A metà settembre 2025 il team di threat intelligence di Anthropic ha osservato per la prima volta ciò che l’intero settore dava per imminente ma nessuno aveva ancora documentato: una campagna di spionaggio informatico in cui l’intelligenza artificiale non assisteva gli operatori, ma conduceva l’operazione.
Indice degli argomenti
GTG-1002 e la compressione del tempo nell’attacco cyber
Il gruppo, designato GTG-1002 e attribuito a un attore statale cinese, aveva costruito un framework di orchestrazione in cui istanze di Claude Code — lo strumento di coding agentico della stessa Anthropic, dirottato all’uso malevolo con tecniche di manipolazione del modello — operavano come orchestratori e agenti autonomi di penetration testing.
Secondo il report di Anthropic “Disrupting the first reported AI-orchestrated cyber espionage campaign”, pubblicato il 13 novembre 2025, l’AI ha eseguito l’80-90 per cento delle operazioni, riconducibili a tattiche quali: ricognizione, individuazione delle vulnerabilità, raccolta di credenziali, movimento laterale, esfiltrazione. Gli obiettivi erano una trentina, e sono stati colpiti in parallelo: aziende tecnologiche, istituzioni finanziarie, industria chimica, agenzie governative. Gli operatori umani del gruppo si limitavano ad autorizzare quattro-sei passaggi critici per campagna — dare il via libera all’intrusione vera e propria, approvare l’esfiltrazione dei dati — mentre l’AI conduceva da sola tutto il resto, quindi migliaia di operazioni tecniche, ad una velocità tale che Anthropic ha definito impossibile per una squadra umana.
La catena d’attacco era del tutto convenzionale: nessun exploit inedito, nessun malware su misura, utilizzo di strumenti open source di uso comune. Ed è esattamente questo il punto che mi preme sottolineare. GTG-1002 non ha innovato la tecnica, ha compresso il tempo. E il tempo — non la tecnica — è ciò su cui poggia l’intero impianto europeo di notifica degli incidenti.
La compressione misurata: da giorni a minuti
Il Global Threat Report 2026 di CrowdStrike, pubblicato a febbraio, misura questa compressione su scala globale. Il breakout time medio delle operazioni criminali — l’intervallo tra l’accesso iniziale e il movimento laterale verso un secondo sistema — è sceso nel 2025 a 29 minuti, il 65 per cento più veloce rispetto ai 48 minuti del 2024. Questo è il caso più rapido mai osservato: 27 secondi. In un’intrusione documentata nel report, l’esfiltrazione dei dati è iniziata entro quattro minuti dall’accesso iniziale. Le operazioni condotte da avversari con capacità AI sono cresciute dell’89 per cento in un anno.
Al dato della velocità se ne somma uno meno citato ma altrettanto rilevante per il nostro discorso: l’82 per cento delle rilevazioni non coinvolge il malware. Gli attaccanti si muovono con credenziali valide, strumenti di amministrazione legittimi, integrazioni SaaS: producono, quindi, meno segnali. L’attacco non è soltanto più rapido; è anche più silenzioso mentre accade. Le due curve si stringono attorno al difensore da lati opposti: si riduce il tempo disponibile per accorgersi e si riducono gli indizi per farlo.
Un impianto che immagina un incidente che dura
Contro questo scenario va riletta l’architettura temporale degli obblighi di notifica. Il decreto NIS2 (D.Lgs. 138/2024, art. 25) prevede una cascata in tre tempi: una pre-notifica al CSIRT Italia senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza dell’incidente significativo; una notifica entro 72 ore, con una valutazione iniziale di gravità e impatto e, ove disponibili, gli indicatori di compromissione; una relazione finale entro un mese. Nel mezzo, su richiesta del CSIRT, relazioni intermedie di aggiornamento; per gli incidenti ancora in corso, relazioni periodiche di avanzamento. Sul versante dei dati personali, l’articolo 33 del GDPR impone la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza.
Questa scansione non è un fine in sé. La sua logica dichiarata è di risposta coordinata: la pre-notifica serve al CSIRT per assistere tempestivamente il soggetto colpito e, se del caso, allertare altri soggetti potenzialmente esposti alla stessa minaccia; la notifica delle 72 ore fornisce all’autorità un quadro operativo mentre la gestione dell’incidente è in corso; le relazioni intermedie presuppongono un incidente che evolve — tanto che la norma contempla espressamente la notifica di eventi ancora in corso. L’intero impianto è disegnato attorno a un’ipotesi implicita: che l’incidente duri, e che durante quella durata la comunicazione all’autorità possa ancora incidere sul suo corso. La notifica come strumento della risposta, non come suo epilogo.
L’obiezione del dies a quo, e perché non basta
A chi osserva che a velocità macchina le 72 ore non esistono più, il giurista risponde con un rilievo formalmente ineccepibile: i termini non decorrono dall’attacco, ma dalla conoscenza. L’articolo 25 del decreto NIS2 li fa partire «da quando sono venuti a conoscenza dell’incidente significativo»; le linee guida ACN sulla gestione degli incidenti (Determinazione 379907 del 19 dicembre 2025, efficace dal 15 gennaio 2026) parlano di «evidenza», intesa come disponibilità di elementi oggettivi dai quali risulta il verificarsi di una delle fattispecie di incidente significativo — evidenza che, riconosce la stessa ACN, è generalmente acquisita a valle dell’analisi, e dunque in un momento successivo al verificarsi dell’incidente. Sul versante GDPR, l’EDPB (linee guida 9/2022) colloca la conoscenza nel momento in cui il titolare ha un ragionevole grado di certezza che si sia verificata una violazione; e nell’esempio dell’intrusione di rete precisa che il titolare diventa «aware» solo dopo aver verificato i propri sistemi e confermato la compromissione — dopo l’accertamento, non al momento dell’attacco. Nessuna velocità offensiva, dunque, può far scadere un termine prima che inizi a decorrere: il cronometro parte sempre dopo, quando il soggetto si accorge.
L’obiezione è corretta, e non salva quasi nulla. Salva il termine, non la sua funzione. Quando il legislatore ha fissato le 24 e le 72 ore, l’ipotesi di lavoro era che conoscenza e incidente si sovrapponessero: ci si accorge dell’attacco mentre è in corso, si notifica mentre si risponde, e la rapidità dell’adempimento si traduce in rapidità della reazione collettiva. È questa sovrapposizione che la velocità macchina dissolve. Se la compromissione si consuma integralmente — accesso, escalation, esfiltrazione — prima che il soggetto disponga dell’evidenza, il termine resta perfettamente calcolabile e perfettamente rispettabile; solo, non misura più ciò che doveva misurare. La tempestività dell’adempimento si è separata dalla tempestività della risposta. Si può essere impeccabilmente puntuali su un fatto irrimediabilmente compiuto.
Da preallarme a verbale
Seguiamo la cascata in queste condizioni. La pre-notifica delle 24 ore nasce come preallarme: dovrebbe raggiungere l’autorità quando c’è ancora qualcosa da prevenire o contenere. Se l’evidenza è successiva alla fine dell’attacco, il preallarme non precede nulla: certifica. La notifica delle 72 ore dovrebbe aggiornare un quadro in movimento; aggiorna invece la descrizione di un evento concluso. La relazione finale, a un mese, era pensata come chiusura di un processo di gestione; diventa la terza stesura dello stesso verbale. Tre atti pensati per fotografare tre momenti di un incidente che evolve finiscono per documentare tre volte il medesimo fatto compiuto.
Colpisce ancora di più la sorte della funzione di allertamento. Nel disegno della direttiva, la notifica della prima vittima consente all’autorità di avvertire gli altri soggetti esposti: un meccanismo che presuppone attacchi in sequenza, con un intervallo utile tra la prima vittima e le successive. Le campagne orchestrate dall’AI sono parallele, non sequenziali: GTG-1002 conduceva le proprie intrusioni su una trentina di obiettivi simultaneamente. Quando la prima vittima acquisisce evidenza e notifica, le altre non sono «potenzialmente esposte»: sono già state colpite, e con ogni probabilità non lo sanno ancora. L’allerta a catena arriva a catena già percorsa.
L’attaccante come primo notificante
C’è un risvolto ulteriore, meno frequentato. In un incidente a velocità macchina, l’unico soggetto che ne ha conoscenza in tempo reale è l’attaccante. E questa asimmetria temporale è già stata trasformata in leva: nel novembre 2023 il gruppo ransomware ALPHV/BlackCat segnalò alla SEC statunitense la propria vittima, la società MeridianLink, per non aver comunicato al mercato la violazione che il gruppo stesso aveva appena commesso — un uso dell’obbligo di disclosure come strumento di pressione estorsiva. Con la generazione automatizzata di testi, la produzione di esposti e segnalazioni è industrializzabile su scala: nulla impedisce a un attaccante di presentarsi al regolatore, o di minacciare di farlo, prima ancora che la vittima abbia acquisito l’evidenza dell’incidente. Il paradosso è completo: il termine pensato per proteggere il sistema diventa munizione nelle mani di chi lo ha violato, proprio in forza di quel vantaggio temporale che la normativa non contempla.
La compliance si sposta sull’accorgersi, e ha un incentivo storto
Se il cronometro parte dall’evidenza, l’unico intervallo su cui il difensore può incidere è quello che separa l’incidente dall’evidenza. Ne discende una conclusione ormai diffusa tra gli operatori: il monitoraggio non è un presidio tecnico ma il presupposto stesso dell’adempimento — senza detection il cronometro non parte, ma il danno sì. Fin qui, nulla da eccepire.
Meno osservato è l’incentivo perverso che questa struttura produce. Poiché i termini decorrono dall’evidenza, chi rileva meno notifica più tardi, restando formalmente in regola. Il decreto NIS2 mitiga il rischio imponendo misure di gestione del rischio che includono capacità di rilevamento, e un soggetto con logging inesistente avrebbe difficoltà a difendere l’adeguatezza delle proprie misure in sede ispettiva. Ma la soglia di adeguatezza è elastica, e nell’elasticità si apre uno spazio scomodo: a parità di misure difendibili, l’organizzazione che investe di più nella detection anticipa la propria evidenza, fa partire prima i propri termini e si espone prima al vaglio dell’autorità. Il sistema, preso alla lettera, tassa la vista e premia la miopia. Non è un argomento per rilevare meno; è un argomento per chiedersi se l’ancoraggio dei termini alla conoscenza — inevitabile in un mondo ad attacchi lenti — resti l’architettura giusta in uno ad attacchi istantanei.
Dalla scadenza al flusso
La risposta più istintiva — accorciare i termini — è anche la meno utile: rispetto a una compromissione che si consuma in minuti, la differenza tra 24 e 12 ore è la differenza tra due ritardi. Se l’attacco è automatizzato, è la natura stessa dell’obbligo che va ripensata, non la sua durata. Le direzioni possibili esistono già in embrione nel dibattito europeo: condivisione automatizzata di indicatori di compromissione tra soggetti e autorità, canali di notifica machine-to-machine in cui è la telemetria di sicurezza, non un modulo compilato, a raggiungere il CSIRT, con l’atto formale ridotto a consolidamento a valle di un flusso continuo. Significherebbe spostare la notifica dallo statuto di adempimento amministrativo puntuale a quello di infrastruttura permanente di visibilità — con tutti i problemi, non piccoli, di riservatezza, responsabilità e governo dei falsi positivi che un simile spostamento comporta.
Quel che l’impianto attuale non può più permettersi è l’ipotesi su cui è costruito. La finestra delle 72 ore non si è ristretta: si è spostata oltre la fine della partita. Continuare a discutere di quante ore debba durare significa perfezionare la misura di un tempo che, quando il cronometro parte, è già trascorso.
Partecipa alla community