wow. Quello che invece stupisce inizia ad essere perché, dall'altra parte del tavolo, l'adozione di un’AI di pari livello da parte di chi difende procede a un ritmo più lento.

A proposito di velocità, ricordiamo che il tempo medio di breakout registrato nel 2025 secondo il Global Threat Report di CrowdStrike è stato di 29 minuti, il 65% in meno rispetto all'anno precedente, con casi limite scesi a pochi secondi. Addirittura, il gruppo Curly Spider è riuscito a installare una backdoor persistente in meno di quattro minuti dal primo contatto di phishing.

Quanto impiegano invece i difensori ad accorgersene? Secondo l'ultima edizione del Cost of a Data Breach Report di IBM, le violazioni scoperte dai team interni richiedono in media 209 giorni fra rilevamento e contenimento; quelle gestite da un MSSP salgono a 230 giorni; le violazioni che l'azienda apprende perché è l'attaccante stesso a rivelarle (segno che nessuno se n'era accorto), sono le più costose in assoluto: 5,12 milioni di dollari.

Quel tempo pesa direttamente sui bilanci. Il costo medio globale di una violazione ha raggiunto quest'anno 4,99 milioni di dollari, spinto proprio dagli attacchi condotti con il supporto dell'AI, aumentati del 56%; superata la soglia dei 200 giorni fra identificazione e contenimento il costo medio sale a 5,65 milioni. Chi invece adotta AI e automazione in modo esteso nella difesa contiene l'attacco in media 65 giorni più in fretta e paga 4 milioni di dollari, quasi 2 milioni in meno di chi non lo fa. Morale: ogni giorno guadagnato nella capacità di reazione si traduce in un risparmio concreto.

Qualche caso recente

440 istanze PaperCut compromesse in 395 organizzazioni distribuite su 48 paesi; da zero - senza alcun exploit pronto - al primo accesso riuscito da remoto su una vittima reale in meno di quattro ore. Sono due numeri con cui GreyNoise ha ricostruito la campagna condotta da un attaccante russofono contro i server PaperCut NG/MF vulnerabili alle falle monitorate con le sigle CVE-2026-81578 e CVE-2026-82078. L'operazione è partita il 31 agosto, con agenti AI basati su Codex di OpenAI e su DeepSeek incaricati di costruire, testare e perfezionare gli exploit per le due falle.

Lo stesso sistema ha generato in autonomia le liste delle potenziali vittime, attingendo alla piattaforma di scansione Netlas. Una volta attivata su larga scala, la campagna ha compromesso undici organizzazioni in 26 secondi, e in un caso l'attaccante è passato dall'accesso iniziale al controllo completo del dominio contro una scuola superiore statunitense in sette minuti.

Nella prima, l'attaccante recuperava la memoria del processo LSASS (il processo di Windows che custodisce le password degli utenti autenticati sulla macchina) e i secret di registro dai server PaperCut collegati al dominio, per poi riutilizzare le credenziali così ottenute in un attacco pass-the-hash. Nella seconda, sfruttava le vecchie falle CVE-2021-42278 e CVE-2021-42287 se erano ancora prive di patch. Nella terza, quando PaperCut girava direttamente su un domain controller o con un account di servizio amministrativo, l'attaccante si limitava ad aggiungere un nuovo account fra i Domain Admins. In tutti e tre i casi il risultato finale era che l'attaccante riusciva a farsi consegnare l'intero database delle credenziali del dominio, facendo credere al domain controller di parlare con un suo alter ego legittimo, con cui normalmente si scambia dati per restare sincronizzato.

Passiamo al secondo caso. Anche qui i numeri fanno paura: 600 payload distinti eseguiti in una finestra di tempo compressa; passaggio da un tentativo di accesso fallito a una correzione funzionante in 31 secondi. È così che Sysdig descrive JADEPUFFER, definendolo il primo caso documentato di ransomware condotto interamente da un agente LLM, dall'accesso iniziale fino all'estorsione.

L'ingresso in rete è stato possibile mediante lo sfruttamento di una vulnerabilità nel framework open source Langflow (CVE-2025-3248) che permetteva di eseguire codice da remoto senza bisogno di autenticarsi. Una volta ottenuto l'accesso, l'agente ha proseguito da solo: ha fatto il dump del database che Langflow usa per salvare i propri dati, ha collezionato informazioni sulla macchina, cercato variabili d'ambiente e file sensibili, recuperato credenziali ed esplorato uno spazio di archiviazione. Da lì, sfruttando una vecchia falla priva di patch, si è mosso lateralmente verso un server che ospitava lo strumento Nacos di Alibaba per la gestione delle configurazioni delle proprie applicazioni. L'ultima fase è stata la cifratura di 1.342 elementi di configurazione, con cancellazione degli originali e nota di riscatto in Bitcoin.

Ciò che ha convinto i ricercatori che dietro all'operazione non ci fosse un operatore umano è stata la coerenza e l'ampiezza dei payload, insieme a un dettaglio insolito: il codice generato durante l'attacco commentava in linguaggio naturale le proprie azioni, quasi narrasse da solo la logica delle proprie scelte.

Il ciclo di attacco nel caso Anthropic

L’ultimo caso in ordine di pubblicazione è quello legato ad Anthropic. Fra dicembre 2025 e agosto 2026 sono state colpite oltre 20 organizzazioni, con un ciclo di occultamento del malware completamente automatizzato. Il report, pubblicato da poco, descrive un'operazione di cyberspionaggio i cui bersagli coincidono con quelli del gruppo russo noto come Midnight Blizzard. Secondo la ricostruzione, gli attaccanti hanno usato Claude per verificare se i propri strumenti venivano intercettati dai prodotti di sicurezza delle vittime; quando uno strumento veniva segnalato, gli agenti AI lo modificavano e ricompilavano il codice di attacco in autonomia, lo ridistribuivano e ripetevano il ciclo finché non riuscivano a bypassare i controlli.

È un meccanismo che sposta sui difensori il costo del ciclo di rilevamento ed evasione, storicamente lento perché costringeva l'attaccante umano a riscrivere manualmente ogni strumento intercettato; con l'AI quel ciclo si chiude più in fretta di quanto un team di sicurezza riesca a rispondere. Sul concetto dello spostamento dei costi di attacco sulle vittime ha peraltro discusso ampiamente Luca Nilo Livrieri di CrowdStrike prima della pubblicazione di questo attacco.

Le vittime includevano uffici governativi ucraini ed europei, enti della difesa e dell'intelligence e ambasciate, con un'estensione del targeting verso Medio Oriente e Asia. Il gruppo ha esfiltrato le caselle di posta di due produttori di componenti per droni e ha sottratto l'intero pacchetto software di un sistema di visione per droni, trascorrendo diversi giorni a ricostruirne architettura, elenco dei componenti hardware e catena dei fornitori a partire dal solo codice sottratto. Ha inoltre compromesso almeno tre fornitori del settore ospitalità che gestiscono il Wi-Fi degli ospiti degli hotel, usando credenziali amministrative rubate per manomettere le risposte del server DNS e reindirizzare il traffico dei viaggiatori verso pagine sotto il proprio controllo.

Lo stesso report di Anthropic descrive un fenomeno complementare che vale la pena segnalare: gli attaccanti iniziano a colpire direttamente le credenziali e l'infrastruttura dei fornitori AI. Un gruppo tracciato come GTG-50021 si spacciava per rivenditore di Claude e dirottava i clienti paganti verso un modello diverso, mentre un'applicazione client collezionava le loro credenziali per rivenderle. Un secondo gruppo, GTG-50020, già noto per attacchi contro piattaforme di prenotazione alberghiera e fintech, ha usato una tecnica di prompt injection contro l'ambiente di test automatizzato che un fornitore AI usa per validare nuovi strumenti prima di metterli in produzione, ottenendo chiavi API di produzione appartenenti a più provider. Con quelle chiavi ha lanciato una campagna contro una trentina di aziende del settore AI nell'arco di alcuni giorni, con l'obiettivo dichiarato di ottenere accesso a un modello Claude non ancora rilasciato.

A completare il quadro c'è un caso di un'intrusione reale in cui gli agenti AI hanno eseguito da soli oltre cinquanta tecniche MITRE ATT&CK in meno di dieci ore, con un impatto paragonabile a quello di più red team umani coordinati per due settimane, fino a trasofrmare l'infrastruttura AI della vittima in piattaforma di calcolo per l'attacco stesso.

Tiriamo le somme

Messi in fila, i quattro casi raccontano da angolazioni diverse, la storia di un attaccante che si propone un obiettivo di alto livello e delega a un sistema agentico l'esecuzione tattica, l'osservazione dei risultati e la pianificazione del passo successivo. Il risultato è che un lavoro che prima richiedeva giorni e competenze di alto livello oggi si riduce a minuti o secondi. Il Cyber Security Report 2026 realizzato da TIM e Cyber Security Foundation sottolinea però che la stessa AI offre alla difesa nuove capacità di prevenzione, analisi delle minacce e risposta agli incidenti. Basti pensare all’aumento delle vulnerabilità trovate grazie all’AI, alle accelerate tempistiche di distribuzione delle patch.

Quello che occorre è innanzi tutto la sincronizzazione della risposta: quando un attacco viaggia a velocità macchina, revocare le credenziali compromesse, chiudere le sessioni attive, bloccare le pipeline di sviluppo e isolare gli account cloud coinvolti devono diventare azioni simultanee, perché una sequenza di passaggi coordinati fra team diversi in orari diversi non è più efficace. Ogni minuto speso a passarsi il testimone fra reparti è un minuto che l'attaccante automatizzato usa per spostarsi altrove nella rete.

La seconda considerazione riguarda la governance dell'infrastruttura AI, che va trattata come infrastruttura critica a tutti gli effetti. Occorre un inventario completo di ogni endpoint, chiave API e gateway MCP in uso, con privilegi minimi, limiti rigorosi e un logging costante che permetta di ricostruire chi ha usato che cosa e quando; i casi di GTG-50021 e GTG-50020 descritti da Anthropic mostrano che ormai le credenziali AI hanno lo stesso valore di rivendita e la stessa utilità di copertura delle credenziali cloud tradizionali, pertanto vanno protette di conseguenza.

La terza nota è la capacità di riconoscere i pattern comportamentali tipici di un agente: raffiche di chiamate API parallele verso più modelli, oscillazioni rapide fra stati di autenticazione riusciti e falliti, utilizzo improvviso di risorse AI da parte di identità che non le avevano mai toccate prima. Sono segnali che un sistema di rilevamento tradizionale, tarato su comportamenti umani più lenti e meno ripetitivi, fatica a distinguere dal rumore di fondo se non viene aggiornato per cercare esattamente quel tipo di anomalia.

Infine, è doveroso un appunto sulle pipeline di sviluppo. Nel caso raccontato da Unit 42 di Palo Alto Networks l'unico tentativo di attacco andato a vuoto è stato quello di inserire una backdoor nelle configurazioni Terraform, bloccato dalle protezioni sui branch. È la controprova che la revisione del codice obbligatoria a più mani e la branch protection immutabile sui repository infrastructure-as-code non sono formalità burocratiche. Anzi, sono di fatto l'unico argine rimasto quando un attaccante può generare e proporre modifiche al codice infrastrutturale alla stessa velocità con cui un team la revisiona.

Tutti questi accorgimenti condividono il presupposto di fondo che la difesa non può più permettersi di essere un processo prevalentemente umano, nel momento in cui gli attacchi non lo sono più. Capitalizzare davvero le possibilità dell'AI per chi difende significa spostare sull'automazione lo stesso lavoro di triage, correlazione e prima risposta che gli attaccanti hanno già delegato ai propri agenti. Alle persone, agli analisti SOC, resteranno incarichi di grande importanza: decidere sulle situazioni ambigue.