Come l’AI sta cambiando gli attacchi cyber e come difendersi

Un gruppo legato agli interessi dello Stato cinese ha usato agenti di intelligenza artificiale (con il framework specializzato Artex) per colpire centinaia di organizzazioni e, in diversi episodi, ottenere accessi privilegiati al cloud in meno di tre ore. Lo riporta Microsoft qualche giorno fa.

Un’altra indagine, di Sophos, documenta dodici agenti AI impiegati per sviluppare e provare software offensivo.

Intanto la crisi PHP2Shell mostra che anche le falle rimaste per anni nel codice possono diventare sfruttabili in tempi molto più brevi grazie all’AI utilizzata dai ricercatori.

Le tre vicende, emerse o tornate al centro dell’attenzione nell’ottobre 2026, descrivono la trasformazione degli attacchi informatici con AI.

Al Ciso Awards di Nextwork360 è stato detto con chiarezza: l’AI è enorme fattore di discontinuità che cambia tutta la catena di un attacco (e di conseguenza delle difesa). Il cambiamento riguarda soprattutto il tempo: ricognizione per ricerca vulnerabilità, sviluppo di codice, ricerca di credenziali nel materiale trafugato e tentativi di accesso. Tutti, velocizzati e automatizzati dall’AI, possono procedere in parallelo, senza aspettare che un operatore umano svolga ogni singolo passaggio.

Il margine tra il primo segnale di intrusione e l’eventuale compromissione si sta restringendo. A poche ore, nella migliore delle ipotesi.

Sì: in generale molti esperti e forse anche qualche non esperto l’ha capito che l’AI sta cambiando tutto.

Ciò che forse non è chiaro fino in fondo – e lo sta diventando di più nelle ultime settimane – è la misura di questa trasformazione. Rapida e incessante.

Fino a pochi mesi fa l’AI era usata solo a supporto dell’attività, in modo sporadico, da attaccanti armati di chatbot tipo Chatgpt o Claude.

Adesso affidano all’AI azioni automatizzate con strumenti specializzati e open source.

Che cosa documentano i principali casi di attacchi informatici con AI nel 2026

Fonti: Microsoft, Sophos, Gambit Security, Google Threat Intelligence Group, PHP Foundation, AWS; luglio-ottobre 2026.

Attacchi informatici con AI: da assistente a operatore della rete

Vediamo il cambiamento. La prima generazione di abusi dell’AI riguardava soprattutto la produzione di contenuti: email di phishing più credibili, traduzioni per colpire persone in molti Paesi, codice malevolo o istruzioni tecniche. Nel modello agentico il software dispone anche di strumenti con cui eseguire operazioni: consultare sistemi, lanciare controlli, interpretare risultati e pianificare il tentativo successivo.

Un esempio chiarisce la differenza. Un chatbot può suggerire a un criminale come interpretare un errore restituito da uno strumento di scansione. Un agente, se collegato allo strumento e autorizzato dall’operatore, può eseguire la scansione, leggere l’errore, correggere la procedura e proseguire. Il ciclo viene ripetuto, anche su più obiettivi contemporaneamente. Il modello linguistico prende decisioni operative entro i limiti dei programmi e dei privilegi che gli sono stati assegnati.

La conseguenza è un abbassamento del costo marginale di molti tentativi. La ricerca di bersagli, i controlli di vulnerabilità, la prova delle credenziali e l’analisi dei documenti rubati richiedono meno interventi manuali. Certo, non tutto è automatizzato davvero e non tutto è AI. Restano indispensabili risorse, accessi iniziali, strumenti funzionanti e competenze per gli attacchi più difficili: l’autonomia degli agenti varia molto tra i casi documentati.

ARTEX e Storm-0940: la campagna attribuita da Microsoft a un gruppo filocinese

Il caso più significativo delle ultime settimane arriva dall’analisi di Microsoft Threat Intelligence del 21 ottobre 2026. A partire almeno da settembre, l’attore identificato come Storm-0940, che Microsoft considera allineato allo Stato cinese, ha usato ARTEX contro organizzazioni dei settori manifatturiero, tecnologico, energetico, finanziario, pubblico e della difesa.

ARTEX è un framework open source per penetration test automatizzati, composto da agenti basati su modelli linguistici. Può coordinare ricognizione e verifiche successive, mantenendo una rappresentazione delle risorse e delle vulnerabilità identificate. Nato nell’ambito degli strumenti offensivi di sicurezza, nelle mani di un attaccante rende più rapida una sequenza che prima richiedeva continue scelte dell’operatore.

Microsoft collega Storm-0940 anche alla compromissione della catena di fornitura che ha coinvolto applicazioni cloud di ConnectWise. Qui il problema principale è il rapporto di fiducia tra un’applicazione di terzi e i clienti: un servizio autorizzato a operare in Microsoft 365 possiede credenziali e permessi propri. Se un aggressore ne assume il controllo, può provare a utilizzare quegli accessi presso i tenant clienti, senza attendere che un dipendente effettui il login.

Dopo l’acquisizione di credenziali applicative, secondo Microsoft ARTEX ha accelerato i tentativi di autenticazione su oltre 2.250 tenant. In parte degli ambienti raggiunti gli agenti sono passati alla ricognizione mediante Microsoft Graph, alla modifica delle credenziali applicative e a tentativi di estensione dei privilegi. Quest’ultima operazione è particolarmente pericolosa: una credenziale aggiunta ad altra identità può mantenere l’accesso anche dopo la disattivazione dell’integrazione originariamente compromessa.

La stessa indagine ha rilevato dal 10 al 14 ottobre oltre 151.000 autenticazioni fallite in una campagna di password spraying che prendeva di mira 327 account presso otto organizzazioni, con un picco di 2.900 errori al minuto. Quella specifica sequenza, osserva Microsoft, non ha prodotto autenticazioni riuscite. Va distinta dall’attività successiva tramite credenziali delle applicazioni ConnectWise, nella quale sono state osservate operazioni in tenant clienti. Microsoft segnala inoltre diversi casi, nella campagna più ampia, in cui il passaggio dal primo targeting ai privilegi cloud ha richiesto meno di tre ore.

Per un’impresa, la lezione è duplice: le identità delle applicazioni sono parte del perimetro di sicurezza e un numero elevato di allarmi può arrivare quando l’attaccante ha già terminato la sua prima fase. L’indagine di Microsoft, però, precisa che la presenza di un’applicazione interessata, o persino un’autenticazione riuscita, da sola non prova l’esfiltrazione di informazioni.

Sophos: dodici agenti AI per sviluppare attacchi e aggirare le difese

La ricognizione è solo una fase. Un’altra richiede di preparare strumenti efficaci contro le difese della vittima. Nel Sophos AI Security Report 2026, pubblicato a luglio, la società racconta la campagna STAC6994, osservata dentro la rete di un proprio cliente.

Gli aggressori avevano organizzato un’attività di sviluppo software utilizzando circa dodici agenti AI per scrivere e sottoporre a test strumenti contro le protezioni di endpoint di Sophos, CrowdStrike e Microsoft Defender. Secondo Sophos, furono elaborati quasi 80 moduli e oltre 70 tecniche di elusione. Un lavoro che avrebbe impegnato operatori umani per settimane sarebbe stato concentrato in pochi giorni.

Il punto innovativo è il ciclo di prova e correzione: gli agenti producono varianti, misurano gli effetti contro i controlli di sicurezza e riprovano. Sophos riferisce di avere intercettato le attività e contrastato gli attacchi prima di un impiego su larga scala.

La società aveva espresso una valutazione più prudente nel Sophos Active Adversary Report 2026, basato su 661 casi di incident response e difesa gestita tra novembre 2024 e ottobre 2025: le indagini non mostravano ancora una trasformazione generale delle tecniche, oltre all’aumento di velocità e qualità del social engineering. Le evidenze successive del 2026 registrano quindi un’evoluzione operativa, mentre l’analisi dei casi reali continua a mostrare il ruolo decisivo delle vecchie debolezze di identità.

Nello stesso campione Sophos attribuisce infatti a compromissioni di identità il 67% degli incidenti; la carenza di autenticazione multifattore emerge nel 59% dei casi. Questo dato, riferito ai casi analizzati nel 2024-2025, spiega perché l’AI stia potenziando soprattutto il furto e l’abuso di credenziali esistenti invece di sostituire improvvisamente tutti i metodi tradizionali.

Il ransomware Aurora e l’agente di coding dentro la rete della vittima

L’uso di un agente AI non si esaurisce nella fase di preparazione. Un’inchiesta di Gambit Security del 27 agosto 2026 ha trovato sessioni di Cursor Agent utilizzate da un operatore del ransomware Aurora in dieci organizzazioni tra l’8 aprile e il 21 maggio.

L’operatore forniva all’agente credenziali o una via di ingresso già disponibile, poi lo incaricava di esaminare la rete e verificare i privilegi ottenuti. In alcuni casi indicava lo strumento; in altri sceglieva un obiettivo e lasciava al sistema il compito di proporre e provare i passaggi. Molti comandi fallivano al primo tentativo, ma l’agente poteva correggerli e ripetere l’operazione, talvolta raggiungendo lo scopo.

Si trattava di una collaborazione operativa tra criminale e AI: l’essere umano manteneva il controllo di alcune scelte e impartiva limitazioni, mentre il software accelerava le verifiche quotidiane di movimento laterale. La stessa analisi documenta strumenti ransomware per ambienti VMware ESXi. Il caso avvicina l’assistenza al coding all’esecuzione concreta dell’intrusione, pur senza dimostrare che l’intera campagna fosse autonoma.

Ricercatori Sophos confermano al Wall Street Journal il 23 ottobre l’evoluzione dell’uso dell’AI da parte di Aurora e il ricorso a modelli differenti. C’è davvero stato un passaggio dall’uso dei modelli per produrre codice al loro impiego durante operazioni in corso.

Gli Stati nell’offensiva: spionaggio, ricognizione e malware adattivo

Il caso Storm-0940 mostra la possibile convergenza tra agenti AI e spionaggio. Le analisi su altri attori di matrice statale ampliano la prospettiva. Il Google Threat Intelligence Group, nel rapporto dell’8 settembre, descrive gruppi legati alla Cina, alla Russia e alla Corea del Nord che utilizzano modelli per preparare esche mirate, sviluppare malware, risolvere problemi tecnici e coordinare fasi dell’attacco.

Google riferisce anche di avere osservato, nel secondo trimestre 2026, una campagna in cui da una risorsa cloud compromessa si è passati alla preparazione e all’esecuzione di un’operazione massiva di raccolta delle credenziali in meno di sei ore. In questo tipo di azione la conquista iniziale del sistema e i privilegi disponibili sono la condizione che rende possibile l’automazione delle fasi successive.

Il rapporto di threat intelligence pubblicato da Anthropic nel settembre 2026 aggiunge due elementi. Una campagna di spionaggio attribuita con cautela a un attore russo coerente con Midnight Blizzard ha utilizzato workflow AI per preparare infrastrutture, raccogliere credenziali, esfiltrare dati e modificare ripetutamente malware individuato dalle protezioni. Un altro caso documenta operatori basati in Cina che avevano organizzato catene di ricerca sulle vulnerabilità con assistenti capaci di analizzare codice, formulare ipotesi e testarle.

Queste analisi mostrano un’evoluzione dalla domanda occasionale al modello linguistico alla pipeline offensiva persistente, nella quale le informazioni raccolte in una sessione alimentano quelle successive.

Quando i criminali colpiscono gli agenti AI: supply chain e furto di account

Gli strumenti AI sono anche un nuovo bersaglio. Un agente di coding legge codice, istruzioni di progetto e dipendenze scaricate da repository esterni. Se quelle fonti sono state alterate da un aggressore, il sistema può ricevere istruzioni malevole e trasformare in operazioni concrete dati che avrebbe dovuto soltanto analizzare.

Google Threat Intelligence Group attribuisce al gruppo criminale UNC6780, noto anche come TeamPCP, una serie di compromissioni della supply chain open source avviate dal marzo 2026. I ricercatori hanno identificato account di sviluppatori sottratti, componenti di integrazione MCP distribuiti in versioni manipolate e file di progetto contenenti istruzioni per condizionare gli assistenti AI. Il malware DUSTMAKER, secondo Google, puntava sia al furto delle credenziali sia a modificare il comportamento degli strumenti di coding e dei controlli di sicurezza basati su modelli linguistici.

Il meccanismo si chiama prompt injection indiretta: il comando dell’aggressore viene nascosto in un documento, in un file di configurazione o in altro contenuto che l’agente deve leggere. Se il sistema interpreta quel contenuto come un ordine operativo anziché come dati provenienti da una fonte esterna, può attivare strumenti con i permessi dell’utente o dell’ambiente di sviluppo. La difesa riguarda quindi anche il controllo delle dipendenze, dei connettori e dei confini di autorizzazione dell’agente.

Un secondo fronte è il furto di credenziali dei servizi AI. Nel rapporto di settembre Google descrive la compravendita di account a pagamento e il fenomeno del cosiddetto LLMjacking: risorse cloud e quote di calcolo sottratte alle vittime e usate per attività altrui. Il Wall Street Journal racconta il caso di un utente di OpenCode che ha scoperto addebiti non autorizzati per 449 dollari su servizi AI dopo l’abuso di credenziali che aveva conservato nella piattaforma. Gli strumenti precisi impiegati dai responsabili di questo episodio non sono stati identificati.

La stessa AI continua poi ad aiutare il social engineering. Google riferisce che nel 2026 gli operatori di Outsider Enterprise, una rete criminale cinese che distribuiva kit di phishing e imitazione di marchi affidabili, hanno usato Gemini per sviluppare codice e ampliare le campagne. Il vantaggio per il criminale nasce dalla combinazione di truffe tradizionali, contenuti più convincenti e strumenti capaci di ripetere operazioni su molti account.

PHP2Shell: l’intelligenza artificiale scopre falle che possono usare anche i criminali

L’altra faccia della trasformazione riguarda la scoperta delle vulnerabilità. Le due falle critiche di PHP, CVE-2026-109618 e CVE-2026-109619, consentono in particolari condizioni l’esecuzione remota di codice senza autenticazione. Il rilascio delle correzioni del 21 ottobre 2026 ha imposto una corsa agli aggiornamenti per i siti e le applicazioni che utilizzano versioni esposte del linguaggio.

La ricostruzione della PHP Foundation è istruttiva. Segnali del problema nella gestione della memoria erano emersi già da un controllo del codice nel 2024, ma allora mancava una via concreta per dimostrare l’esecuzione remota. Nell’agosto 2026 i ricercatori di Calif, e in maniera indipendente OpenAI e Wiz, hanno comunicato nuovi risultati al team PHP, chiarendo la reale gravità delle falle.

Il gruppo Wiz Research spiega di avere impiegato strumenti AI per esplorare le condizioni del difetto, sviluppare e adattare verifiche tecniche su diverse applicazioni. La stessa ricostruzione di OpenAI attribuisce un ruolo ai modelli nelle ricerche condotte nell’iniziativa Patch the Planet. Il contributo dell’AI riguarda qui il lavoro di ricercatori che hanno segnalato le falle per farle correggere; dai dati pubblicati non discende che gli attacchi successivi siano stati realizzati con quegli stessi agenti.

La scala del problema richiede un’altra precisazione. PHP viene utilizzato, secondo le stime citate da Wiz, da circa il 70% dei siti web. È un’indicazione della diffusione del linguaggio, non un conteggio dei siti effettivamente vulnerabili o compromessi: l’esposizione concreta dipende dalla versione installata, dalla configurazione e dal comportamento dell’applicazione.

Che i tentativi criminali fossero già iniziati prima delle patch è documentato da Amazon Threat Intelligence. La telemetria della rete di honeypot MadPot mostra un tentativo il 17 ottobre, quattro giorni prima della divulgazione pubblica, e altri tentativi il 21 ottobre. Amazon rileva che l’AI riduce il lavoro necessario per ricavare un possibile exploit dalle differenze tra versioni del codice e dagli avvisi di sicurezza. Non attribuisce tuttavia il tentativo del 17 ottobre a un agente AI e non ne certifica la riuscita su un sistema di produzione.

Il quadro delle compromissioni è più incerto di quello delle scansioni. Il 22 ottobre Sophos ha corretto una propria segnalazione iniziale: una verifica successiva ha mostrato tentativi falliti, bloccati dalle protezioni, senza evidenza di accessi riusciti nei sistemi osservati. Sophos riferisce inoltre che produrre un exploit funzionante risultava difficile anche usando l’AI. Anche Cloudflare ha segnalato e contrastato traffico offensivo, precisando che le regole WAF integrano, ma non sostituiscono, le patch.

Le versioni PHP ufficiali con le due correzioni sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35, indicate nell’avviso del team PHP. Per i sistemi mantenuti tramite pacchetti di distribuzioni Linux o contratti di supporto, gli amministratori devono verificare eventuali backport del fornitore. Il 23 ottobre PHP ha inoltre pubblicato un avviso informativo su CVE-2026-115560, problema distinto che richiede una combinazione insolita di configurazione e codice applicativo: in quel caso viene consigliato di disabilitare temporaneamente session.upload_progress.enabled nei contesti pertinenti, in attesa della successiva release ordinaria.

Per entrambi i difetti originari PHP2Shell, l’aggiornamento resta la soluzione completa. Un sito WordPress aggiornato nei plugin o nel tema può ancora utilizzare un runtime PHP vulnerabile: la verifica va effettuata sul linguaggio eseguito dal server. Un approfondimento di Cybersecurity360 segue le patch e le misure pratiche per gli amministratori.

La finestra per difendersi si riduce: i dati Google sulle vulnerabilità

PHP2Shell è un caso estremo, ma si inserisce in una tendenza più ampia. Nella ricerca Vulnerability Discovery and Exploitation Trends in the AI Era, pubblicata il 30 settembre 2026, Google Threat Intelligence Group confronta le vulnerabilità divulgate e lo sfruttamento osservato tra gennaio 2025 e agosto 2026.

Il rapporto rileva che le vulnerabilità con sfruttamento osservato nel mondo reale passano da una media di 10,5 al mese nel 2025 a circa 18 al mese nei primi otto mesi del 2026. In valori assoluti Google ha registrato 127 vulnerabilità sfruttate nell’intero 2025 e 141 fra gennaio e agosto 2026. L’aumento è reale nella telemetria analizzata, mentre le cause comprendono fattori molteplici, dalla selezione dei bersagli alle campagne degli attaccanti: attribuirlo integralmente all’AI sarebbe improprio.

Secondo Google, anche il numero delle vulnerabilità divulgate è cresciuto, da 5.045 in gennaio 2026 a 10.740 in agosto. Una parte di questo aumento riflette però cambiamenti nei processi di registrazione delle CVE; solo una piccola frazione delle vulnerabilità pubblicate risulta sfruttata. Per una strategia efficace conta prioritizzare i sistemi esposti e le falle per cui esistono indicazioni di sfruttamento, oltre a migliorare la capacità di intervenire in tempo.

Come difendersi dagli attacchi informatici con AI: le priorità operative

Gli agenti aggressivi accelerano soprattutto le operazioni già note agli analisti. Per questo le risposte più utili riguardano identità, vulnerabilità esposte, registri degli eventi e capacità di contenimento. La novità consiste nell’adattare tempi e copertura dei controlli a campagne che possono proseguire senza interruzioni.

Le azioni prioritarie per imprese, fornitori cloud e SOC

Raccomandazioni ricavate da Microsoft Threat Intelligence, Sophos, Amazon Threat Intelligence e Mandiant, 2026. La priorità effettiva dipende dall’esposizione dei sistemi.

Per gli amministratori Microsoft 365 interessati dal caso ConnectWise, le indicazioni sono ancora più specifiche. Microsoft chiede di mantenere disabilitate le connessioni applicative interessate finché il fornitore non autorizzi formalmente il ripristino, conservare prima le evidenze e controllare le autenticazioni delle identità applicative e le operazioni Microsoft Graph almeno dal 15 ottobre, estendendo l’esame ai primi giorni del mese quando i log lo consentono. Le applicazioni non vanno cancellate d’impulso, perché potrebbero servire nelle indagini.

Per PHP2Shell, Amazon raccomanda di cercare nei log da almeno il 17 ottobre richieste HTTP sospette, processi inattesi e modifiche anomale ai file, oltre a installare le correzioni. Le regole dei firewall applicativi, le firme per gli exploit e i controlli sugli upload possono ridurre il rischio nel tempo necessario a completare il lavoro, ma vanno verificati sulle singole architetture e conservano carattere temporaneo.

Infine va protetta la nuova superficie creata dalle aziende stesse. Un agente di coding o un assistente collegato a repository, ticket, ambienti cloud e segreti aziendali può diventare un ponte tra servizi diversi. Privilegi minimi, credenziali separate, autorizzazioni circoscritte e audit delle operazioni limitano il danno anche quando una chiave o un account vengono sottratti. Google Threat Intelligence ha rilevato nel 2026 un interesse crescente dei criminali per gli account di servizi AI e per il consumo illegittimo di risorse di calcolo.

Il punto di svolta: attacchi più rapidi, ma ancora osservabili

Le indagini del 2026 mostrano una convergenza: gruppi criminali e attori legati agli Stati possono oggi trasformare modelli linguistici in strumenti operativi persistenti, capaci di concatenare compiti e ridurre il tempo richiesto per l’offensiva. Le innovazioni maggiori emergono nei cicli di ricognizione, preparazione degli exploit e verifica delle difese, mentre credenziali, applicazioni fidate e server non aggiornati restano i bersagli concreti.

La corsa non è perduta per chi difende. Gli attacchi continuano a produrre eventi: autenticazioni, modifiche dei privilegi, accessi alle API, processi avviati, trasferimenti di dati. Il compito è rilevarli e interromperli prima che si concatenino. In un contesto nel quale un aggressore può comprimere in ore operazioni una volta distribuite su giorni, questa velocità di risposta diventa una parte essenziale della sicurezza.