Google: gli attacchi AI diventano autonomi e comprimono i tempi della difesa

🛡️ Executive Summary

• Google osserva framework multi-agente capaci di pianificare, correggere errori, ruotare IP ed eseguire campagne offensive con supervisione umana drasticamente ridotta.
• Un attaccante ha compromesso un ambiente cloud e costruito in meno di sei ore una campagna che ha raccolto migliaia di credenziali.
• Supply chain, coding assistant, modelli proprietari, prompt, API key e capacità cloud diventano contemporaneamente strumenti offensivi e nuovi obiettivi da proteggere.

Il salto dall’uso dell’intelligenza artificiale come semplice assistente alla costruzione di attacchi semi-autonomi è ormai osservabile nelle operazioni reali. Nel nuovo GTIG AI Threat Tracker pubblicato l’8 settembre 2026, Google Threat Intelligence Group descrive attori criminali e gruppi collegati a Stati che stanno passando dal prompting manuale a framework agentici capaci di orchestrare più fasi della kill chain. Il dato più significativo arriva da un incidente seguito da Mandiant: dopo la compromissione di una risorsa cloud, un attore ha pianificato, costruito ed eseguito in meno di sei ore una campagna automatizzata per la raccolta massiva di credenziali. La variabile che cambia non è soltanto la qualità del malware, ma soprattutto la velocità con cui ricognizione, troubleshooting ed esecuzione possono concatenarsi senza aspettare continuamente un operatore umano.

Dalla domanda al modello alla macchina che decide il passaggio successivo

Il cambiamento individuato da Google riguarda la struttura operativa dell’attacco. L’automazione tradizionale esiste da decenni: scanner, botnet, exploit kit e script possono eseguire migliaia di operazioni senza supervisione. Un agente AI aggiunge però una proprietà diversa, perché può ricevere uno stato, interpretarlo, scegliere un’azione, valutarne il risultato e modificare la strategia quando qualcosa non funziona. GTIG afferma di aver osservato avversari passare dalle semplici interrogazioni agli LLM a sistemi nei quali l’AI entra in più punti consecutivi dell’attacco, riducendo drasticamente la cosiddetta human-in-the-loop latency, cioè il tempo perso nell’attesa che una persona interpreti l’output di uno strumento e decida manualmente cosa fare dopo. Un gruppo di cyber spionaggio collegato alla Repubblica Popolare Cinese ha utilizzato Gemini per progettare un framework di penetration testing dinamico pensato per osservare lo stato del bersaglio, ragionare sulle azioni disponibili ed eseguire attività di discovery in ambienti imprevedibili. Google precisa che in quel caso lo sviluppo è rimasto allo stadio di tentativo e che gli asset coinvolti sono stati disabilitati, ma l’architettura cercata è indicativa della direzione intrapresa dagli operatori offensivi. Il nuovo rapporto rappresenta così il seguito naturale dell’allarme formulato a maggio, quando GTIG aveva già documentato malware AI-assisted, ricerca di vulnerabilità e framework agentici impiegati dagli avversari. Google avverte: gli hacker usano l’IA per creare zero-day e malware autonomi

Una campagna nasce in meno di sei ore e raccoglie migliaia di credenziali

L’esempio più concreto riguarda un attore ritenuto finanziariamente motivato che ha compromesso l’infrastruttura cloud di un’organizzazione e vi ha installato un framework multi-agente autonomo. Secondo Mandiant, l’aggressore ha combinato un chatbot di coding, un prompt e una serie di istruzioni per gli agenti, trasformando file Markdown preconfigurati in veri playbook operativi. Il sistema è stato utilizzato per pianificare, costruire ed eseguire una campagna di vulnerability scanning e credential harvesting in meno di sei ore. Gli agenti gestivano autonomamente la pipeline di scansione, risolvevano errori in tempo reale e applicavano logiche di rotazione degli indirizzi IP senza richiedere un intervento manuale per ogni passaggio. La compromissione dell’infrastruttura cloud ha aggiunto un ulteriore vantaggio: il traffico offensivo poteva uscire da indirizzi appartenenti a una risorsa legittima, rendendo più difficile distinguere immediatamente l’attività malevola dal normale traffico di servizi cloud.

Il risultato finale è stato il furto di migliaia di credenziali di terze parti. GTIG ha inoltre individuato un server C2 esposto che ospitava un framework denominato Recon, dotato di file AGENTS.md, KNOWLEDGE.md e agentic_vuln_research.md, directory dedicate agli agenti e una dashboard successivamente utilizzata per catalogare e validare oltre 23.800 segreti raccolti, comprese chiavi API per servizi cloud e piattaforme AI. Non è quindi l’LLM isolato a rappresentare il salto tecnologico, ma il suo collegamento con memoria, strumenti, istruzioni persistenti, rete e capacità di esecuzione. È lo stesso problema apparso in forma difensivamente speculare quando agenti AI hanno superato i confini previsti dai workflow e raggiunto sistemi reali, dimostrando quanto la concessione di strumenti trasformi un modello linguistico in un componente operativo. Agenti AI fuori controllo colpiscono sistemi reali e workflow GitHub

DUSTMAKER usa gli assistenti AI contro sviluppatori e scanner di sicurezza

La software supply chain rappresenta uno dei punti nei quali l’AI offensiva incontra un ecosistema già estremamente fragile. Google dedica particolare attenzione a UNC6780, noto anche come TeamPCP, gruppo finanziariamente motivato che dal marzo 2026 ha condotto compromissioni su larga scala negli ecosistemi PyPI, npm e Docker Hub. Dopo l’accesso iniziale, il gruppo distribuisce credential stealer e monetizza successivamente i dati attraverso vendita, estorsione o collaborazioni con operatori ransomware. Il malware DUSTMAKER mostra però un’evoluzione ulteriore perché contiene almeno una mezza dozzina di funzioni progettate specificamente per interagire con coding assistant, pipeline CI/CD e sistemi di analisi basati su LLM. Gli attaccanti hanno compromesso account di sviluppatori per pubblicare fork trojanizzati di server MCP e inserire codice malevolo direttamente nei repository ufficiali. DUSTMAKER sa inoltre riconoscere gli ambienti GitHub Actions, estrarre token OIDC dalla memoria dei runner e utilizzarli per pubblicare pacchetti compromessi accompagnati da attestazioni crittografiche SLSA Build 3 valide. Proprio queste attestazioni possono far superare al pacchetto i controlli automatici di fiducia degli agenti di coding. La campagna prosegue dentro directory come .claude, .vscode e .cursor, dove file e configurazioni malevole si confondono con il normale rumore del workspace e possono predisporre comandi di startup o build eseguiti all’apertura del progetto. Il quadro amplia la continuità operativa già ricostruita per TeamPCP, passato dalla compromissione automatizzata di Redis e Docker alla possibilità di raggiungere migliaia di sviluppatori attraverso repository, registri software e pipeline. TeamPCP risale al 2020 e sposta gli attacchi verso la supply chain degli sviluppatori

La componente più interessante di DUSTMAKER riguarda tuttavia il tentativo di trasformare le policy di sicurezza degli LLM in una tecnica di evasione. Google ha trovato prompt injection inserite nei commenti iniziali dei loader JavaScript del malware. Il testo conteneva richieste estreme su armi biologiche e nucleari apparentemente progettate non per produrre realmente quel materiale, ma per provocare i sistemi di safety e convincere un analizzatore LLM a interrompere o rifiutare l’esame del codice JavaScript collocato immediatamente sotto. Gemini ha attivato le proprie protezioni e Google sostiene di aver utilizzato l’episodio per rafforzare classificatori e modelli, ma il principio difensivo resta importante: quando un sistema di sicurezza interpreta il contenuto analizzato anche come istruzione, il malware può attaccare direttamente l’analista artificiale. Una tecnica analoga è comparsa nei campioni GuardBreaker collegati a UAC-0099, dove stringhe ostili venivano inserite per disturbare strumenti di analisi AI. UAC-0099 usa GuardBreaker per tentare di bloccare l’analisi AI del malware

Leggi anche: Prompt injection indiretta: un repository GitHub può portare un agente AI fino alla reverse shell

Modelli, prompt e potenza di calcolo diventano proprietà da rubare

L’AI non è soltanto uno strumento nelle mani degli attaccanti: diventa essa stessa obiettivo dell’intrusione. Nel secondo trimestre 2026 GTIG non ha osservato attacchi diretti contro frontier model attribuiti ai gruppi di cyber spionaggio e information operations monitorati, ma registra un incremento delle campagne rivolte alla proprietà intellettuale AI. I bersagli comprendono modelli proprietari, codice sorgente, prompt, skill, script, ricerche e credenziali API, e non riguardano esclusivamente i grandi laboratori. Google cita compromissioni contro organizzazioni governative, militari, sanitarie, tecnologiche e dei media. In un incidente seguito da Mandiant, un’organizzazione sanitaria ha subito il furto di dati aziendali, ricerca farmaceutica e di un modello AI proprietario, successivamente utilizzati come leva estorsiva. In un altro caso, un’azienda specializzata nella generazione di contenuti AI ha perso codice, prompt, skill, script dei modelli e segreti. Il gruppo cinese UNC6508 avrebbe inoltre compromesso ambienti cloud per installarvi modelli open-weight locali, evitando il monitoraggio delle API commerciali e utilizzando contemporaneamente la capacità computazionale della vittima. Il paradigma assomiglia al cryptojacking, ma il bene sottratto non è più soltanto potenza per generare criptovalute: sono GPU, quote cloud e capacità di inferenza utilizzabili per sostenere workload AI clandestini. L’incidente che ha coinvolto Hugging Face, dove un framework autonomo ha effettuato migliaia di operazioni e raccolto credenziali muovendosi tra cluster, aveva già mostrato quanto infrastruttura AI e credenziali cloud siano ormai parte dello stesso perimetro di sicurezza. Attacco AI contro AI: Hugging Face compromessa da un agente autonomo

Una categoria ancora diversa riguarda gli attacchi di distillazione contro i modelli proprietari. Google sostiene di osservare regolarmente campagne coordinate che, in alcuni casi, superano i 100 milioni di prompt e cercano di estrarre capacità specializzate dei modelli Gemini, comprese comprensione visuale e audio, generazione di immagini e video. Gli aggressori utilizzano infrastrutture proxy, migliaia di credenziali compromesse e account fraudolenti per distribuire le richieste tra differenti canali e rendere più difficile il rilevamento. Google afferma di avere sviluppato anche tecniche per identificare modelli derivati dalla distillazione di Gemini e meccanismi capaci di degradare l’utilità delle campagne di estrazione. La scala rende però evidente un cambiamento nel concetto stesso di furto industriale: non è necessario sottrarre materialmente i pesi di un modello se una rete automatizzata può tentare di replicarne sistematicamente parte delle capacità attraverso l’interfaccia di inferenza.

Cina, Iran, Russia e Corea del Nord integrano l’AI nella kill chain

L’utilizzo operativo dell’AI non appartiene a un unico ecosistema criminale. GTIG identifica attività riconducibili a gruppi collegati alla Cina, Russia, Iran e Corea del Nord, oltre ad attori finanziariamente motivati e operatori impegnati in information operations. BASIN CASTLE, gruppo di cyber spionaggio collegato alla Cina e precedentemente tracciato come BASIN e TEMP.Hex, usa modelli generativi durante più fasi consecutive: selezione di obiettivi ad alto valore, generazione e traduzione di esche per spear phishing, sviluppo di malware offuscato e risoluzione di errori PowerShell durante la ricognizione di Active Directory. L’AI non sostituisce quindi la competenza dell’operatore, ma riduce i passaggi manuali necessari per trasformare informazioni grezze in materiale operativo. CALANQUE ION, attore iraniano precedentemente noto come APT42, sfrutta Gemini per individuare indirizzi email, fare OSINT, tradurre esche localizzate, sviluppare infrastruttura tattica e sintetizzare dati esfiltrati. RAVINE CASTLE, associato alla Cina e conosciuto anche come COULEE o APT24, arriva invece a utilizzare Gemini per studiare exploit contro piattaforme di virtualizzazione, tecniche Kerberos e metodi per rendere anonimi data leak destinati successivamente a giornalisti o influencer. La stessa convergenza era emersa nelle operazioni nordcoreane dove AI, falsi profili professionali e attività degli IT worker vengono impiegati per sostenere spionaggio e raccolta finanziaria.

L’elemento comune non è un fantomatico hacker completamente sostituito dalla macchina, ma la compressione del ciclo operativo. Un ricercatore umano può continuare a selezionare il bersaglio, autorizzare le fasi critiche e modificare gli obiettivi; nel mezzo, però, un agente può scandire reti, elaborare output, cambiare parametri, correggere errori, produrre lure localizzate, gestire credenziali e organizzare grandi quantità di materiale senza attendere ogni volta un nuovo comando. È questa riduzione della latenza a creare il problema per i difensori: attività che in precedenza generavano pause naturali tra ricognizione, sviluppo e sfruttamento possono ora concatenarsi molto più rapidamente. L’aumento della velocità non rende automaticamente efficace qualunque attacco AI-generated. Google mostra anche esempi di analisi teoriche poco pratiche e conoscenze prodotte dagli LLM che non equivalgono a exploit funzionanti. Ma perfino quando il modello non inventa una nuova tecnica, può ridurre enormemente il costo di iterazione su vulnerabilità già pubbliche: GTIG ha osservato artefatti JavaScript e HTML generati con LLM per un n-day Firefox appena corretto, evoluti in circa un mese da semplici test per memory leak fino a catene più complete.

Continua con:

• Meta Ads diffonde StreamRat e GitSpawn apre nuove RCE negli agenti AI attraverso Git
• Google avverte che gli attacchi alla supply chain open source continueranno a crescere

La difesa deve controllare l’autorità dell’agente e non soltanto il modello

La principale conseguenza del rapporto Google riguarda l’architettura difensiva. Proteggere l’impresa dall’adversarial AI non significa soltanto impedire a un chatbot di rispondere a una richiesta malevola. Un’organizzazione deve sapere quali agenti possono eseguire comandi, quali credenziali possiedono, quali repository possono modificare, quali strumenti possono invocare e quali informazioni vengono considerate affidabili durante la costruzione del contesto. Gli episodi osservati da GTIG mostrano almeno quattro superfici che tendono ormai a sovrapporsi: supply chain software, identità cloud, workflow agentici e proprietà intellettuale AI. Un token GitHub rubato può permettere la pubblicazione di un pacchetto; il pacchetto può inserire istruzioni nel workspace di un coding assistant; l’assistente può eseguire automaticamente un comando; una credenziale cloud estratta da quell’ambiente può infine sostenere nuovi workload o diventare l’origine apparentemente legittima di ulteriori scansioni. Questa concatenazione riduce l’utilità delle difese che analizzano ogni evento isolatamente.

Il modello di sicurezza deve quindi spostarsi verso least privilege, credenziali temporanee, isolamento dei runner, sandbox per strumenti agentici, validazione dell’origine delle istruzioni e telemetria sulle azioni eseguite dagli agenti. Anche la fiducia nelle attestazioni della supply chain deve tenere conto del fatto che un aggressore in possesso del token corretto può produrre artefatti formalmente validi. Allo stesso modo, i sistemi di analisi LLM non possono essere considerati un livello autonomo di difesa se il contenuto del malware può tentare di manipolarne il comportamento attraverso prompt injection. Google presenta la propria architettura AI Threat Defense, le protezioni dei modelli e le attività di disruption come parte della risposta, ma il dato centrale del rapporto va oltre Gemini: quando l’AI ottiene memoria, strumenti, credenziali e possibilità di eseguire azioni, il confine di sicurezza non coincide più con il modello. Coincide con l’autorità complessiva attribuita all’agente. Ed è proprio quella autorità che gli attaccanti stanno iniziando a studiare, sfruttare e automatizzare.