Google Cloud ha pubblicato l’8 settembre il nuovo GTIG AI Threat Tracker, dedicato all’evoluzione dell’uso dell’intelligenza artificiale nelle attività informatiche malevole. Il rapporto, intitolato From Prompting to Autonomy – The Evolution of Adversarial AI, analizza le evidenze del secondo trimestre 2026 raccolte dal Google Threat Intelligence Group attraverso le indagini di Mandiant, il monitoraggio dei gruppi criminali e delle operazioni di spionaggio, l’osservazione dei mercati clandestini e i sistemi di difesa delle piattaforme Google.
Il cambiamento descritto riguarda il passaggio dalle singole richieste rivolte a un chatbot a sistemi capaci di coordinare più attività, utilizzare strumenti e correggere errori durante l’esecuzione. Parallelamente, gli attaccanti stanno prendendo di mira le risorse necessarie a sviluppare e utilizzare l’AI: modelli proprietari, codice sorgente, credenziali di accesso e capacità di calcolo.
Una campagna di raccolta delle credenziali in meno di sei ore
Uno dei casi analizzati da Mandiant riguarda un attore con presunte motivazioni economiche che, dopo aver compromesso l’infrastruttura cloud di un’organizzazione, vi ha installato un sistema di attacco composto da più agenti AI. Attraverso un assistente per la programmazione, un prompt e una serie di istruzioni operative, l’attaccante ha pianificato, costruito ed eseguito una campagna di raccolta delle credenziali in meno di sei ore, compromettendo migliaia di credenziali di terzi.
Gli agenti gestivano autonomamente il processo di scansione delle vulnerabilità, risolvevano gli errori in tempo reale e modificavano gli indirizzi IP utilizzati nelle operazioni. L’impiego dell’infrastruttura della vittima consentiva inoltre di instradare il traffico attraverso indirizzi legittimi.
È un esempio di AI agentica: un sistema nel quale il modello può utilizzare strumenti e svolgere una sequenza di azioni per raggiungere un obiettivo, adattando il comportamento ai risultati intermedi. Secondo GTIG, questo approccio riduce i tempi di attesa legati all’intervento umano e comprime la finestra a disposizione dei difensori.
John Hultquist, Chief Analyst del Google Threat Intelligence Group, descrive così il fenomeno: “Come tutti, siamo preoccupati per il problema delle vulnerabilità, ma l’AI viene applicata anche in molti altri ambiti e la sfida sarà particolarmente complessa quando verrà utilizzata in modo agentico, dando vita ad avversari in grado di operare più velocemente e su scala maggiore. I criminali, come quelli che hanno condotto una campagna di sfruttamento su larga scala in appena sei ore, tenderanno a privilegiare attacchi più rapidi della nostra capacità di risposta.”
In un’altra operazione, GTIG ha individuato un’infrastruttura denominata Recon, con configurazioni e documenti destinati ad agenti AI. Il sistema è stato successivamente esposto attraverso un pannello operativo progettato per organizzare, verificare e gestire in tempo reale oltre 23.800 elementi riservati raccolti, comprese chiavi di accesso a servizi cloud e AI.
Gli impieghi operativi e le attività ancora sperimentali
Il rapporto distingue le campagne osservate sul campo dai tentativi di sviluppare nuove capacità. Un gruppo di cyberspionaggio collegato alla Repubblica Popolare Cinese ha cercato di utilizzare Gemini per progettare un sistema automatizzato di penetration testing, ossia di verifica della sicurezza attraverso simulazioni di attacco. L’architettura prevista avrebbe dovuto osservare lo stato del bersaglio, scegliere le azioni ed eseguire attività iniziali di ricognizione. GTIG precisa che l’attività è rimasta limitata ai tentativi di costruzione del sistema e che Google ha disabilitato le risorse associate.
Anche nella ricerca delle vulnerabilità, il quadro descritto è graduale. Gli attaccanti impiegano modelli commerciali e modelli con parametri pubblicamente disponibili per analizzare problemi di sicurezza, sviluppare componenti di attacco e trasformare informazioni già divulgate in codice utilizzabile contro sistemi non aggiornati.
GTIG riferisce di non aver ancora osservato sul campo processi interamente autonomi per individuare e sfruttare vulnerabilità zero-day, cioè falle prima sconosciute, contro bersagli reali. Questa precisazione riguarda tale specifica capacità e si affianca alle evidenze di automazione già raccolte nelle campagne di scansione e furto delle credenziali.
TeamPCP e gli attacchi agli strumenti degli sviluppatori
Un secondo filone riguarda la catena di fornitura del software, l’insieme di pacchetti, librerie e servizi di terzi utilizzati per costruire applicazioni. Il rapporto dedica particolare attenzione a UNC6780, noto anche come TeamPCP, che da marzo 2026 ha condotto compromissioni su larga scala negli ecosistemi PyPI, npm e Docker Hub.
Il gruppo distribuisce malware per sottrarre credenziali e dati proprietari, successivamente monetizzati attraverso la vendita o la collaborazione con altri attori specializzati in ransomware ed estorsione. Tra i bersagli figurano anche gli strumenti che collegano gli assistenti AI agli ambienti di sviluppo.
GTIG documenta la pubblicazione di versioni manomesse di server MCP, componenti che utilizzano il Model Context Protocol per mettere in comunicazione gli assistenti con strumenti e risorse esterne. In altri casi, gli attaccanti hanno inserito codice malevolo direttamente negli archivi ufficiali delle organizzazioni dopo aver compromesso account legittimi.
Il malware DUSTMAKER comprende funzioni specifiche per questi ambienti. Può modificare file di configurazione degli assistenti e degli editor, predisporre comandi eseguiti all’apertura di un progetto e inserire istruzioni malevole capaci di indurre l’AI a lanciare script durante le normali interazioni con lo sviluppatore.
La tecnica è una forma di prompt injection: istruzioni controllate dall’attaccante vengono collocate nei contenuti letti dal sistema per alterarne il comportamento. Alcuni campioni di DUSTMAKER contenevano inoltre commenti concepiti, secondo GTIG, per provocare il rifiuto degli strumenti di analisi della sicurezza basati su modelli linguistici, ostacolando l’esame del codice sottostante.
Il rapporto descrive anche il furto di credenziali dai sistemi automatizzati di compilazione e pubblicazione del software. Questi accessi permettevano di distribuire pacchetti compromessi accompagnati da attestazioni di provenienza valide, capaci di superare i controlli automatici di fiducia degli assistenti.
Modelli e ricerca proprietaria diventano oggetto di furto
L’interesse degli attaccanti si estende alla proprietà intellettuale sviluppata dalle organizzazioni che utilizzano l’AI. Nel secondo trimestre, Mandiant ha indagato su furti di modelli, prompt, codice sorgente e materiali di ricerca presso aziende dei settori tecnologico, sanitario, dei media e dell’intrattenimento, in Nord America e in Europa.
In un’organizzazione sanitaria sono stati sottratti dati aziendali, ricerca farmaceutica e un modello AI proprietario. In un’impresa specializzata nella generazione di contenuti multimediali, il furto ha riguardato codice, prompt, script dei modelli e informazioni riservate. In entrambi i casi, gli attaccanti hanno utilizzato la minaccia della pubblicazione per chiedere un riscatto.
Sul versante dello spionaggio, GTIG richiama la campagna pluriennale di UNC6508, un attore collegato alla Cina che prende di mira istituzioni accademiche, mediche e militari nordamericane, con un interesse specifico per la ricerca AI proprietaria.
Un fenomeno distinto è quello dei tentativi di estrazione dei modelli attraverso la distillazione. In questo contesto, gli attaccanti interrogano ripetutamente un modello per raccogliere risposte con cui riprodurne le capacità in un altro sistema. Google dichiara di aver osservato campagne coordinate che, in alcuni casi, hanno superato 100 milioni di prompt, indirizzati anche alle capacità di comprensione visiva e audio e di generazione di immagini e video.
L’intelligenza artificiale lungo le diverse fasi dell’attacco
L’uso dei modelli linguistici riguarda ormai numerose attività operative. BASIN CASTLE, gruppo di cyberspionaggio collegato alla Cina, li impiega per studiare potenziali bersagli, preparare e tradurre messaggi ingannevoli, sviluppare malware con tecniche di occultamento e risolvere errori dopo l’accesso ai sistemi.
Il gruppo iraniano CALANQUE ION, precedentemente noto come APT42, utilizza l’AI per la ricerca sui bersagli, la preparazione di contenuti nelle lingue locali e la sintesi dei dati sottratti. Il gruppo russo SANDWORM RELIC la integra invece in attività di raccolta informativa, ingegneria sociale e automazione nelle operazioni contro l’Ucraina.
Tra gli attori con finalità economiche, UNC6240, noto come ShinyHunters, ha integrato assistenti di programmazione e strumenti MCP nell’analisi dei dati sottratti destinati all’estorsione. I gruppi nordcoreani riuniti sotto la denominazione MIDNIGHT NEPTUNE utilizzano modelli commerciali e aperti per sostenere operazioni di furto di criptovalute, dalla creazione di identità fittizie allo sviluppo di malware.
Nelle operazioni di influenza, GTIG osserva l’impiego dell’AI per generare contenuti, traduzioni e personaggi sintetici. Il rapporto segnala anche sperimentazioni con bot interattivi e reti automatizzate, precisando di non aver ancora riscontrato l’impiego operativo di queste nuove capacità di interazione né progressi decisivi rispetto agli utilizzi già documentati.
Account rubati e cloud compromessi per alimentare i sistemi AI
L’accesso ai modelli e alle risorse di calcolo costituisce un altro obiettivo delle intrusioni. Nei forum clandestini monitorati da GTIG sono aumentate le richieste e le offerte di account AI, con particolare interesse per Claude e Gemini e una domanda crescente di strumenti come Cursor Pro e Devin. Secondo il rapporto, nel 2026 i prezzi medi per account nei mercati osservati sono più che raddoppiati.
I malware per il furto delle credenziali cercano anche nei file di configurazione degli assistenti di programmazione, dove possono essere conservate chiavi API: codici che consentono ai programmi di accedere ai servizi e consumare le risorse associate a un account. GTIG ha inoltre osservato un gruppo riconducibile a lavoratori IT nordcoreani effettuare registrazioni su larga scala alle API dei modelli utilizzando account sottratti.
Il dirottamento delle infrastrutture per eseguire carichi AI non autorizzati viene indicato come LLMjacking. In un incidente dell’aprile 2026, un attaccante ha sfruttato una credenziale GitHub esposta per accedere all’ambiente cloud della vittima, attivare servizi AI e predisporre risorse di calcolo aggiuntive.
GTIG ha inoltre rilevato attività sospettate di essere riconducibili a UNC6508 nelle quali ambienti cloud compromessi ospitavano modelli locali. Secondo il rapporto, questa modalità permette di utilizzare le risorse della vittima evitando il monitoraggio delle API dei servizi commerciali.
Le misure adottate da Google
Google riferisce di aver disabilitato account e progetti associati alle attività individuate e di aver utilizzato le evidenze per aggiornare i sistemi che riconoscono gli abusi e le protezioni dei modelli. Contro le campagne di distillazione, dichiara di aver introdotto strumenti per ridurre l’utilità delle risposte raccolte illecitamente e identificare modelli derivati da Gemini.
Per gli ambienti aziendali, il rapporto richiama Google AI Threat Defense, un’architettura che combina modelli AI, prioritizzazione dei rischi di Wiz, capacità di correzione automatizzata e informazioni raccolte da Mandiant.
Le osservazioni del trimestre documentano così due sviluppi paralleli: l’integrazione dell’AI nelle operazioni degli attaccanti e il crescente interesse per le tecnologie, i dati e le infrastrutture che ne consentono l’utilizzo.
