Google: i criminali informatici passano dai prompt AI a flussi d’attacco con agenti

Il Google Threat Intelligence Group (GTIG) descrive nel suo AI Threat Tracker del terzo trimestre 2026 un cambiamento rilevante: l’intelligenza artificiale non viene più usata soltanto per singoli compiti — per esempio scrivere codice o preparare un messaggio di phishing — ma viene collegata in workflow agentici, cioè sequenze di attività coordinate e in parte automatizzate.

Non significa che esistano già cyberattacchi totalmente «senza pilota». Google precisa di non aver ancora osservato attori malevoli usare contro bersagli reali pipeline completamente autonome, dall’inizio alla fine. Il punto è però che gli agenti AI stanno riducendo i tempi di intervento umano e, di conseguenza, la finestra disponibile per rilevare e fermare un’intrusione. 25

Dai prompt singoli a una catena di attività

Nel modello più semplice, un criminale può chiedere a un sistema AI di cercare informazioni su un bersaglio, formulare un’email ingannevole, tradurre un testo o correggere uno script. Il tracker di settembre rileva invece che gli attori più capaci stanno iniziando a far gestire all’AI più compiti collegati, integrandola nell’automazione delle operazioni. 25

In una catena di questo tipo, l’AI può assistere passaggi come ricognizione, scansione delle vulnerabilità, raccolta di credenziali e risoluzione di problemi tecnici incontrati durante l’operazione. Meno pause per l’operatore umano possono tradursi in attacchi più veloci e in un tempo più ristretto per analisi, verifica e contenimento da parte dei team di sicurezza. 25

Furto di credenziali su larga scala in meno di sei ore

Uno degli episodi più concreti citati nel tracker riguarda un attore mosso da finalità economiche. Secondo le ricostruzioni, ha usato un framework multi-agente per preparare e lanciare un’operazione di raccolta di credenziali su vasta scala in meno di sei ore. Gli agenti hanno contribuito ad automatizzare scansioni, raccolta delle credenziali e troubleshooting. 212

La novità, quindi, non è solo la capacità di generare uno script. È la possibilità di far proseguire un’operazione anche davanti a ostacoli tecnici ordinari, riducendo il lavoro necessario per coordinare manualmente le varie fasi dell’attacco.

L’uso da parte di gruppi legati a Stati

GTIG riferisce che attori collegati a Stati usano l’AI lungo più fasi del ciclo di intrusione, dalla ricerca iniziale e dall’intelligence sui bersagli fino alla risoluzione di problemi operativi. Un gruppo di spionaggio informatico collegato alla Cina e identificato come BASINCASTLE avrebbe impiegato modelli linguistici di grandi dimensioni (LLM) per la ricerca e per affrontare difficoltà durante le intrusioni. 1

Il rapporto descrive inoltre un altro gruppo collegato alla Cina che avrebbe tentato di usare Gemini per costruire un framework automatizzato di penetration testing, con AI agentica destinata a eseguire in autonomia le fasi iniziali di un’intrusione. 1

Questi casi mostrano come l’AI possa accelerare anche le attività preparatorie: raccolta di informazioni, sperimentazione tecnica e adattamento dell’operazione in corso, prima ancora di eventuali azioni più dirompenti.

Phishing e impersonificazione: la minaccia più immediata

L’effetto più diffuso dell’AI generativa potrebbe riguardare tecniche già note e orientate alle persone, non necessariamente la nascita di nuove categorie di attacco. L’AI permette di produrre più in fretta messaggi di phishing e materiali di ingegneria sociale più personalizzati e convincenti, anche in lingue e contesti diversi. GTIG aveva già segnalato l’impiego dell’AI per raccogliere informazioni, creare campagne di phishing realistiche e sviluppare malware. 11

Questo incide anche sulle operazioni di impersonificazione e influenza. Contenuti assistiti dall’AI possono rendere più credibili i pretesti, le identità online fittizie e i messaggi ingannevoli distribuiti su larga scala. Secondo le notizie sui risultati del terzo trimestre, gruppi iraniani sostenuti dallo Stato hanno usato Gemini per attività fra cui phishing e creazione di identità false. 4

Per aziende e singoli, la conseguenza pratica è semplice: un’email, un documento o una richiesta formulata bene non sono più un segnale affidabile di legittimità.

Cosa devono fare i difensori

L’indicazione del tracker è difendersi dalla velocità oltre che dalla sofisticazione:

• Trattare gli attacchi all’identità come un rischio prioritario, adottando autenticazione resistente al phishing e controllando usi anomali delle credenziali.
• Ridurre i tempi di rilevamento e contenimento, perché operazioni supportate da agenti possono passare rapidamente dalla scoperta all’accesso e alla raccolta di dati.
• Verificare tramite un canale separato le richieste ad alto rischio, come modifiche alle coordinate di pagamento, richieste di credenziali o condivisione di file riservati.
• Proteggere gli asset AI e i flussi di sviluppo: GTIG segnala che gli attaccanti prendono sempre più di mira proprietà intellettuale legata all’AI, utenti, sistemi e punti deboli della catena di fornitura. 15

Il messaggio di Google è quindi urgente ma misurato: gli attacchi completamente autonomi non sono, per ora, una realtà osservata sul campo. Tuttavia, l’AI sta già rendendo le tecniche note più coordinate, scalabili e difficili da intercettare in tempo. 25