L’AI non inventa nuovi attacchi, ma rende quelli noti più veloci, scalabili e adattivi

La conclusione comune dei tre rapporti non è che l’AI abbia creato forme di intrusione del tutto nuove. Il cambiamento è piuttosto operativo: tecniche consolidate possono essere trasformate in flussi di lavoro ripetibili, nei quali i modelli aiutano a pianificare, generare, verificare, correggere e ampliare un attacco con meno competenze specialistiche e meno intervento umano diretto. Le evidenze più solide riguardano quindi l’accelerazione e il coordinamento di operazioni note, non sistemi capaci di colpire in piena autonomia senza una guida umana significativa. 107

Dal singolo prompt a un flusso di attacco

Il tracker di Google descrive il passaggio da richieste isolate a workflow agentici integrati: scansione automatizzata, raccolta di credenziali, risoluzione dei problemi tecnici e rotazione dell’infrastruttura. In pratica, fasi che in passato avrebbero richiesto più strumenti e operatori possono diventare una catena che itera molto più rapidamente. 11

Questo non equivale però a dire che l’intera intrusione sia indipendente dall’attaccante. Il punto è la compressione dei tempi: l’AI può assistere e automatizzare vari passaggi, mentre decisioni, obiettivi e supervisione restano in larga parte umani.

Come viene usata l’AI dagli attori malevoli

Secondo le osservazioni raccolte nei rapporti, gli impieghi includono:

• ricerca e profilazione dei bersagli;
• testi per spear phishing in più lingue;
• sviluppo, correzione e modifica di malware o script;
• preparazione di infrastrutture e automazioni;
• sintesi di dati sottratti;
• materiali per l’ingegneria sociale.

Microsoft sottolinea che la maggior parte dell’uso malevolo osservato continua a concentrarsi sulla produzione di testo, codice o media. Non è quindi una dimostrazione di compromissioni completamente autonome dall’inizio alla fine. 10

I casi attribuiti a gruppi statali e criminali

Anthropic afferma di aver individuato e interrotto attività attribuite a soggetti collegati a Russia, Cina e Iran, oltre a gruppi mossi da finalità economiche. Le casistiche coprono operazioni cyber, influenza, sorveglianza, frodi, tentativi di uso in ambito biologico e di armi convenzionali, oltre alla distillazione dei modelli. Reuters ha riferito, sulla base delle dichiarazioni dell’azienda, di un’operazione collegata alla Russia contro funzionari ucraini e di presunti abusi di Claude da parte di aziende cinesi dell’AI. Si tratta di attribuzioni e casi studio delle aziende, non di una misurazione complessiva di tutte le minacce esistenti. 724

Un esempio rilevante riguarda ShinyHunters. Microsoft ha attribuito campagne di ingegneria sociale a tema passkey e single sign-on (SSO) contro account aziendali Microsoft 365 ad attori collegati a ShinyHunters, Helix e altri gruppi di estorsione. Lo schema segnalato combina ricognizione e impersonificazione del supporto IT per ottenere accesso e sottrarre dati dal cloud. È un caso di furto di credenziali tradizionale potenziato da esche più mirate e facilmente scalabili, non la prova che l’AI abbia eseguito autonomamente tutta l’intrusione. 3

Il ciclo che rende gli attacchi più pericolosi

L’aspetto operativo dell’AI agentica è il ciclo continuo: generare, testare, modificare e distribuire. Le casistiche illustrate da Anthropic mostrano, ad esempio, come un attaccante possa chiedere a un modello di adattare o ricostruire codice dopo che un prodotto di sicurezza lo ha rilevato, oppure usare credenziali e chiavi API compromesse per ottenere capacità di calcolo a basso costo. Il rischio non deriva da una singola richiesta malevola, ma dalla velocità con cui il ciclo può ripetersi. 87

La stessa dinamica favorisce l’impersonificazione su vasta scala: pagine di assistenza credibili, messaggi di phishing, conversazioni in chat, varianti multilingue e, potenzialmente, voci o immagini imitate possono essere prodotti e aggiornati a costi inferiori. Per i difensori questo significa più volume, più personalizzazione e più varianti, con minore efficacia dei filtri fondati su modelli testuali già noti o su errori linguistici evidenti. Microsoft ha osservato in particolare l’uso dell’AI per creare e tradurre esche di phishing. 10

La distillazione: quando il bersaglio è il modello AI

Nel quadro delle minacce entra anche la distillazione, o estrazione del modello. Google la descrive come interrogazioni sistematiche di Gemini, effettuate tramite accessi apparentemente legittimi, per ricavare capacità proprietarie: un problema di proprietà intellettuale e sicurezza delle capacità del modello, non solo di criminalità informatica convenzionale. 11

Resoconti pubblici hanno descritto campagne con volumi enormi di prompt. L’interpretazione prudente è che gli attori tentino di riprodurre comportamenti utili di modelli di frontiera attraverso interrogazioni via API, mentre i fornitori cercano di individuare richieste abusive e proteggere ragionamento e salvaguardie dei propri sistemi. 118

Perché cambia l’equazione dei costi

L’AI riduce il costo marginale di scrittura, localizzazione linguistica, ricerca, assistenza al codice e inganno iterativo. Di conseguenza, criminali o hacktivisti con risorse limitate possono acquisire parte della capacità un tempo associata a team più grandi. Per chi difende, il problema è distinguere comunicazioni legittime da contenuti dannosi sempre più individualizzati e variabili. 610

L’asimmetria riguarda quindi soprattutto velocità e scala: non significa che ogni attacco assistito dall’AI riesca, né che il cybercrimine sia già dominato da attacchi autonomi.

La questione va oltre il phishing

Le implicazioni di sicurezza e di sviluppo responsabile dell’AI non si fermano agli attacchi informatici. Il rapporto Anthropic include tentativi di uso improprio relativi anche alla ricerca biologica e allo sviluppo di armi convenzionali. Per questo il dibattito riguarda monitoraggio degli abusi, controlli su account e API, limiti di utilizzo, rilevamento dell’estrazione dei modelli, condivisione degli incidenti e garanzie specifiche per gli ambiti ad alto impatto. 162

La cautela resta essenziale: queste pubblicazioni documentano casi rilevati e bloccati. Mostrano capacità e modelli operativi emergenti, ma da sole non dimostrano che gli attacchi completamente autonomi siano oggi la forma prevalente di cybercriminalità. 7