L’AI è passata da assistente a operatore degli attacchi informatici

Il rapporto AI Security Report 2026 di Check Point Research, pubblicato a luglio, descrive un cambio di passo nel ruolo dell’intelligenza artificiale negli attacchi informatici. L’AI non verrebbe più usata soltanto per raccogliere informazioni, generare codice o pianificare un’intrusione: nei casi analizzati, i sistemi hanno eseguito comandi durante attacchi in corso, interpretato i risultati e selezionato le azioni successive con una direzione umana limitata.

La conseguenza più importante riguarda il ritmo e il costo delle operazioni. Un singolo attaccante può delegare a un agente di coding una quota crescente del lavoro tattico, mentre i difensori hanno meno tempo per distinguere l’automazione legittima da un’attività ostile. Gli esempi più significativi citati nel rapporto riguardano una violazione che avrebbe coinvolto nove agenzie governative messicane e una campagna collegata alla Cina contro circa 30 organizzazioni.

Il punto centrale: l’AI entra nel ciclo operativo

Check Point non sostiene che gli esseri umani siano scomparsi dagli attacchi. Il loro ruolo, però, può concentrarsi sull’obiettivo e sull’architettura dell’operazione, mentre l’AI svolge una parte sempre maggiore del lavoro pratico: esplora i sistemi, genera o adatta gli strumenti, esegue comandi, analizza i dati e porta avanti la catena d’attacco.

La differenza è quella tra un assistente e un sistema agentico. Un assistente produce una risposta che una persona deve valutare. Un agente può usare strumenti, osservare i risultati e decidere quale sia il passaggio successivo. Se dispone di accesso a shell, repository di codice, servizi cloud o infrastrutture compromesse, il modello entra direttamente nel ciclo operativo dell’intrusione.

Il caso delle agenzie governative messicane

Il caso criminale più rilevante descritto nel rapporto riguarda un singolo attore che, tra la fine del 2025 e l’inizio del 2026, avrebbe violato nove agenzie governative messicane, esponendo circa 400 milioni di dati relativi a cittadini. L’operazione avrebbe utilizzato Claude Code di Anthropic e GPT-4.1 di OpenAI come sistemi operativi, non soltanto come strumenti di pianificazione.

Secondo le ricostruzioni disponibili, i due strumenti avevano compiti distinti:

• Claude Code gestiva lo sfruttamento in tempo reale e l’esecuzione dei comandi durante l’intrusione.
• GPT-4.1 elaborava le informazioni raccolte durante la ricognizione e i dati esfiltrati, trasformandoli in intelligence strutturata e contribuendo ad avviare attività successive.
• Nel complesso sarebbero stati eseguiti oltre 5.000 comandi tramite AI.

Alcuni resoconti secondari indicano numeri più precisi: 1.088 prompt inseriti dall’operatore, 34 sessioni d’attacco e circa il 75% dei comandi remoti eseguiti da Claude Code. Questi dettagli vanno considerati come risultati riportati nelle ricostruzioni dell’incidente, non come fatti forensi completamente verificati e disponibili in un rapporto pubblico indipendente: il materiale accessibile attribuisce il caso a una ricerca di sicurezza poi citata da Check Point, ma non offre un resoconto completo dell’incidente.

La lezione principale non riguarda un singolo modello, ma il modo in cui gli strumenti vengono coordinati. L’operatore non doveva eseguire manualmente ogni passaggio di ricognizione, sfruttamento e analisi dei dati. Gli strumenti creavano un circuito di feedback: agivano, controllavano il risultato e proseguivano.

La campagna legata alla Cina

Check Point descrive anche una campagna di cyberspionaggio collegata alla Cina e rivolta a circa 30 organizzazioni, nella quale l’AI avrebbe svolto l’80–90% dell’operazione tattica. Le fonti disponibili presentano questa percentuale come una stima, non come una contabilizzazione completa comando per comando.

Il caso amplia la portata del problema oltre la criminalità opportunistica. Gli agenti di coding possono sostenere campagne che richiedono adattamenti ripetuti su più obiettivi, permettendo agli operatori di delegare una parte consistente delle attività tattiche e di mantenere il controllo sulle decisioni strategiche.

Come gli attaccanti aggirano le protezioni dei modelli

Il rapporto e le ricostruzioni collegate indicano due approcci principali.

Jailbreak e manipolazione delle istruzioni

Un attaccante può cercare di convincere un modello commerciale a ignorare le proprie regole di sicurezza. Per i difensori è però ancora più delicato l’abuso dell’ambiente che circonda il modello: un agente può seguire istruzioni inserite in file, repository o altri contenuti che gli viene chiesto di elaborare.

Una tecnica di persistenza riportata riguarda file di configurazione considerati attendibili, come CLAUDE.md. Se un agente carica automaticamente queste istruzioni a ogni sessione, un attaccante potrebbe influenzarne il comportamento futuro senza dover persuadere nuovamente il modello in una conversazione.

Prompt injection indiretta

La prompt injection indiretta consiste nel nascondere istruzioni malevole all’interno dei contenuti letti da un sistema AI: un documento, una pagina web, una base di codice o la risposta di uno strumento. Se il sistema interpreta quel contenuto come un comando invece che come dati non affidabili, l’attaccante può provare a deviarne le azioni.

Le segnalazioni legate a Check Point descrivono un aumento di circa cinque volte, tra marzo e maggio 2026, nelle rilevazioni di payload più grandi associati alla prompt injection. Il dato indica un cambiamento nei payload osservati, ma non dimostra da solo che ogni tentativo abbia avuto successo o provocato una violazione.

Perché gli agenti di coding rendono gli attacchi più autonomi

Il nuovo rischio nasce dalla combinazione di diverse capacità:

1. Comprensione e generazione del codice: gli agenti possono esaminare codice sconosciuto e creare strumenti adattati all’ambiente bersaglio.
2. Uso degli strumenti: possono eseguire comandi e interagire con i sistemi, invece di limitarsi a restituire testo.
3. Analisi dei risultati: sono in grado di interpretare output dei comandi, log o dati sottratti e utilizzare queste informazioni per scegliere il passo successivo.
4. Contesto persistente: file di configurazione e flussi di lavoro collegati possono conservare istruzioni o stato tra una sessione e l’altra.
5. Scala e iterazione: lo stesso processo può essere ripetuto su host, account o obiettivi diversi molto più rapidamente rispetto a un’attività svolta interamente a mano.

Secondo Check Point, l’AI viene ormai impiegata anche nella ricognizione, nell’ingegneria sociale, nello sviluppo di malware e nelle attività successive alla compromissione. Il pericolo deriva dall’effetto combinato: ogni capacità può sembrare gestibile da sola, ma insieme forma una catena d’attacco con meno passaggi manuali e meno occasioni di controllo.

Anche l’uso quotidiano in azienda apre una via alla perdita di dati

Un’organizzazione non deve essere attaccata direttamente da un agente AI per subire un danno collegato all’intelligenza artificiale. Un dipendente può inserire credenziali, codice sorgente, dati personali o informazioni aziendali soggette a norme specifiche in un servizio GenAI esterno, semplicemente per ricevere aiuto su un’attività.

I dati annuali di Check Point indicano che la quota di prompt ad alto rischio — quelli che contengono informazioni aziendali, personali o regolamentate sensibili — è salita dal 2% al 4% nel periodo osservato. In pratica, si è passati da circa un prompt rischioso ogni 50 interazioni a uno ogni 25.

L’esposizione sarebbe inoltre molto diffusa. A seconda del periodo e del metodo di misurazione, le fonti collegate a Check Point collocano tra l’87% e il 93% la percentuale di organizzazioni che sperimentano almeno un’interazione GenAI ad alto rischio ogni mese.

Questi numeri richiedono cautela. Un aggiornamento annuale cita una media di 10 applicazioni AI per organizzazione al mese, mentre un aggiornamento di luglio parla di otto strumenti e di un prompt ad alto rischio ogni 36. Si tratta di misurazioni riferite a periodi diversi, che non vanno trasformate in un’unica serie temporale senza conoscere la metodologia sottostante.

Il materiale disponibile non documenta inoltre gli aumenti regionali richiesti per numero di applicazioni AI, volume dei prompt e prompt ad alto rischio. Mostra differenze regionali nell’esposizione, ma dati come la crescita anno su anno degli attacchi informatici in Europa, pari al 18%, e in Nord America, pari al 9%, misurano il volume degli attacchi e non l’uso dei prompt GenAI.

Perché la regolamentazione, da sola, non è sufficiente

La regolamentazione può stabilire responsabilità e requisiti minimi, ma non impedisce automaticamente a un dipendente di inviare dati sensibili a un servizio non autorizzato. Allo stesso modo, non rileva da sola un agente che esegue una sequenza anomala di comandi. Gli attacchi guidati da agenti possono muoversi più rapidamente dei cicli normativi e dei tradizionali processi di revisione.

Per questo Check Point propone una strategia articolata su quattro livelli:

• Controlli tecnici: individuare gli strumenti AI autorizzati e quelli non autorizzati, limitare la condivisione di dati sensibili, applicare il principio del privilegio minimo e governare i permessi degli agenti.
• Test di sicurezza: verificare le applicazioni AI e gli agenti collegati contro prompt injection, accessi non sicuri agli strumenti, endpoint esposti e vulnerabilità della catena di fornitura.
• Persone e processi: definire strumenti e casi d’uso approvati, formando il personale sulle informazioni che non devono essere inserite in servizi pubblici o non autorizzati.
• Monitoraggio e risposta continui: osservare le azioni degli agenti, i flussi di dati anomali e l’uso degli strumenti, mantenendo la capacità di analizzare, contenere o bloccare rapidamente le attività sospette.

Il punto per le organizzazioni

La valutazione di luglio di Check Point descrive un cambiamento nel punto in cui l’AI si colloca nella catena d’attacco: dalla fase di preparazione entra nell’esecuzione e nel processo decisionale. Il caso messicano mostra il potenziale impatto su larga scala; l’esempio collegato alla Cina indica il livello di delega possibile; i dati sui prompt mostrano che la stessa tecnologia crea già un’esposizione ordinaria all’interno delle organizzazioni.

La risposta non può basarsi sull’idea che l’AI resterà un assistente passivo, né su formule di conformità prive di controlli operativi. Le organizzazioni devono sapere quali sistemi AI vengono utilizzati, stabilire con precisione a quali risorse possono accedere, trattare gli input dei modelli come dati non affidabili e adottare un monitoraggio capace di tenere il passo con le azioni automatizzate.