Agenti AI violano oltre 100 siti: l’attacco costa circa 5.000 dollari

🛡️ Executive Summary

• NorForge ha osservato una campagna contro oltre 1.200 siti web nella quale un operatore ha utilizzato agenti AI per tentare intrusioni automatizzate.
• La ricerca attribuisce alla campagna più di 100 compromissioni, con un costo complessivo stimato di circa 5.000 dollari.
• Reuters ha verificato riscontri su alcune aziende coinvolte, ma non tutti gli accessi segnalati corrispondono a violazioni di dati confermate.

Un hacker ha utilizzato agenti di intelligenza artificiale per attaccare oltre 1.200 siti web, ottenendo secondo i ricercatori accesso a più di 100 organizzazioni con un investimento stimato di circa 5.000 dollari. La campagna è stata osservata da NorForge attraverso istanze esposte della piattaforma open source Cairn, impiegata per coordinare sistemi AI capaci di cercare vulnerabilità e proseguire autonomamente le attività offensive. Le informazioni raccolte sono state approfondite da Reuters, che ha verificato alcuni riscontri presso aziende interessate, tra cui SharkNinja e Cummins. Il caso mostra come l’automazione agentica stia modificando il rapporto tra costo degli attacchi e capacità operativa degli aggressori, senza eliminare la necessità di distinguere tentativi, accessi riusciti e danni documentati.

NorForge individua la campagna attraverso le console Cairn esposte

L’indagine è attribuita a Snorre Fagerland, principal threat researcher di NorForge, che ha individuato istanze accessibili della piattaforma Cairn contenenti informazioni sulle attività degli operatori e dei loro agenti. La ricostruzione investigativa originale Reuters sulla campagna con agenti AI descrive un’operazione iniziata il 25 settembre 2026, diretta soprattutto contro siti di commercio elettronico negli Stati Uniti, in Canada, Australia e Giappone. L’operatore osservato utilizzava la lingua cinese, un elemento insufficiente per attribuire con certezza gli attacchi a una specifica organizzazione o a un apparato statale. L’esposizione delle console ha permesso al ricercatore di osservare direttamente le sequenze operative, offrendo elementi differenti dalle semplici segnalazioni di traffico sospetto. Gli agenti ricevevano obiettivi, analizzavano le risposte dei sistemi bersaglio e proseguivano le attività attraverso strumenti collegati alla piattaforma. La responsabilità dell’attacco rimane attribuibile all’operatore umano, mentre il software automatizza una parte crescente della ricerca dei punti di ingresso. La documentazione dell’infrastruttura costituisce un elemento investigativo rilevante, ma non dimostra automaticamente che ogni tentativo abbia raggiunto dati riservati o prodotto una compromissione completa.

Leggi anche: Agenti AI attaccano retailer per 25 dollari e rubano oltre 600.000 carte

DeepSeek e Claude Code riducono il lavoro necessario alle intrusioni

Secondo la ricostruzione della campagna, l’operatore avrebbe utilizzato DeepSeek e Claude Code insieme alla piattaforma Cairn per eseguire attività che normalmente richiedono il coordinamento di strumenti e procedure distinti. Le istruzioni umane potevano essere estremamente brevi, mentre gli agenti proseguivano nella ricerca delle vulnerabilità e nell’interpretazione dei risultati. La differenza rispetto a un normale chatbot consiste nella capacità di eseguire sequenze operative attraverso strumenti esterni, scegliere passaggi successivi e modificare il proprio comportamento quando un tentativo non produce l’effetto previsto. I ricercatori hanno stimato un costo di circa 50 dollari per compromissione, con una spesa complessiva prossima ai 5.000 dollari e sessioni che in alcuni casi hanno impegnato il sistema per molte ore. Il dato non rappresenta un prezzo standard degli attacchi informatici: dipende dall’infrastruttura, dai modelli e dalle caratteristiche dei bersagli. Tuttavia, indica che una parte delle attività offensive può essere mantenuta operativa a costi molto inferiori rispetto al lavoro continuativo di un gruppo di specialisti. La trasformazione si collega alle precedenti dimostrazioni nelle quali agenti AI avevano costruito catene di exploit e aggirato controlli OTP, ma qui l’elemento nuovo è l’osservazione di un’attività offensiva reale, non di un semplice test di laboratorio.

SharkNinja, Cummins e Deere mostrano perché le violazioni vanno distinte

Le organizzazioni citate nell’inchiesta non hanno fornito tutte lo stesso livello di conferma. SharkNinja ha riconosciuto una compromissione relativa a un sito separato destinato al supporto dei prodotti e ha comunicato di avere contenuto l’attività. Cummins ha dichiarato di essere impegnata nella verifica di un possibile incidente riguardante un sito gestito da un fornitore esterno. Per Deere, invece, non risulta una conferma pubblica sufficiente a considerare dimostrata l’esfiltrazione di informazioni sensibili. Queste differenze sono fondamentali per interpretare il numero delle oltre 100 compromissioni attribuite alla campagna: un accesso non autorizzato può limitarsi a una funzione applicativa vulnerabile oppure raggiungere livelli molto più profondi di controllo, senza che tutti gli incidenti producano le stesse conseguenze. La presenza di un’attività nei log dell’agente non equivale da sola alla prova di un data breach completo. Per stabilire se siano stati sottratti dati servono verifiche sui sistemi coinvolti, analisi delle autorizzazioni ottenute e riscontri sulle operazioni effettivamente completate. La crescita dell’automazione rende questa distinzione ancora più importante, perché un unico sistema può generare un numero elevato di tentativi senza ottenere necessariamente risultati proporzionali. La campagna documenta quindi una capacità offensiva rilevante, ma non autorizza a presentare tutte le organizzazioni individuate come vittime di sottrazione confermata di informazioni.

Cairn non è il framework CAIRN sviluppato da Cisco Talos

La denominazione della piattaforma richiede una precisazione tecnica. Cairn, impiegata nell’operazione osservata da NorForge, è un sistema open source per l’orchestrazione di agenti AI; CAIRN di Cisco Talos è invece un framework di ricerca dedicato all’identificazione di artefatti riconducibili al malware che utilizza componenti AI. Non sono lo stesso progetto e non devono essere attribuiti alla medesima organizzazione. La distinzione evidenzia due fenomeni complementari: gli aggressori cercano strumenti per automatizzare le proprie operazioni, mentre i ricercatori sviluppano metodologie per riconoscere le tracce lasciate da modelli e agenti nei sistemi compromessi. Gli indicatori possono comprendere chiamate verso servizi AI, strutture di utilizzo degli strumenti e informazioni presenti nelle applicazioni di orchestrazione, oltre ai tradizionali file malevoli e alle connessioni di rete. Il precedente sul framework CAIRN di Cisco Talos per identificare gli artefatti cognitivi del malware AI documenta proprio questo cambiamento nell’analisi difensiva. Nel caso NorForge, la possibilità di osservare le console degli operatori ha fornito un quadro utile sulle attività, dimostrando che anche l’infrastruttura offensiva può esporre informazioni rilevanti per la ricostruzione di una campagna.

La minaccia per le imprese italiane è l’aumento della continuità offensiva

La campagna non documenta vittime italiane e non sarebbe corretto attribuirle un impatto diretto sul territorio nazionale senza ulteriori elementi. Il rischio riguarda piuttosto la possibilità di applicare la stessa metodologia contro siti aziendali, piattaforme di commercio elettronico e applicazioni esposte su Internet. Un agente che continua a verificare punti di ingresso e configurazioni per molte ore può rendere conveniente l’attacco anche contro organizzazioni che non costituiscono bersagli economicamente prioritari. Le misure difensive rimangono quelle fondate sulla riduzione della superficie esposta, sulla gestione tempestiva degli aggiornamenti, sul controllo dei privilegi e sull’analisi dei comportamenti anomali. Cambia però la frequenza con cui queste difese possono essere sollecitate, perché l’aggressore non deve necessariamente supervisionare ogni tentativo. Il problema è già emerso nel precedente sulle segnalazioni CERT-In relative agli agenti AI entrati in sistemi reali e all’accelerazione degli attacchi, dove l’automazione ha ridotto il tempo necessario per eseguire attività non autorizzate. La continuità operativa degli agenti diventa quindi un moltiplicatore del rischio, soprattutto per le organizzazioni che mantengono applicazioni vulnerabili raggiungibili dall’esterno.

Continua con:

Agenti AI tentano di hackerare siti governativi USA e Canada

Agenti AI su Tencent Cloud estraggono dati dalle mappe Alibaba

Il cybercrime agentico cambia il costo degli attacchi senza rendere l’AI infallibile

L’operazione individuata da NorForge mostra come l’intelligenza artificiale possa modificare concretamente l’economia degli attacchi informatici. Un singolo operatore può coordinare molte attività, lasciare agli agenti la gestione di passaggi tecnici ripetitivi e continuare a esplorare bersagli quando un primo tentativo fallisce. Questo non significa che gli strumenti siano capaci di compromettere qualunque sistema, né che il software abbia acquisito autonomamente intenzioni criminali. Gli agenti continuano a dipendere da obiettivi assegnati, strumenti disponibili e vulnerabilità reali, mentre i risultati devono essere verificati attraverso prove indipendenti. Il fattore nuovo è la possibilità di distribuire un lavoro offensivo prolungato su numerosi bersagli con una spesa contenuta. La minaccia non nasce da un’intelligenza artificiale invincibile, ma dalla riduzione del costo necessario per tentare intrusioni ripetute, una trasformazione che rende ancora più urgente per imprese e amministrazioni mantenere aggiornate le proprie difese e distinguere le segnalazioni di accesso dai danni effettivamente accertati.