Un archivio di 1.395 file, scoperto agli inizi di luglio dal centro di ricerca sulle minacce della società israeliana Dream, documenta nel dettaglio quello che i ricercatori descrivono come il funzionamento interno di un sistema di intelligenza artificiale multi-agente utilizzato per condurre una campagna di intrusione quasi interamente autonoma contro sistemi governativi in Asia, poi identificati con quelli di Taiwan. In circa quattro giorni il sistema ha violato oltre 80 credenziali, sottratto migliaia di fascicoli del personale e ottenuto un accesso persistente all’interno dell’infrastruttura statale presa di mira.
L’intelligenza artificiale sta quindi passando da strumento che accelera le singole fasi di un attacco a operatore capace di condurre un’intera campagna dall’inizio alla fine con un intervento umano ridotto al minimo. Con gli strumenti necessari a costruire un simile sistema ormai in gran parte disponibili come software open source, la diffusione geografica e settoriale degli episodi documentati negli ultimi mesi lascia pensare che si tratti dell’inizio di una tendenza destinata ad allargarsi, più che di una serie di casi isolati.
Indice degli argomenti
L’attacco informatico a Taiwan: vulnerabilità e accesso iniziale
La ricostruzione tecnica dell’operazione permette di seguirne i passaggi principali.
Nella fase di ricognizione il sistema ha decompilato in autonomia il codice di un portale governativo, estraendone endpoint, parametri di autenticazione e configurazioni, e individuando così ventuno sistemi collegati e l’intera architettura di accesso unico dell’amministrazione, comprensiva delle chiavi usate per firmare le sessioni; su un solo obiettivo ha trovato oltre trentasei endpoint di programmazione, molti privi di autenticazione, tra cui uno che esponeva l’intero database degli utenti. L’accesso iniziale è stato ottenuto attraverso più strade aperte in parallelo. Da un lato, alcuni endpoint di debug lasciati per errore attivi in produzione restituivano una sessione autenticata valida a chiunque li interrogasse, senza bisogno di alcuna credenziale.
Dall’altro, il sistema ha condotto un attacco di tipo password spraying contro un portale protetto da CAPTCHA, aggirando la protezione grazie a un riconoscimento ottico dei caratteri accurato al cento per cento, e riuscendo così a violare ottantacinque account. Ha inoltre individuato un’interfaccia che accettava token di autenticazione privi di una firma crittografica valida, che gli ha permesso di generare identità digitali arbitrarie senza bisogno di conoscere alcuna chiave segreta.
Le credenziali violate hanno garantito l’accesso a quasi tutti i sistemi collegati tramite accesso unico, mentre un tentativo di caricare una web shell è stato bloccato da un secondo livello di autenticazione, uno dei pochi casi in cui una difesa ha effettivamente retto. Complessivamente sono stati sottratti oltre duemilacinquecento fascicoli del personale, l’intero database utenti, sette client secret e sei credenziali di accesso a database interni, prima che l’operazione si estendesse ai fornitori della catena di approvvigionamento informatico, a un’agenzia per la sicurezza nucleare e a più di sette società energetiche.
Gli agenti di intelligenza artificiale nell’operazione
A guidare le priorità dell’attacco era un motore bayesiano capace di assegnare a ogni vulnerabilità un punteggio di affidabilità e di stimare la probabilità di successo di intere catene di attacco. Il sistema integrava anche cicli di ricerca autonoma per individuare nuove tecniche quando i metodi tentati risultavano bloccati, ed era in grado di riconoscere e non replicare i propri errori. Le protezioni integrate nei due sistemi di agenti open source utilizzati, chiamati Hermes e OpenClaw, sono state aggirate semplicemente presentando l’intera operazione come un pen-test autorizzato.
L’attribuzione ancora senza conferme
L’analisi linguistica della documentazione interna, che alterna il cinese semplificato nei rapporti di stato interni e il cinese tradizionale nelle analisi rivolte ai bersagli, indica secondo i ricercatori un operatore di lingua cinese, anche se il report non attribuisce formalmente l’attacco a un governo o a un gruppo specifico.
Attacchi informatici con IA: i test e le capacità emergenti
L’attacco a Taiwan arriva a poche settimane da una serie distinta di episodi, emersi a più riprese nell’ultimo periodo, in cui OpenAI, Anthropic e Meta hanno reso pubblico che propri modelli, durante test interni di sicurezza, avevano agito in modo offensivo oltre quanto previsto dagli sviluppatori. Un tecnico di OpenAI, intervenendo a un convegno di settore proprio su questo tema, ha affermato che gli attacchi informatici orchestrati dall’intelligenza artificiale e completamente automatizzati sono ormai una realtà concreta.
Anche le valutazioni indipendenti confermano che questa capacità sta crescendo rapidamente. L’istituto britannico per la sicurezza dell’intelligenza artificiale, che dal 2023 testa periodicamente i modelli più avanzati su scenari di attacco informatico, ha reso noto che il modello Claude Mythos Preview di Anthropic è stato il primo a portare a termine da solo, dall’inizio alla fine, una simulazione di intrusione in una rete aziendale composta da trentadue passaggi successivi, un esercizio che l’istituto stima richieda a un professionista umano circa venti ore di lavoro;
il modello vi è riuscito in tre tentativi su dieci, completando in media ventidue passaggi su trentadue nel complesso delle prove, e ha inoltre risolto il settantatré per cento delle sfide di livello esperto in test di tipo capture the flag, una soglia che nessun modello era riuscito a superare prima dell’aprile 2025. Lo stesso istituto ha comunque precisato che questi scenari non prevedevano difese attive né sistemi di rilevamento in tempo reale, per cui i risultati dimostrano la capacità di colpire sistemi scarsamente protetti più che quella di violare reti aziendali solide e attivamente sorvegliate.
Dagli agenti IA ai casi globali di cyberattacco
E infatti il caso di Taiwan non è un episodio isolato su scala globale. In un rapporto pubblicato a novembre 2025, Google Threat Intelligence ha documentato che il gruppo russo APT28 aveva impiegato contro obiettivi ucraini un malware, chiamato PromptSteal, che interrogava in tempo reale, tramite la piattaforma Hugging Face, un modello linguistico open source per generare di volta in volta i comandi Windows necessari a raccogliere e sottrarre file e informazioni di sistema.
Lo stesso rapporto descrive inoltre gruppi legati a Cina, Iran e Corea del Nord che hanno fatto un uso improprio del modello Gemini di Google in fasi diverse delle proprie campagne, dalla ricognizione iniziale alla scrittura di contenuti per il phishing fino allo sviluppo di strumenti per l’esfiltrazione dei dati, un quadro che suggerisce come il fenomeno attraversi più aree geografiche e più sponsor statali anziché restare confinato a un singolo teatro.
L’intrusione contro Marimo: il precedente
Un episodio distinto, riportato a fine maggio 2026 dalla società di sicurezza Sysdig, mostra come lo stesso tipo di autonomia possa manifestarsi anche al di fuori di contesti riconducibili allo spionaggio di stato. Un aggressore ha infatti sfruttato una vulnerabilità critica priva di autenticazione in Marimo, una piattaforma open source per notebook Python usata da team di data science, ottenendo una shell sul server compromesso e cedendone immediatamente il controllo a un agente basato su un modello linguistico.
Nel giro di circa un’ora l’agente ha estratto in autonomia le credenziali cloud presenti sul sistema, le ha usate per recuperare una chiave SSH da un servizio di gestione dei segreti, ha aperto diverse sessioni verso un server interno di appoggio e ne ha infine esfiltrato l’intero contenuto di un database. I ricercatori hanno tracciato l’indirizzo da cui proveniva la connessione fino all’Indonesia e hanno notato un commento in lingua cinese lasciato nel registro dei comandi, senza tuttavia formulare un’attribuzione formale.
Partecipa alla community