Fiducia digitale a rischio tra API AI scontate, npm e blocchi automatici

🛡️ Executive Summary

• Poison Claude rivende accesso scontato ai modelli Anthropic tramite account e crediti promozionali, acquisendo piena visibilità sui prompt inoltrati dagli utenti.
• Pacchetti npm trojanizzati usano NullReceiver per ricavare l’indirizzo del server C2 da trasferimenti Ethereum vuoti e difficili da rilevare.
• Google corregge un falso positivo che ha bloccato centinaia di blog legittimi; sviluppatori e aziende devono verificare provider, dipendenze e canali di ripristino.

L’accesso economico ai modelli di intelligenza artificiale, la fiducia nei repository open source e l’automazione dei controlli antimalware stanno creando nuovi punti di concentrazione del rischio. Poison Claude vende API compatibili con Anthropic a una frazione del prezzo ufficiale, ma può osservare ogni richiesta inoltrata dai clienti. Parallelamente, alcuni pacchetti npm trojanizzati nascondono l’indirizzo del server di comando dentro transazioni Ethereum apparentemente vuote, mentre un errore nei sistemi di Google Blogger ha bloccato centinaia di siti legittimi come se distribuissero malware. Tre episodi differenti mostrano quanto un intermediario opaco, una dipendenza compromessa o una classificazione automatica errata possano influire direttamente su dati, software e continuità operativa.

Poison Claude trasforma i crediti gratuiti in un mercato parallelo

Poison Claude si presenta come un servizio capace di offrire accesso ai modelli Claude Opus e Claude Sonnet applicando tariffe comprese tra il 5% e il 15% del prezzo ufficiale per token. Il sistema non dispone però di una propria infrastruttura di inferenza: agisce come un gateway che riceve le richieste del cliente, le inoltra verso account collegati ai servizi Anthropic e restituisce le risposte attraverso un endpoint compatibile con le API originali. L’utente paga in criptovalute, riceve una chiave API e modifica alcune variabili d’ambiente affinché strumenti come Claude Code comunichino con il server alternativo anziché direttamente con Anthropic.

Secondo la ricerca pubblicata da Okta Threat Intelligence, il modello economico sfrutta account che dispongono di bonus promozionali, inclusi crediti concessi ai nuovi clienti di AWS Bedrock, startup e altri programmi cloud. Una configurazione errata ha inoltre esposto un endpoint di stato dal quale risultavano 881 utenti complessivi e 872 utenti attivi, numeri che indicano una base operativa già significativa. Il problema principale non riguarda soltanto l’eventuale violazione delle condizioni commerciali dei provider: ogni prompt transita in chiaro attraverso l’infrastruttura del rivenditore, che può registrarlo, analizzarlo, copiarlo o venderlo. Codice sorgente, credenziali, documenti riservati, vulnerabilità non pubbliche e informazioni aziendali possono quindi finire nelle mani di un soggetto del quale non sono note identità, misure di sicurezza e politiche di conservazione. Il rischio è particolarmente elevato per le organizzazioni che utilizzano agenti AI all’interno di repository, terminali e ambienti di sviluppo, una superficie già emersa con gli agenti AI capaci di raggiungere sistemi reali e workflow GitHub.

Un proxy AI può sostituire il modello e conservare i dati

L’architettura dei relay rende difficile verificare quale modello elabori realmente una richiesta. Il provider parallelo può pubblicizzare l’accesso a una versione avanzata di Claude, ma inoltrare il prompt verso un modello meno costoso, ridurre il contesto disponibile o alterare la risposta prima di consegnarla al cliente. Può anche interrompere il servizio quando Anthropic, AWS o un altro operatore disattiva gli account ottenuti con identità sintetiche, crediti promozionali abusati o registrazioni automatizzate.

Okta ha individuato più di sei offerte analoghe su forum underground e piattaforme di messaggistica, oltre a un secondo servizio denominato Ecomagent, che dichiara di utilizzare crediti per startup per fornire accesso scontato a modelli Anthropic e OpenAI. Questo mercato risponde alla domanda di utenti che vogliono aggirare limiti geografici, ridurre i costi o nascondere l’indirizzo IP originale, ma sposta il rapporto di fiducia dal produttore del modello a un intermediario non verificato. Per un’azienda, l’impiego di endpoint non autorizzati equivale a introdurre un adversary-in-the-middle nel ciclo di sviluppo: il gestore può osservare istruzioni, output, struttura dei progetti e comportamento degli agenti. La protezione richiede quindi controlli di uscita capaci di limitare gli endpoint API consentiti, inventari delle chiavi utilizzate, policy sulle variabili d’ambiente e monitoraggio delle configurazioni di strumenti come Claude Code. Le credenziali ufficiali non garantiscono da sole la sicurezza quando un file di configurazione, uno script o un ambiente containerizzato può reindirizzare il traffico verso un dominio differente. L’episodio amplia il quadro già descritto dagli esperimenti nei quali Claude ha interagito con aziende reali durante test cyber: l’integrazione tra modelli, strumenti e infrastrutture deve essere governata come una relazione di accesso privilegiato, non come una semplice applicazione web.

NullReceiver nasconde il server C2 in una transazione Ethereum

La seconda minaccia coinvolge la supply chain JavaScript. I pacchetti npm trojanizzati bianira-ui e fluid-type-ui hanno introdotto una tecnica denominata NullReceiver, evoluzione di EtherHiding, per ottenere dinamicamente l’indirizzo IP del server di comando e controllo. Il malware contiene l’indirizzo di un wallet Ethereum controllato dagli attaccanti, consulta la sua transazione in uscita più recente e legge il campo relativo al destinatario. I primi quattro byte dell’indirizzo vengono convertiti dalla rappresentazione esadecimale in numeri decimali e ricomposti come indirizzo IPv4. Nel campione analizzato, la sequenza iniziale a658863e corrispondeva a 166.88.134[.]62, mentre i byte successivi codificavano la stringa ASCII helloipbot!!. La transazione non trasferisce valore e non contiene dati aggiuntivi: l’indirizzo destinatario è un contenitore usa e getta, creato esclusivamente per rappresentare il C2.

La ricostruzione tecnica di OpenSourceMalware spiega che questa soluzione elimina la necessità di uno smart contract e riduce sia il costo sia la visibilità on-chain. Rispetto a EtherHiding, NullReceiver non può trasportare script o URL lunghi, ma offre agli operatori un meccanismo minimale per cambiare infrastruttura senza aggiornare il malware installato. Le prime due librerie avevano totalizzato rispettivamente 109 e 587 download prima della rimozione; altri cinque pacchetti individuati successivamente hanno portato l’esposizione complessiva a diverse migliaia di installazioni. La campagna è stata collegata ad attività nordcoreane attraverso il riutilizzo di wallet e infrastrutture osservate in operazioni precedenti. La tecnica rappresenta un ulteriore sviluppo degli attacchi nei quali ClickFix sfrutta EtherHiding e wallet collegati alla Corea del Nord.

Gli sviluppatori diventano il punto d’ingresso della supply chain

OpenSourceMalware ha associato l’infrastruttura a PolinRider, un’attività che avrebbe compromesso più di venti pacchetti distribuiti attraverso gli ecosistemi npm, Go e PHP. Gli operatori combinano falsi colloqui di lavoro, repository forkati, attività malevole di Visual Studio Code e pacchetti con nomi simili a librerie legittime per raggiungere le workstation degli sviluppatori. Una volta ottenuto l’accesso, l’obiettivo non è necessariamente sottrarre subito dati visibili: gli attaccanti possono clonare repository, recuperare token, modificare commit e propagare codice trojanizzato attraverso account considerati affidabili.

Questo modello riduce la distinzione tra compromissione della singola macchina e attacco alla supply chain, perché un laptop infetto può diventare il punto dal quale contaminare progetti utilizzati da centinaia di organizzazioni. Il rischio era già apparso con Joyfill compromessa su npm e il RAT DEV#POPPER e con la più ampia crisi che coinvolge Open VSX e pacchetti npm. Le organizzazioni devono individuare e rimuovere i pacchetti segnalati, controllare file di lock, cache dei registry, immagini container e artefatti di build, perché la cancellazione dal repository pubblico non elimina le copie già scaricate. È inoltre necessario ruotare token npm, credenziali Git, chiavi SSH e segreti accessibili dai sistemi coinvolti. Il monitoraggio non può limitarsi ai domini: NullReceiver dimostra che una chiamata apparentemente legittima verso un servizio blockchain può essere utilizzata per risolvere un C2. Le regole di rilevamento devono correlare l’accesso alla blockchain con processi Node.js inattesi, installazioni recenti e successive connessioni verso indirizzi IP non riconosciuti.

Google Blogger blocca siti legittimi per un falso positivo

Il terzo episodio riguarda l’effetto opposto: non un malware che elude il rilevamento, ma un sistema automatico che classifica come malevoli contenuti legittimi. Dal 4 agosto 2026, centinaia di proprietari di siti ospitati su Google Blogger hanno ricevuto avvisi per una presunta violazione della policy relativa a malware e contenuti dannosi. I blog sono stati bloccati, resi inaccessibili o, in alcuni casi, eliminati temporaneamente, impedendo agli amministratori di gestire post, temi e impostazioni. Una discussione nel forum ufficiale di supporto di Blogger ha raccolto centinaia di segnalazioni; alcuni utenti hanno riferito che il blocco si attivava dopo un aggiornamento della homepage o una modifica del template. Google ha confermato l’esistenza di un bug che ha classificato erroneamente alcuni siti per meno di un giorno e ha dichiarato di essere al lavoro sul ripristino. L’avviso automatico concedeva ai proprietari la possibilità di chiedere una revisione, ma indicava anche il rischio di cancellazione permanente entro tre mesi in assenza di ricorso. Il caso mostra una debolezza strutturale delle piattaforme centralizzate: la stessa automazione necessaria per analizzare grandi quantità di contenuti può interrompere immediatamente la pubblicazione di risorse legittime. Per editori, aziende e professionisti, il ripristino non deve dipendere esclusivamente dalla procedura interna del provider. Backup esportabili, copie dei contenuti, controllo del dominio, registrazioni DNS indipendenti e un piano di migrazione consentono di ridurre l’impatto di blocchi errati. Poison Claude, NullReceiver e il falso positivo di Blogger condividono così un elemento operativo: quando dati, distribuzione del software o pubblicazione dipendono da un intermediario non pienamente controllabile, la verifica tecnica e la capacità di uscita diventano componenti essenziali della sicurezza.