Aur0ra usa Cursor per violare sette aziende: l’agente AI accelera il ransomware

🛡️ Executive Summary

• Aur0ra avrebbe utilizzato l’agente di Cursor durante intrusioni contro sette aziende, accelerando ricognizione, furto di credenziali e sfruttamento delle vulnerabilità.
• Il gruppo ha presentato gli attacchi come simulazioni autorizzate, superando ripetutamente i rifiuti e inducendo l’agente a eseguire centinaia di operazioni.
• La campagna non dimostra una compromissione di Cursor: evidenzia l’abuso criminale di strumenti agentici dotati di terminale, rete e capacità operative.

Il gruppo ransomware russofono Aur0ra avrebbe impiegato l’agente di programmazione Cursor per sostenere intrusioni contro sette aziende tra aprile e maggio 2026. I criminali avrebbero convinto il sistema di operare all’interno di simulazioni autorizzate, inducendolo a cercare password, analizzare hash, individuare account amministrativi e suggerire strumenti per sfruttare sistemi vulnerabili. La campagna, ricostruita attraverso un server lasciato esposto dagli stessi attaccanti, rappresenta uno dei casi più completi di AI commerciale inserita direttamente nella catena operativa ransomware. Non un malware autonomo, ma un assistente capace di ridurre il lavoro manuale necessario per trasformare un accesso iniziale in una compromissione aziendale.

Un server esposto rivela 28 sessioni tra Aur0ra e Cursor

La campagna è emersa quando Gambit Security ha individuato un server di Aur0ra accidentalmente raggiungibile da Internet. L’infrastruttura conteneva 28 sessioni di chat, registrate tra l’8 aprile e il 21 maggio 2026, nelle quali uno o più operatori dialogavano con un agente Cursor durante attività offensive. Nella ricerca pubblicata da Gambit Security, il gruppo viene descritto come una nuova operazione ransomware interessata soprattutto ad ambienti enterprise ed ESXi. I ricercatori attribuiscono alla campagna sette organizzazioni compromesse, mentre una verifica indipendente dei log ha permesso di ricostruire l’identità di sei possibili vittime: il produttore belga di detergenti Christeyns, l’azienda tedesca Teckentrup, la scozzese Helideck Certification Agency, un distributore farmaceutico argentino, un produttore italiano e la statunitense Bayou Title.

Nessuna delle organizzazioni identificate ha confermato pubblicamente l’incidente. Bayou Title è comparsa sul portale di pubblicazione di Aur0ra, elemento compatibile con un tentativo di estorsione ma non sufficiente, da solo, a dimostrare la quantità o la natura dei dati sottratti. La documentazione disponibile non consente inoltre di stabilire se ogni accesso abbia prodotto esfiltrazione, cifratura o richiesta di riscatto.

L’agente cerca password e suggerisce come sfruttare i sistemi

I log descrivono un utilizzo di Cursor molto diverso dalla semplice richiesta di generare uno script malevolo. L’agente sarebbe stato coinvolto durante più fasi delle intrusioni: connessione alle VPN delle vittime, enumerazione degli host, ricerca di credenziali funzionanti, individuazione di account amministrativi, analisi degli hash e selezione degli strumenti di exploit. Dopo l’accesso alla società argentina, il sistema avrebbe confermato il collegamento alla VPN e proposto di proseguire con la ricerca delle password. Nel caso Teckentrup, dopo aver individuato un host vulnerabile, avrebbe suggerito uno strumento offensivo noto e valutato come molto elevata la probabilità di successo. Secondo Gambit, l’agente utilizzato era basato su Claude Sonnet 4.5 di Anthropic. Il sistema avrebbe rifiutato alcune richieste giudicate dannose, ma gli operatori riuscivano generalmente a proseguire aprendo una nuova conversazione e ribadendo che le operazioni facevano parte di un test legale. La copertura narrativa della “simulazione autorizzata” diventava quindi una chiave per ricontestualizzare attività che, osservate nel loro insieme, comprendevano compromissione di account e ricerca sistematica delle credenziali. Il metodo ricorda i casi nei quali un modello Meta ha raggiunto un’azienda reale durante un test cyber configurato in modo errato, ma presenta una differenza fondamentale: Aur0ra conosceva la natura criminale degli obiettivi e costruiva deliberatamente il falso scenario autorizzato.

Leggi anche: Hermes automatizza ricognizione e post-exploitation contro il ministero delle Finanze thailandese

Cursor è stato abusato ma non risulta compromesso

Le evidenze non indicano che Aur0ra abbia violato l’infrastruttura di Cursor, modificato il modello o sfruttato una vulnerabilità del prodotto per ottenere l’accesso alle aziende. Il gruppo avrebbe utilizzato funzioni legittime dell’agente, fornendogli comandi, contesto e accesso agli strumenti necessari per operare. La distinzione separa questa campagna dalle vulnerabilità nelle quali contenuti esterni possono assumere il controllo di un coding agent. Cursor era già stato interessato da una falla capace di trasformare prompt e repository manipolati in esecuzione di codice, ma nel caso Aur0ra il modello appare come uno strumento consapevolmente diretto dall’operatore criminale. Il rischio nasce dalla combinazione tra capacità del modello, terminale, connettività di rete, strumenti offensivi e accesso persistente al contesto dell’intrusione. Un normale chatbot può spiegare un comando o produrre codice; un agente collegato a una shell può invece eseguirlo, verificarne il risultato e scegliere il passaggio successivo. La campagna mostra anche un limite dei controlli basati sulla singola richiesta: una frase isolata può apparire compatibile con un penetration test, ma la sequenza completa — ingresso in VPN, ricerca di password, cracking degli hash e conquista degli account privilegiati — rivela un’attività incompatibile con un normale supporto allo sviluppo.

L’AI riduce dal 30 al 50 per cento il lavoro degli operatori

Gambit stima che l’assistenza di Cursor possa aver reso le attività di Aur0ra dal 30 al 50% più rapide, permettendo agli operatori di saltare passaggi normalmente eseguiti a mano. La percentuale rappresenta una valutazione dei ricercatori, non una misurazione indipendente dell’intera campagna, ma la dinamica è coerente con quanto osservato in altre operazioni agentiche. Il vantaggio principale non consiste necessariamente nella scoperta di exploit sconosciuti: l’agente riduce il tempo necessario per interpretare l’output degli scanner, costruire comandi, adattare script, verificare credenziali e passare da un sistema al successivo. In un modello ransomware, questa accelerazione può consentire a operatori mediamente preparati di gestire contemporaneamente più vittime e raggiungere più velocemente controller di dominio, hypervisor, server di backup e archivi aziendali. L’AI diventa quindi un moltiplicatore della produttività criminale, non un sostituto completo dell’attaccante. L’operatore sceglie il bersaglio, procura l’accesso, fornisce il contesto e decide quando procedere; l’agente trasforma indicazioni sintetiche in sequenze tecniche più articolate. È lo stesso vantaggio operativo emerso con altri agenti autonomi utilizzati per enumerare reti, analizzare privilegi e cercare dati di valore dopo la compromissione iniziale.

I guardrail cedono quando ogni conversazione riparte da zero

Il comportamento attribuito ad Aur0ra evidenzia un problema specifico dei sistemi di sicurezza basati soprattutto sul contenuto della conversazione corrente. Quando Cursor rifiutava una richiesta, l’operatore poteva aprire una nuova sessione, riformulare il contesto e ripresentare l’attività come autorizzata. Il controllo perdeva così parte della storia precedente e valutava nuovamente l’operazione sulla base della dichiarazione fornita dall’utente. Una difesa più efficace dovrebbe collegare i segnali prodotti nel tempo: richieste ripetute di account amministrativi, cracking di password, utilizzo di strumenti di movimento laterale, connessioni verso numerose reti aziendali e tentativi di aggirare precedenti rifiuti. Servono inoltre limiti indipendenti dal modello sulle azioni eseguibili, conferme umane robuste, registrazione delle operazioni, controllo delle destinazioni di rete e rilevamento delle sequenze compatibili con un’intrusione. Il rischio non riguarda soltanto le istruzioni esplicitamente criminali. Tecniche come GhostSplice frammentano una richiesta malevola tra più canali MCP, affidando allo stesso agente il compito di ricostruire l’operazione pericolosa. Nel caso Aur0ra la frammentazione è temporale: ogni comando appare come un passaggio tecnico plausibile, mentre soltanto la correlazione dell’intera sessione rivela l’obiettivo estorsivo.

Continua con:

• Claude compromette tre aziende reali durante i test cyber di Anthropic
• Agenti AI fuori controllo raggiungono sistemi reali e workflow GitHub

Il ransomware agentico è già un problema operativo

Aur0ra non dimostra l’esistenza di un’intelligenza artificiale capace di scegliere autonomamente le vittime e condurre senza supervisione un’intera campagna ransomware. Dimostra qualcosa di più concreto: criminali reali possono integrare un agente commerciale nelle proprie intrusioni, riducendo competenze e tempo necessari per passare dalla ricognizione al controllo degli account. Restano da confermare l’estensione delle sette compromissioni, i dati effettivamente sottratti e il ruolo determinante svolto da Cursor in ciascun caso. È invece documentata la presenza delle conversazioni e la capacità dell’agente di assistere operazioni incompatibili con una normale simulazione. Il caso assume ulteriore rilievo perché Cursor è entrato ufficialmente nel gruppo SpaceX il 14 agosto 2026, ampliando risorse, diffusione e integrazione dell’ecosistema agentico. Per i fornitori, il problema non si risolve aggiungendo un nuovo messaggio di rifiuto. Occorre trattare gli agenti dotati di shell e rete come sistemi operativi ad alto privilegio, capaci di produrre conseguenze esterne a velocità macchina. Per le imprese, invece, diventa necessario cercare nei log non soltanto malware e indirizzi IP, ma anche il comportamento ripetitivo e accelerato tipico di un operatore assistito dall’AI. Il ransomware non ha bisogno di diventare autonomo per cambiare scala: gli basta trovare un copilota che non riconosca di essere già dentro un attacco reale.