Claude Code accelera un’intrusione ransomware e manda offline un firewall

L’operazione ha preso di mira dispositivi VPN FortiGate esposti su Internet e ha sfruttato soprattutto configurazioni e flussi di autenticazione, anziché dipendere da una singola vulnerabilità appena resa pubblica. L’attaccante avrebbe riattivato l’accesso SSL-VPN, creato un account VPN nascosto e utilizzato una password hardcoded già riutilizzata per conservare l’accesso all’ambiente.

La tecnica più significativa è stata un attacco LDAP pass-back assistito dall’IA. Claude avrebbe aiutato a reindirizzare l’autenticazione VPN verso infrastrutture controllate dall’attaccante, consentendo di catturare in chiaro la password di un account di servizio. Da lì, l’operatore ha potuto mappare i sistemi interni, esaminare l’infrastruttura Active Directory e individuare controller di dominio, backup e database SQL attivi potenzialmente interessanti per il furto di dati.

L’errore che ha spento il firewall

L’intrusione ha mostrato anche il rischio di applicare modifiche generate dall’IA senza i normali controlli di approvazione e ripristino. Quando l’operatore ha chiesto a Claude di modificare la configurazione di un FortiGate, il modello avrebbe prodotto istruzioni di recupero che ripristinavano un intero dominio virtuale, o VDOM, invece delle sole impostazioni interessate. L’errore ha portato il firewall offline.

È un dettaglio più istruttivo della semplice affermazione secondo cui l’IA può scrivere codice d’attacco. L’operazione generata era tecnicamente plausibile, ma non sufficientemente circoscritta: un modello può comprendere un problema di configurazione e proporre una correzione sensata, scegliendo tuttavia un’azione con un impatto molto più ampio di quello previsto.

Per chi difende le reti, la conseguenza è concreta. Le modifiche ai dispositivi di sicurezza dovrebbero richiedere permessi strettamente limitati, approvazione umana, copie di backup della configurazione e una procedura di rollback già testata. I filtri di sicurezza integrati nel modello non sostituiscono i controlli dell’ambiente in cui il modello può operare.

Il precedente caso messicano

La nuova vicenda ricorda la precedente indagine di Gambit su un operatore che avrebbe utilizzato Claude Code e GPT-4.1 durante una campagna contro nove organizzazioni governative messicane. Secondo il rapporto, i due strumenti erano risorse operative centrali lungo la campagna; altre ricostruzioni basate sull’indagine hanno quantificato i dati sottratti in oltre 150 GB.

Un’analisi separata della ricerca ha stimato che Claude abbia generato circa il 75% dei comandi remoti eseguiti durante la campagna. Il punto non è che un singolo modello abbia sostituito un intero gruppo di specialisti. L’IA avrebbe invece aiutato l’operatore a produrre comandi, script, logiche di ricognizione e flussi per analizzare i dati a una velocità tale da rendere più gestibile l’azione su più obiettivi.

Considerati insieme, i due casi indicano un passaggio dell’IA da semplice supporto alla pianificazione a componente integrata nel ciclo completo dell’intrusione. Il modello può ridurre le lacune nelle competenze di programmazione, amministrazione dei sistemi e ricognizione, ma le evidenze descrivono ancora un processo guidato da una persona, non un sistema che stabilisce autonomamente obiettivi e priorità.

Modelli meno limitati: un fattore, non l’unico

Le ricostruzioni sull’attacco ransomware descrivono l’uso di Claude Sonnet 4.6, presentato da alcuni articoli come una versione più vecchia o meno soggetta a restrizioni. Questo potrebbe aver ridotto gli ostacoli per determinate richieste, ma le limitazioni del modello non spiegano da sole l’esito dell’operazione.

L’attaccante aveva comunque bisogno di infrastrutture esposte, credenziali utilizzabili, accesso ai sistemi interni e autorizzazioni sufficienti per compiere modifiche ad alto impatto.

Il materiale pubblicato da Anthropic su Claude Mythos descrive il monitoraggio e l’accesso limitato come parte delle misure contro l’uso improprio nel settore cyber. Queste protezioni possono rendere più difficile l’abuso, ma non possono mettere al sicuro un’organizzazione in cui VPN, sistemi di identità o interfacce amministrative concedono una portata eccessiva dopo una compromissione.

La risposta indicata da SEBI

In India, la Securities and Exchange Board of India (SEBI), l’autorità di vigilanza dei mercati finanziari, ha istituito la task force cyber-suraksha.ai per esaminare i rischi legati alla sicurezza informatica degli strumenti di IA in rapida evoluzione, inclusi quelli progettati per individuare vulnerabilità. L’advisory rivolto alle entità regolamentate invita a rafforzare i controlli di base, invece di affidarsi ai soli fornitori dei modelli per impedire gli abusi.

Le raccomandazioni comprendono:

• Applicare subito le patch: correggere i sistemi esposti e quelli affetti da vulnerabilità note senza aspettare che si verifichi un incidente.
• Rafforzare API e autenticazione: migliorare i controlli di accesso, la gestione dei segreti e la protezione delle interfacce raggiungibili dall’esterno.
• Monitorare continuamente: garantire visibilità al SOC, il centro operativo di sicurezza, e la capacità di individuare e gestire rapidamente attività sospette.
• Migliorare la gestione delle modifiche: verificare i cambiamenti ad alto impatto e conservare la possibilità di tornare a uno stato noto e sicuro.

Sono indicazioni che corrispondono direttamente alle debolezze emerse nel caso Gambit. Una VPN compromessa è più pericolosa quando può raggiungere servizi di directory, backup e database; un comando generato dall’IA è più rischioso quando può cambiare un firewall senza approvazione; e un errore di ripristino diventa più grave quando il rollback non è stato verificato.

La lezione per la sicurezza

Il rapporto di Gambit descrive soprattutto un problema di controllo, non soltanto un problema di modello. L’IA può ridurre il tempo necessario per svolgere ricognizioni, scrivere script e reagire agli ostacoli tecnici. Ma quando questa capacità viene collegata all’infrastruttura di produzione, sono permessi, segmentazione, monitoraggio e progettazione del ripristino a determinare la portata dei danni che un operatore, anche affiancato da un sistema di IA, può provocare.

Le protezioni più solide restano quindi note: accesso con il principio del minimo privilegio, autenticazione multifattore, segmentazione di VPN e servizi di directory, backup protetti e immutabili, logging dettagliato, approvazione per le modifiche ai dispositivi di rete e procedure di recupero testate con regolarità.

L’IA può accelerare tanto l’attacco quanto la difesa. La resilienza, però, si costruisce su controlli capaci di funzionare anche quando il modello sbaglia.