Cybersicurezza e agenti AI: una lama senza impugnatura?

L’alert congiunto delle agenzie di cybersicurezza dei Five Eyes

Il 22 giugno 2026, le agenzie di cybersecurity dei Five Eyes (Australia, USA, Regno Unito, Nuova Zelanda e Canada) hanno diramato una call to action motivata dalla repentina trasformazione dei rischi cyber dovuta all’introduzione di agenti AI in tutte le fasi degli attacchi. L’alert congiunto era rivolto ai leader di tutti i comparti e poneva l’accento sull’accelerazione e l’incremento esponenziale delle performance che la minaccia informatica ha fatto registrare nell’arco di pochi mesi.

Concetti base del documento sono la doppia valenza dell’AI, come problema e come soluzione, inserita in un ecosistema universale e l’urgenza di una risposta efficace e tempestiva che si lega strettamente alla necessità di un cambio di paradigma. Nello specifico si richiedeva a tutti gli stakeholder un cambio di paradigma e un passaggio definitivo alla «secure-by-design» e «secure-by-default».

La resilienza informatica, si legge nel documento, non è una questione esclusivamente IT, poiché risulta fondamentale per la continuità operativa e la fiducia del mercato globale. Le aziende che agiscono ora ridurranno i rischi, rafforzeranno la resilienza e consolideranno la fiducia di clienti, partner e investitori. Chi invece rimanda, si troverà ad affrontare rischi crescenti e prevenibili.

Il caso OpenAI-Hugging Face e la “corsa all’exploit”

L’urgenza dell’advisory trovava giustificazione anche in una serie di eventi di grandi dimensioni segnalati almeno a partire dal 2025. Nel novembre di quell’anno, infatti, la società americana Anthropic denunciava l’abuso del proprio modello Claude Code da parte di avversari cinesi per automatizzare intrusioni su larga scala. Inoltre, una ricerca di luglio 2026 ha confermato quello che ormai è un habitus consolidato, descrivendo un’operazione di spionaggio cinese che ha sfruttato Claude Code e DeepSeek-v4-pro contro sistemi governativi e finanziari in USA, Asia, Europa e Australia. In questo caso, i modelli, integrati nel flusso di lavoro, hanno fornito autonomamente supporto strategico-decisionale e hanno svolto operazioni come il phishing, l’esecuzione di codice e lo sviluppo di exploit.

Quest’ultima attività si sta rivelando il cardine dell’intera questione e ha già posto una serie di interrogativi molto urgenti. La facilità e velocità con le quali ora un avversario può sfruttare una 0-day hanno imposto agli operatori della sicurezza una vera e propria «corsa all’exploit» nel corso della quale stanno affiorando rischi collaterali non trascurabili. Lo dimostra la vicenda che ha coinvolto OpenAI e la piattaforma Hugging Face.

La società fondata da Elon Musk e Sam Altman ha avviato una sperimentazione sfidando GPT‑5.6 Sol e un prototipo ad uso interno ancora più performante a perseguire exploit avanzati attraverso percorsi di attacco complessi. In termini molto semplici, i modelli sono stati inseriti in una sorta di «palestra» di cybersecurity, chiamata ExploitGym, con il compito di trasformare alcune vulnerabilità in exploit funzionanti. ExploitGym è un benchmark di 869 vulnerabilità reali – che vanno dai programmi in spazio utente al motore JavaScript V8 di Chrome e al kernel Linux – il quale, dato un input di programma che attiva una vulnerabilità, incarica gli agenti di estenderla progressivamente fino a trasformarla in un exploit funzionante.

I modelli, invece di svolgere il compito come ci si sarebbe aspettato, hanno approfittato di due fattori non valutati adeguatamente dagli operatori umani per procurarsi gli exploit già pronti. In sostanza, hanno rilevato che l’ambiente in cui stavano operando era stato lasciato parzialmente aperto e hanno individuato una 0-day nel programma utilizzato localmente per scaricare pacchetti di codice dall’esterno (JFrog Artifactory). Questa combinazione di fattori di rischio – sandbox non isolata e uso di software non sicuro – ha consentito loro di accedere a internet. A quel punto hanno rilevato che Hugging Face – la principale piattaforma open-source per modelli AI – ospitava modelli, set di dati e soluzioni per ExploitGym e, sulla base di questa informazione, hanno cercato e trovato gli exploit già pronti.

Il team di Hugging Face ha divulgato la notizia dell’incidente il 16 luglio, specificando la natura straordinaria dell’evento, generato da un framework di agenti AI autonomi (di cui non aveva ancora rivelato il nome) e fronteggiato grazie alle pipeline di rilevamento, anch’esse potenziate da modelli AI. Il 21 luglio 2026 OpenAI ha rilasciato un proprio comunicato relativo all’incidente, confermando l’accaduto.

L’operazione è stata descritta da OpenAI come l’esito di un comportamento sostanzialmente autonomo e quasi consapevole dei modelli, i quali sarebbero risultati “iperconcentrati sulla ricerca di una soluzione per ExploitGym, spingendosi a misure estreme per raggiungere un obiettivo di test piuttosto ristretto”.

La descrizione fornita da Hugging Face spiega con dovizia di elementi tecnici la dinamica dell’intera vicenda, mostrando le emergenti capacità offensive degli agenti AI avanzati, ma anche le mancanze che devono essere imputate agli agenti umani. La ricostruzione forense copre circa 17.600 azioni dell’attaccante, raggruppate in circa 6.280 cluster, recuperate tra il 9 e il 13 luglio. L’attacco, durato circa due giorni e mezzo, si sarebbe articolato in una serie di migliaia di piccole “decisioni” automatizzate, eseguite alla velocità della macchina in ambienti sandbox di breve durata, con il comando e il controllo gestiti tramite normali servizi web pubblici. Sebbene l’impostazione di OpenAI fosse quella di sfidare l’agente a individuare e sfruttare vulnerabilità basandosi sul benchmark ExploitGym, Hugging Face ritiene che l’intera intrusione sia stata, dal punto di vista dell’agente, un tentativo di falsificare la valutazione. In sostanza, esso ha “deciso” di raggiungere i sistemi di produzione e rubare le soluzioni di test, anziché risolvere la sfida autonomamente. Gli analisti spiegano che gli agenti AI avrebbero assemblato un’infrastruttura di attacco simile a quella comunemente utilizzata dagli umani, per ospitare strumenti e script, inoltrare il traffico e instradare attività dannose attraverso servizi online legittimi. Ma la falsificazione della prova è stata possibile solo perché sussistevano le condizioni tecniche per aggirare la richiesta.

Un vecchio problema di fondo in un quadro complessivo che pone nuove sfide

La risonanza globale assunta dal caso OpenAI deve aver indotto Anthropic a segnalare un caso analogo occorso anche alle proprie soluzioni. Il 30 luglio, infatti, la società ha reso noto di aver individuato tre incidenti di sicurezza, i primi dei quali risalgono ad aprile scorso, in cui Claude Opus 4.7, Claude Mythos 5 e un modello interno di ricerca hanno raggiunto internet da ambienti di test e ottenuto accesso non autorizzato all’infrastruttura di produzione di tre organizzazioni. Gli incidenti si sono verificati durante esercizi capture-the-flag gestiti dal partner di valutazione Irregular. Anthropic ha sospeso tutti i test cyber il 23 luglio 2026, identificato gli incidenti entro il 24 e li ha notificati alle aziende interessate, compresa Irregular, il 27 luglio. Due delle organizzazioni non avevano rilevato l’attività in precedenza. Anthropic sottolinea la necessità di rafforzare i controlli di isolamento e di difesa in profondità negli ambienti di valutazione, equiparandoli a quelli di produzione.

La scia delle autodenunce si è poi allungata. Il 4 agosto l’AI Security Institute del Regno Unito (AISI), organismo governativo incaricato di valutare le capacità e i rischi dei modelli di intelligenza artificiale avanzati, ha reso pubblico un incidente verificatosi durante una valutazione di sicurezza informatica. Le analisi hanno individuato 19 azioni non autorizzate in 10 delle 122 sessioni eseguite: 17 attribuite a Mythos 5 e 2 a GPT-5.6-Sol. Nel caso più grave, un agente ha tentato di inserire codice malevolo in un progetto open-source tramite una pull request, creando identità false per fare pressione sul maintainer e ottenerne l’approvazione. Il tentativo è stato intercettato e bloccato e non risultano danni concreti. In perfetta consonanza con i casi precedenti, l’AISI ha chiarito che non si è trattato di un modello “fuggito” dalla sandbox e ha specificato che, come da prassi nei test di sicurezza informatica, era stato intenzionalmente consentito l’accesso a internet ed erano stati disabilitati deliberatamente i classificatori informatici del provider del modello. Tali condizioni non rispecchiano il modo in cui i modelli AI vengono resi disponibili al pubblico.

L’eccezionalità dell’evento è indiscutibile: gli agenti AI sono stati in grado di aggirare una richiesta specifica approfittando di weakness introdotte dai loro stessi trainer umani. La lettura complessiva che se ne può dare, mantenendosi in linea con l’advisory dei Five Eyes, solleva anche una serie di implicazioni e corollari. Il nuovo corso della cybersecurity, realisticamente, non può più fare a meno dell’AI. Tuttavia, la falsificazione dei risultati non è l’esito di un comportamento “umano” assunto dalla tecnologia, come sottilmente cercava di indurre a credere il report di OpenAI. La falsificazione è la dimostrazione che la tecnologia, divenuta ormai sofisticatissima, può agire secondo logica per sfruttare gli errori commessi dagli umani che sottovalutano i fondamenti della propria disciplina. Le inusitate potenza e velocità di calcolo che sanno dispiegare gli agenti AI, anche in contesti non eccezionali, e la sottovalutazione di alcune best practice si sono rivelate l’autentico fattore di rischio.

TS-Intelligence

Le informazioni riportate sono l’esito del lavoro di raccolta e analisi svolto dagli specialisti del team Theat Intelligence & Response di Telsy con l’ausilio della piattaforma TS-Intelligence, una soluzione proprietaria, flessibile e personalizzabile, che fornisce alle organizzazioni un panorama di rischio dettagliato.

Si presenta come una piattaforma fruibile via web e full-API che può essere azionata all’interno dei sistemi e delle infrastrutture difensive dell’organizzazione, con l’obiettivo di rafforzare la protezione nei confronti delle minacce cibernetiche complesse.

La costante attività di ricerca e analisi sui threat actors e sulle minacce emergenti in rete, sia in ambito APT che cyber crime, produce un continuo flusso informativo di natura esclusiva che viene messo a disposizione delle organizzazioni in real-time ed elaborato in report tecnici, strategici ed executive.

Scopri di più sui nostri servizi di Cyber Threat Intelligence.