Secondo un’indagine dei SentinelLabs, bisogna sfatare la tesi, finora gettonata, che attribuisce agli LLM poteri taumaturgici grazie ai quali potrebbe inaugurare una nuova era nel campo dei ransomware.
Infatti, “per i difensori il rischio principale non è il ‘super‑malware intelligente’, ma un’avversità che diventa più rapida, più multilingue, più frammentata e rumorosa”, commenta Dario Fadda, esperto di cyber sicurezza e collaboratore di Cybersecurity360.
“La lettura di SentinelLabs è scomoda perché smonta la narrativa da convegno (“nuova era”) e la riporta dove fa male: nelle operations”, avverte
Ecco come mitigare i rischi.
Indice degli argomenti
Gli LLM non rivoluzionano i ransomware, danno solo una marcia in più
I ricercatori dei SentinelLabs ritengono che i modelli linguistici di grandi dimensioni (gli LLM o Large language models) abbiano l’effetto di accelerare il ciclo di vita del ransomware, ma senza trasformarlo in maniera radicale.
“Gli LLM non stanno creando tecniche rivoluzionarie ‘AI-native’ su larga scala”, avverte Sandro Sana: invece, “stanno compressando i tempi e aumentando il volume su fasi già note, ricognizione, phishing, triage dei dati rubati, negoziazione con in più un boost enorme su lingua e comunicazione”.
Tuttavia non c’è alcuna rivoluzione o cambiamento radicale né nelle tattiche né nelle tecniche innovative dove la guida esclusiva è da attribuire all’IA su larga scala.
Probabilmente gli attori di alto livello, che cercano di evitare i vincoli dei provider, preferiscono i modelli Ollama open source self-hosted.
Ma i difensori dovrebbero prepararsi ad affrontare avversari che ottengono aumenti di efficienza graduali, ma veloci.
Infatti il risultato sono “più tentativi, più velocità, più pressione estorsiva. Il vero salto, quindi, non è “tecnico”: è economico e organizzativo”, secondo Sandro Sana.
I tre cambiamenti strutturali impressi dall’AI
L’indagine ha studiato l’impatto dei modelli linguistici di grandi dimensioni (LLM) sulla sicurezza informatica sia per i difensori che per gli avversari.
Nell’ambito dei continui sforzi in questo settore e della consolidata attività di ricerca e monitoraggio degli autori di crimeware, i ricercatori hanno seguito da vicino l’adozione della tecnologia LLM da parte degli operatori di ransomware, osservando che sembrano esserci tre cambiamenti strutturali che si stanno verificando in parallelo:
- l’abbassamento della barriera d’ingresso;
- la frammantazione dell’ecosistema;
- il confine tra APT e crimeware diventa più labile.
La riduzione della soglia d’ingresso
In primo luogo, le barriere all’ingresso continuano ad abbassarsi per coloro che intendono commettere crimini informatici. Gli LLM consentono agli attori con competenze medio-basse di assemblare strumenti funzionali e infrastrutture ransomware-as-a-service (RaaS) scomponendo le attività dannose in prompt apparentemente innocui in grado di eludere i controlli dei provider.
“Se abbassi la soglia d’ingresso e rendi più facile sfornare tooling e micro-infrastrutture, ottieni più attori mediocri ma produttivi, gruppi più frammentati e ‘brand’ che durano poco: meno ‘nomi grossi’ e più rumore, confusione e attribuzione complicata. E i top-tier, prevedibilmente, tenderanno a usare modelli self-hosted per evitare guardrail e tracciamenti”, mette in guardia Sandro Sana.
La frammantazione dell’ecosistema
In secondo luogo, l’ecosistema dei ransomware si sta frammentando. L’era dei cartelli dei mega-brand (LockBit, Conti, REvil) è tramontata sotto la pressione costante delle forze dell’ordine e delle sanzioni.
Al loro posto, assistiamo alla proliferazione di piccoli gruppi di breve durata – Termite, Punisher, The Gentlemen, Obscura – che operano sotto traccia, insieme a un’ondata di imitazioni e false rivendicazioni, come il falso Babuk2 e il confuso marchio ShinyHunters.
Sfuma il confine tra APT e crimeware
In terzo luogo, il confine tra APT e crimeware sta sfumando e diventando sempre più labile.
Attori allineati con gli Stati stanno lavorando in nero come affiliati di ransomware o ricorrendo all’estorsione come copertura operativa, mentre gruppi motivati da ragioni culturali come “The Com” stanno entrando negli ecosistemi degli affiliati, aggiungendo rumore e complicando l’attribuzione, come abbiamo visto con gruppi come DragonForce, Qilin e, in precedenza, BlackCat/ALPHV.
I dettagli
Tutti e tre questi fenomeni stanno accelerando contemporaneamente. Per comprenderne i meccanismi, abbiamo esaminato come i modelli LLM vengono integrati nelle operazioni quotidiane di ransomware.
La comprensione da parte della comunità di intelligence delle minacce di come esattamente gli autori delle minacce integrino gli LLM negli attacchi è molto limitata. Le fonti primarie che forniscono informazioni su questi attacchi sono i team di intelligence dei fornitori di LLM tramite rapporti periodici e, più raramente, le vittime di intrusioni che trovano tracce dell’uso di LLM.
Di conseguenza, è facile interpretare eccessivamente un numero limitato di casi come indicativi di un cambiamento rivoluzionario nelle tecniche degli avversari. Queste conclusioni superano le prove disponibili.
Tuttavia i SentinelLabs ritengono che, sebbene l’uso degli LLM da parte degli avversari sia certamente una tendenza importante, ciò riflette un’accelerazione operativa piuttosto che una trasformazione fondamentale delle capacità degli aggressori.
Gli attacchi con gli LLM e ransomware
Alcune campagne recenti illustrano le nostre osservazioni su come gli LLM vengono utilizzati attivamente e su come possono essere incorporati per accelerare le tecniche degli aggressori:
- attacchi automatizzati tramite Claude Code;
- malware che incorpora chiamate alle API LLM;
- abuso degli LLM ospitati localmente delle vittime;
- sviluppo di exploit basati su LLM;
- ingegneria sociale assistita da LLM.
“Non serve inseguire il ‘ransomware con l’AI’ come se fosse magia nera. Serve accettare che l’avversario è più veloce e più scalabile. E quando l’altro corre, tu vinci solo se riduci la superficie esposta e alzi la resilienza. Il resto è marketing… e quello, purtroppo, non cifra i file: cifra i budget”,
L’automatizzazione degli attacchi via tramite Claude Code
Nell’agosto 2025, il team di Threat Intelligence di Anthropic ha segnalato un attore malintenzionato che utilizzava Claude Code per eseguire una campagna di estorsione altamente autonoma.
Questo attore non solo ha automatizzato gli aspetti tecnici e di ricognizione dell’intrusione, ma ha anche istruito Claude Code a valutare quali dati sottrarre, l’importo monetario ideale del riscatto e a curare le richieste di riscatto per massimizzare l’impatto e convincere le vittime a pagare.
Il prompt dell’autore ha apparentemente guidato Claude ad accettare comandi in russo e ha istruito l’LLM a mantenere le comunicazioni in questa lingua.
Sebbene Anthropic non indichi la lingua finale utilizzata per creare le richieste di riscatto, SentinelLABS ritiene che i prompt successivi abbiano probabilmente generato richieste di riscatto e comunicazioni con i clienti in inglese, poiché gli autori di ransomware in genere evitano di prendere di mira le organizzazioni all’interno della comunità degli stati indipendenti (CSI).
Questa campagna presenta un impressionante grado di automazione abilitata dall’LLM che migliora la sicurezza offensiva, l’analisi dei dati e le capacità linguistiche degli autori.
Sebbene ogni fase potesse essere realizzata da gruppi di ransomware tipici e dotati di risorse adeguate, il flusso di automazione abilitato dal Claude Code richiedeva molte meno risorse umane.
“Il caso Claude Code descritto da Anthropic è emblematico: un attore ha orchestrato una campagna di estorsione altamente automatizzata delegando al modello gran parte del lavoro malevolo. Anche in questo caso non siamo di fronte a un ‘attacco autonomo’ in stile sci‑fi, bensì a una pipeline dove l’AI esegue l’80–90% delle operazioni ripetitive, mentre l’umano resta al timone:,timone tutt’altro che semplice da guidare e da predisporre. La competenza, anche quella per azioni malevole, resta sempre un fulcro importante del mondo IT”, sottolinea Dario Fadda.
Malware che incorpora chiamate alle API LLM
La ricerca di SentinelLABS sulle minacce abilitate da LLM ha portato alla luce MalTerminal, uno strumento PoC che unisce diverse funzionalità, tra cui ransomware e reverse shell, richiedendo a un LLM commerciale di generare il codice.
I resti presenti in MalTerminal suggerivano fortemente che questo strumento fosse stato sviluppato da un ricercatore o da un’azienda specializzata in sicurezza; tuttavia, le funzionalità erano una versione molto preliminare di come gli autori delle minacce incorporeranno prompt dannosi negli strumenti per portare avanti i loro attacchi.
Questo strumento ha aggirato i filtri di sicurezza per distribuire un payload ransomware, dimostrando che gli autori di attacchi ransomware possono superare le barriere di protezione dei provider non solo nelle fasi iniziali dell’attacco, come la ricognizione e il movimento laterale, ma anche nella fase di impatto di un attacco ransomware.
Abuso degli LLM ospitati localmente delle vittime
Nell’agosto 2025, i ricercatori di Google Threat Intelligence hanno identificato esempi di malware stealer denominato QuietVault, che utilizza strumenti di riga di comando AI installati localmente per migliorare le capacità di esfiltrazione dei dati.
Lo stealer basato su JavaScript cerca e sfrutta gli LLM su host macOS e Linux incorporando un prompt dannoso, che li istruisce per cercare in modo ricorsivo i file relativi al portafoglio e i dati di configurazione sensibili nel file system della vittima.
Il prompt indica all’LLM locale di cercare nelle directory utente comuni come $HOME, ~/.config e ~/.local/share, evitando i percorsi di sistema che potrebbero causare errori o richiedere privilegi elevati.
Inoltre, istruisce l’LLM a identificare i file che corrispondono ai modelli associati a vari cryptowallet, tra cui MetaMask, Electrum, Ledger, Trezor, Exodus, Trust Wallet, Phantom e Solflare.
Questo approccio dimostra come gli autori delle minacce si stiano adattando alla proliferazione degli strumenti di intelligenza artificiale sulle workstation delle vittime.
Sfruttando le capacità di comprensione del linguaggio naturale e di ragionamento del file system dell’intelligenza artificiale, il malware è in grado di condurre una ricognizione più intelligente rispetto ai tradizionali algoritmi di corrispondenza dei modelli.
Una volta individuati i file sensibili attraverso l’enumerazione assistita dall’intelligenza artificiale, QuietVault procede con le tradizionali funzioni di furto. Codifica i dati rubati in Base64 e tenta di esfiltrarli tramite repository GitHub appena creati utilizzando credenziali locali.
Sviluppo di exploit basati su LLM
Si è discusso molto sullo sviluppo di exploit basati su LLM e su come l’IA accelererà il ciclo di vita dalla divulgazione delle vulnerabilità allo sviluppo degli exploit.
Al momento della stesura dell’articolo di SentinelLabs, le segnalazioni attendibili di exploit one-day sviluppati con LLM sono state scarse e difficili da verificare, anche se è molto probabile che gli LLM possano aiutare gli attori a prototipare rapidamente parti di codice exploit e supportarli nell’unire parti di codice, ottenendo plausibilmente una versione funzionante e utilizzabile come arma.
Tuttavia, vale la pena notare che lo sviluppo di exploit abilitati da LLM può essere un’arma a doppio taglio: la vulnerabilità React2Shell del dicembre 2025 ha destato allarme quando un exploit PoC è circolato poco dopo che il fornitore ha divulgato il difetto.
Tuttavia, ricercatori credibili hanno presto scoperto che l’exploit non solo non era utilizzabile, ma era stato generato da un LLM. I difensori dovrebbero aspettarsi un aumento del ciclo di abbandono e affaticamento basato sulla rapida proliferazione di exploit abilitati da LLM, molti dei quali sono probabilmente più allucinazioni che armi.
Ingegneria sociale assistita da LLM
L’uso improprio dei marchi dei fornitori di LLM da parte degli attori per promuovere campagne di social engineering rimane una tecnica collaudata e affidabile.
Una campagna condotta nel dicembre 2025 ha utilizzato una combinazione di funzioni di condivisione delle conversazioni LLM in stile chat e ottimizzazione dei motori di ricerca (SEO) per indirizzare gli utenti verso tutorial scritti da LLM che installavano il malware macOS Amos Stealer sul sistema della vittima.
Poiché gli attori hanno utilizzato tecniche di prompt engineering per inserire infrastrutture controllate dagli aggressori nella conversazione in chat insieme alle tipiche fasi di installazione del software macOS, queste conversazioni sono state ospitate sui siti web dei fornitori di LLM e i loro URL sono stati elencati come risultati sponsorizzati dei motori di ricerca sotto il dominio legittimo del fornitore di LLM, ad esempio https://[.]com.
Questi risultati ottimizzati per la SEO contengono conversazioni che istruiscono l’utente a installare lo stealer con il pretesto di un software basato sull’AI o di attività di manutenzione ordinaria del sistema operativo.
Sebbene Amos Stealer non sia apertamente collegato a un gruppo di ransomware, è ben documentato che gli infostealer svolgono un ruolo cruciale nell’ecosistema degli initial access broker (IAB), che alimentano le operazioni di gruppi di ransomware sia piccoli che grandi.
Sebbene gli incidenti reali di ransomware su macOS siano praticamente sconosciuti, le credenziali rubate dai Mac possono essere vendute per consentire l’estorsione o l’accesso ad ambienti aziendali contenenti sistemi con una maggiore predisposizione al ransomware.
Inoltre, le operazioni a sostegno del ransomware e dell’estorsione hanno iniziato a offrire funzionalità di comunicazione basate sull’intelligenza artificiale per facilitare la comunicazione tra aggressori e vittime.
Il caso Global RaaS
A metà del 2025, Global Group RaaS ha iniziato a pubblicizzare la sua “chat assistita dall’intelligenza artificiale”. Questa funzione sostiene di analizzare i dati delle aziende vittime, compresi i ricavi e il comportamento pubblico storico, e quindi di adattare la comunicazione in base a tale analisi.
Sebbene Global RaaS non si limiti a settori specifici, fino ad oggi i suoi attacchi hanno colpito in modo sproporzionato i settori sanitario, edile e manifatturiero.
Quello che si osserva è un modello di LLM che accelera l’esecuzione, consentendo l’automazione attraverso prompt e vibe-coding, semplificando le attività ripetitive e traducendo il linguaggio parlato al volo.
Come mitigare i rischi
La diffusa disponibilità di modelli linguistici di grandi dimensioni sta accelerando i tre cambiamenti strutturali che abbiamo identificato: abbassamento delle barriere all’ingresso, frammentazione dell’ecosistema e convergenza delle operazioni APT e crimeware.
Questi progressi rendono più veloci i gruppi di ransomware competenti ed estendono la loro portata attraverso lingue e aree geografiche, consentendo al contempo ai principianti di aumentare le loro capacità operative scomponendo compiti complessi in passaggi gestibili che i modelli sono pronti ad assistere.
Gli attori malintenzionati adottano questo approccio sia per necessità tecnica sia per nascondere le loro intenzioni. Man mano che gli attori di minaccia di alto livello migrano verso modelli self-hosted e non censurati, i difensori perderanno la visibilità e il vantaggio che attualmente offrono le protezioni dei provider.
Con gli attuali LLM, il rischio non è rappresentato da malware superintelligenti, ma da estorsioni industrializzate con una selezione più intelligente degli obiettivi, richieste personalizzate e tecniche multipiattaforma che complicano la risposta.
I difensori dovranno quindi adattarsi a un panorama delle minacce più veloce e rumoroso, in cui è il ritmo operativo, e non le nuove capacità, a definire la sfida.
“Non serve inseguire il ‘ransomware con l’AI’ come se fosse magia nera. Serve accettare che l’avversario è più veloce e più scalabile. E quando l’altro corre, tu vinci solo se riduci la superficie esposta e alzi la resilienza. Il resto è marketing… e quello, purtroppo, non cifra i file: cifra i budget”, conclude Sandro Sana.
Ogni impresa che implementa LLM, AI e automazione agentica dovrà infine implementare un AI gateway. Inoltre il tradizionale SOC (Security Operation Center) si sta progressivamente evolvendo verso il cosiddetto Agentic SOC, ma presto potrebbe affermarsi il modello del Multi-Domain Security Operations Center (MD-SOC).
