Dall’8 aprile al 21 maggio 2026, un gruppo di criminali informatici russofoni noto come Aurora ha condotto una campagna di intrusioni contro sette aziende in tre continenti. Il vettore scelto si può definire insolito: Cursor, l’assistente di programmazione basato su intelligenza artificiale sviluppato da Anysphere, (acquisita da SpaceX il 14 agosto 2026 per 60 miliardi di dollari, e ora controllata al cento per cento nella divisione SpaceX AI).
La campagna è emersa non per una segnalazione delle vittime né per un’indagine di SpaceX, ma per un errore degli stessi aggressori. Gabriele Risso, cyber security e AI engineer di DamoTech, spiega che “Gambit Security, una startup di cyber security, ha trovato un server degli attaccanti esposto su internet senza protezione, contenente 28 conversazioni tra gli operatori e l’agente di Cursor”.
Altri hanno esaminato i dati. “CloudSEK ha analizzato la stessa infrastruttura in modo indipendente. Reuters ha esaminato parte dei dati e identificato sei vittime. Nessuna delle società coinvolte ha rilasciato dichiarazioni. Le trascrizioni documentano l’uso dell’agente, i bersagli e il metodo. L’attribuzione al gruppo Aurora e la sua caratterizzazione come russofono restano invece valutazioni degli investigatori: la lingua delle conversazioni è un indizio, non una prova, ed è tra gli elementi più facili da simulare”.
(Nella foto: Gabriele Risso, cyber security e AI engineer di DamoTech)
Tra le aziende colpite figurano l’azienda belga Christeyns, produttore di prodotti per l’igiene con sede a Gand; il produttore tedesco di porte da garage Teckentrup; la scozzese Helideck Certification Agency; un produttore italiano non identificato; un distributore farmaceutico argentino; e Bayou Title, compagnia assicurativa statunitense. I registri documentano furto di credenziali, controllo di account, generazione di script e sviluppo di strumenti offensivi.
Il metodo di ingresso puo’ essere considerato ‘tradizionale’: e-mail bombing e telefonate che simulavano l’assistenza informatica. Una volta ottenuto un accesso iniziale, gli operatori usavano l’agente IA per accelerare le fasi successive.
Gabriele Risso, descrive la meccanica in modo preciso. “L’agente”, spiega, “è stato manipolato, e convinto che le operazioni fossero parte di un test di sicurezza autorizzato; ha assistito gli operatori nelle fasi tecniche dell’intrusione. L’agente non ha però mai aperto la porta da solo: in ogni sessione documentata gli aggressori disponevano già di credenziali o di un accesso alla rete, ottenuti in almeno un caso con tecniche di ingegneria sociale e negli altri, verosimilmente, attraverso vulnerabilità tecnologiche”.
Altri dettagli permettono di capire la dinamica generale. “L’agente utilizzato era alimentato da Claude Sonnet 4.5 di Anthropic. Il modello valutava ogni richiesta in modo isolato, senza memoria tra conversazioni. Gli attaccanti sfruttavano questa caratteristica: a ogni rifiuto, riavviavano la sessione e insistevano dichiarando di trovarsi in un ambiente di test autorizzato”.
L’esperto aggiunge che “non si trattava di una vulnerabilità tecnica da correggere con una patch. Il modello”, osserva, “funzionava come progettato. Hanno ceduto due strati: il modello valutava ogni richiesta isolatamente, e le istruzioni di sistema di Cursor erano orientate principalmente alla produttività, non concepite per l’ipotesi che l’utente fosse un criminale. I singoli comandi erano ordinari. Era la sequenza, cercare credenziali, ampliare privilegi, catalogare server, a essere inequivocabile e il modello non ha correlato i vari step dell’intera sequenza, come malevola”.
Indice degli argomenti
Come introdurre agenti IA in azienda e come proteggersi
Per chi ha subito l’attacco, la natura dell’aggressione era indistinguibile da un’intrusione classica. Gabriele Risso lo sottolinea senza ambiguità: “un attacco condotto tramite un agente IA è uguale a un’intrusione tradizionale. Credenziali rubate, movimento laterale, ricognizione, esfiltrazione. L’intelligenza artificiale cambia la velocità e la scala, non la natura dell’attacco. Le difese efficaci sono quelle già note: autenticazione a più fattori, privilegi minimi, segmentazione della rete, monitoraggio, formazione del personale”.
Quando si introduce un agente IA in un ecosistema aziendale, però, la questione si sdoppia. L’esperto distingue due piani che, avverte, vengono spesso confusi. “Il primo riguarda la difesa dagli attacchi condotti con questi strumenti, per la quale non servono controlli nuovi, ma quelli esistenti fatti funzionare: identità, rete, endpoint, monitoraggio. Il secondo riguarda l’adozione interna degli strumenti. Le imprese modificano il system prompt per aumentare la produttività o aggiungere contesto aziendale”.
È una leva legittima e utile, che va governata. “Governance e configurazione sono la chiave: quali modelli sono autorizzati, con quali accessi, con quali approvazioni, e chi risponde delle personalizzazioni”.
Sul tema dei guardrail, si introduce il concetto di filiera. I controlli funzionano solo a cascata, lungo tutta la catena. “Il primo anello è il produttore del modello: i guardrail addestrati nel modello sono gli unici che seguono lo strumento ovunque venga usato. Il secondo è chi costruisce il servizio sul modello, come Cursor: istruzioni di sistema, permessi dell’agente, limiti operativi. Il terzo è l’azienda che lo adotta: scelta del modello, accessi minimi, controlli esterni, approvazione umana per le azioni critiche”. Una precisazione da ricordare: “Ogni anello può e deve chiedere garanzie a quello a monte, anche contrattualmente. L’obiettivo”, conclude Risso, “è uno solo: garantire l’uso legittimo di strumenti potenti nati per la produttività dei programmatori, non per operazioni offensive”.
Nuove forme di attacco e responsabilità dei produttori
La domanda ricorrente in questi giorni è se siamo di fronte a una nuova categoria di attacco. Quindi a questo punto è utile una distinzione terminologica. “Il termine corretto è jailbreak, evasione dei guardrail. Le tassonomie di settore lo classificano come una forma di prompt injection: il modello viene indotto a ignorare i propri protocolli di sicurezza. L’analogia con l’ingegneria sociale aiuta a spiegare, ma potrebbe fuorviare. Non si sfrutta la psicologia di una persona, si sfrutta il modo in cui il modello valuta le richieste. E non è una vulnerabilità in senso classico, perché non c’è nulla da correggere con una patch. La distinzione, precisa, cambia la difesa: contro l’ingegneria sociale si forma il personale, contro il jailbreak servono modelli più robusti e controlli fuori dal modello”.
Francesco Trementozzi, cyber security expert di DamoTech, aveva commentato l’episodio il giorno della pubblicazione dei dati. Parlando del contesto: “L’episodio mostra come un contesto falso, in questo caso la scusa di una simulazione, possa aggirare in tempo reale le barriere di sicurezza di un agente di IA. È il segnale che l’IA sta passando da assistente passivo ad agente operativo, e che la difesa si gioca sui guardrail dell’agente e sulla capacità di tenere codice e dati dentro un perimetro controllato”.
Sul fronte delle responsabilità Gabriele Risso è diretto. “L’acquisizione di Anysphere da parte di SpaceX è conclusa: efficace dal 14 agosto 2026, la responsabilità del prodotto è ora di SpaceX. Gli attacchi documentati precedono il closing, ma questo non riduce gli obblighi dell’acquirente”. Tre punti sono fondamentali. “Una posizione pubblica, finora assente, visto che nessuna risposta è arrivata a Reuters. Una revisione del modello di sicurezza del prodotto: quale modello IA, con quali istruzioni e quali permessi. In generale, una due diligence che copra anche il modello di sicurezza dei prodotti acquisiti, non solo conti e proprietà intellettuale, perché chi compra ne eredita i rischi”.
La lezione più ampia riguarda tutte le organizzazioni. “L’intelligenza artificiale moltiplica le capacità di chi la usa, in buona come in cattiva fede. Le precauzioni restano alla portata di ogni azienda: adottare una postura di cyber security avanzata, all’altezza di questi strumenti, e continuare a investire nel personale”.
In concreto, “una postura avanzata significa governare il comportamento dei modelli adottati, verificando che chatbot, agenti e sistemi RAG (Retrieval-Augmented Generation è una tecnica di intelligenza artificiale che migliora le risposte dei modelli linguistici LLM collegandoli a una base di dati esterna e aggiornata, n.d.r.) non possano agire in modo malevolo o non conforme, ed estendere la sicurezza al software che si sviluppa, perché nasca secure-by-design e resiliente a questa generazione di attacchi,
Partecipa alla community