Quasi 200.000 richieste ai modelli AI in due minuti, con il conto a carico dell’azienda compromessa. Chi aveva ottenuto l’accesso ne sfruttava la capacità di calcolo per alimentare un servizio destinato a clienti terzi. Anche questo è diventato il valore dell’intelligenza artificiale per il cybercrime: una risorsa da sottrarre e rivendere, lasciando alla vittima i costi.
“I costi computazionali sono elevati, quindi sono diventati loro stessi un bersaglio economicamente appetibile”, osserva Luca Nilo Livrieri, Senior Director, Sales Engineering Southern Europe di CrowdStrike. Il furto di risorse è uno dei cambiamenti che emergono dagli incidenti analizzati nel CrowdStrike 2026 Threat Hunting Report. Gli attaccanti sfruttano l’AI per superare gli ostacoli durante le intrusioni e ne colpiscono le infrastrutture: accessi ai modelli, ambienti di sviluppo, dipendenze software e identità degli agenti.
A collegare questi bersagli sono i permessi che consentono al software di lavorare. Un componente compromesso può distribuire codice malevolo a valle; un’identità autorizzata può aprire l’accesso a dati e servizi; una chiave cloud può trasformare le risorse aziendali in capacità di calcolo per conto degli attaccanti. “C’è da modificare il modo in cui abbiamo fatto entrare l’AI nella nostra operatività”.
Le osservazioni coprono il periodo tra il 1° luglio 2025 e il 30 giugno 2026 e arrivano da Falcon Adversary OverWatch, il servizio di threat hunting gestito che ricerca attività malevole attraverso endpoint, identità e cloud. Su 7.000 miliardi di eventi analizzati ogni giorno emergono oltre 14 milioni di segnali investigativi; il lavoro dei threat hunter produce oltre 36.000 notifiche e alert ai clienti all’anno. È da questi incidenti che prende forma il problema: l’AI ha già accessi, privilegi e un costo operativo, e la sua protezione deve tenerne conto.
Il calcolo è tuo, il servizio lo vende l’attaccante
L’AI si conferma un moltiplicatore delle capacità offensive. “Quando un attaccante trovava un ostacolo, prima doveva studiare, doveva fermarsi, doveva riconoscere l’ambiente. Adesso utilizza l’AI per superare un ostacolo in un’intrusione, soprattutto interattiva”. La disponibilità di uno strumento capace di assistere nelle operazioni tecniche riduce le pause necessarie per comprendere il sistema e proseguire.
Accanto a questo impiego emerge l’attacco alle risorse che fanno funzionare l’AI. L‘LLMJacking consiste nell’utilizzo non autorizzato dell’accesso ai large language model, spesso attraverso credenziali cloud compromesse. Nel caso delle quasi 200.000 richieste, risalente a maggio 2026, l’attaccante utilizzava un’identità cloud dotata di una chiave di accesso a lungo termine. Dopo aver verificato i permessi disponibili e superato gli ostacoli all’utilizzo dei modelli, ha generato il picco di traffico, prima che intervenisse il throttling, il meccanismo di limitazione delle richieste.
La varietà dei modelli utilizzati, delle regioni e delle dimensioni degli input e degli output suggerisce che le risorse fossero impiegate per inoltrare richieste di clienti terzi. “L’attaccante ha abusato dell’accesso della vittima per far girare un proprio servizio commerciale e rivenderne l’utilizzo a terzi”.
A rendere riconoscibile l’attività erano anche le richieste periodiche di controllo della disponibilità: messaggi molto brevi, concentrati su un modello e una regione, diversi dal traffico più eterogeneo attribuito ai clienti del servizio. “Abbiamo monitorato dei comandi di check, proprio per garantire che si potesse dare un servizio stabile”. L’attaccante aveva interesse a verificare che le risorse continuassero a rispondere.
Una chiamata API può apparire legittima se osservata isolatamente. Sono frequenza, contesto e comportamento complessivo a rivelare l’abuso, insieme alle anomalie nei consumi e nei costi.
Una dipendenza infetta, centinaia di progetti esposti
La stessa ricerca di accessi di valore interessa la supply chain delle applicazioni AI. Nel caso di Mastra, framework TypeScript per sviluppare applicazioni e agenti AI, l’accesso iniziale è passato da una persona: un contatto tramite LinkedIn e un link malevolo durante una videochiamata hanno consentito di compromettere l’ambiente di pubblicazione dei package.
CrowdStrike attribuisce l’operazione a STARDUST CHOLLIMA, gruppo legato alla Corea del Nord. Nel giugno 2026 l’attaccante ha inserito una dipendenza npm malevola in almeno 131 package di Mastra, utilizzandoli per distribuire il malware TeaBundle.
“Tramite ingegneria sociale è stato compromesso l’ambiente di pubblicazione del package. L’attaccante ha iniettato un package malevolo come dipendenza: non ha compromesso ognuno dei 131 package, ma ha inserito un singolo componente infetto che si è propagato a tutti”.
Gli strumenti di sviluppo possono disporre di credenziali cloud, accessi alle infrastrutture e capacità di automazione. La compromissione assume quindi una portata più ampia del furto di un account: “Nel giro di pochi mesi, invece di rubare semplicemente la credenziale dello sviluppatore, si è colpito direttamente lo sviluppo dell’intelligenza artificiale, quindi l’infrastruttura”.
L’automazione amplifica questa possibilità. Nelle campagne del maggio 2026, ALTERED SPIDER ha compromesso oltre 300 dipendenze software in un solo giorno. Il malware TeamPCPCloudStealer poteva usare le credenziali sottratte per pubblicare autonomamente versioni infette di ulteriori package negli ecosistemi npm e PyPI.
Lo stesso gruppo aveva colpito a marzo il repository GitHub trivy-action, un componente utilizzato per eseguire scansioni di sicurezza nei flussi di integrazione e distribuzione continua. Sostituendo il codice associato a diversi tag di rilascio, gli attaccanti avevano introdotto malware per il furto di credenziali negli ambienti CI/CD che richiamavano le versioni compromesse.
Il rischio si estende agli ambienti di sviluppo assistiti dall’AI. Tra gennaio e febbraio 2026, FAMOUS CHOLLIMA, altro gruppo legato alla Corea del Nord, ha utilizzato repository apparentemente legittimi contro aziende delle criptovalute e della blockchain. I progetti contenevano comandi malevoli nascosti nei file di configurazione e negli script: all’apertura nell’IDE, il terminale integrato o il task runner li eseguiva senza ulteriori interazioni della vittima.
Anche le integrazioni Model Context Protocol, MCP, che collegano le applicazioni AI a strumenti e dati esterni, possono entrare nella catena di attacco. In un tentativo di sfruttamento di software server legato all’AI, rilevato dall’infrastruttura honeypot di CrowdStrike, il payload conteneva una configurazione malevola di server MCP predisposta per leggere le variabili d’ambiente del processo padre e inviare informazioni sensibili a un webhook esterno.
La superficie da proteggere comprende quindi dipendenze, configurazioni, strumenti, identità e processi di pubblicazione: i punti attraverso cui il lavoro dello sviluppatore acquisisce accesso alle risorse aziendali.
Il login riesce, l’accesso finisce all’attaccante
Anche gli attacchi alle identità sfruttano la fiducia nei processi ordinari. Nei sei mesi considerati, i tentativi mensili di device code phishing sono aumentati di 15 volte. La tecnica abusa del flusso OAuth 2.0 di autorizzazione dei dispositivi, utilizzato per completare l’accesso su dispositivi con possibilità limitate di interazione.
Il meccanismo ricorda l’accesso a un servizio da un televisore: sullo schermo compare un codice e l’utente completa l’autenticazione da un altro dispositivo. Nell’attacco, la vittima inserisce un codice controllato dall’avversario su un portale legittimo e completa anche l’autenticazione multifattore. “Invece di autenticare il dispositivo A, si autentica il dispositivo dell’attaccante”.
L’avversario ottiene così i token che consentono l’accesso, senza dover convincere la vittima a digitare la password in una pagina contraffatta. “Non è che la tecnica sia diventata più efficace: dimostra che c’è stata una crescita dei tentativi e dell’utilizzo”. A favorirne l’adozione contribuiscono le piattaforme di phishing as a service: “Tutti i gruppi adesso possono affittare l’infrastruttura necessaria per lanciare queste campagne in maniera più semplice”.
La pressione sulle identità comprende anche il vishing, il phishing condotto attraverso chiamate vocali. Le intrusioni nelle quali la telefonata è stata individuata come probabile vettore iniziale sono raddoppiate nel primo semestre 2026 rispetto al secondo semestre 2025. Le campagne di CORDIAL SPIDER e SNARKY SPIDER sfruttano l’impersonificazione del personale IT per indurre gli utenti ad autenticarsi su pagine controllate dagli attaccanti e ottenere accesso alle applicazioni SaaS collegate al single sign-on.
In un caso, SNARKY SPIDER è passato dalla compromissione dell’account al furto di dati in meno di cinque minuti. L’accesso a un’identità già autorizzata può rendere superflui movimenti laterali e aumenti di privilegi. Per rilevare queste operazioni servono i log degli identity provider e delle applicazioni SaaS: gli endpoint gestiti possono non essere coinvolti.
L’AI è già in azienda. Con quali privilegi?
La risposta comincia dal modo in cui l’intelligenza artificiale viene introdotta nell’organizzazione. Va trattata come un’infrastruttura critica da proteggere, con competenze specifiche che in molte aziende non erano presenti.
“Bisogna inventariare le applicazioni e gli account di servizio, applicare logiche di privilegio minimo ai modelli e alle API, proteggere le credenziali e monitorare l’utilizzo delle API”. L’inventario comprende anche endpoint dei modelli, chiavi API, strumenti di sviluppo e risorse cloud e GPU. Da questa conoscenza discendono la segmentazione delle infrastrutture, dove appropriato, e il controllo delle anomalie di utilizzo e di costo.
“Vanno valutate tutte le dipendenze per il rischio della supply chain e irrobustiti gli ambienti di sviluppo. L’AI è entrata in azienda in maniera incontrollata”. Accessi e privilegi possono produrre danni seri se finiscono nelle mani degli attaccanti. I principi di zero trust devono quindi applicarsi anche a questi ambienti, senza attribuire fiducia implicita alla sola appartenenza alla rete aziendale.
Il volume delle attività rende indispensabile l’automazione difensiva. I detection leads attivati dagli agenti AI raggiungono un ritmo pari a 2,5 volte quello dei lead attivati da persone: il dato riguarda i segnali investigativi, non la quota degli attacchi autonomi. “Il volume dei segnali da analizzare sta crescendo a un ritmo che richiede sempre più automazione intelligente anche in fase difensiva”.
Cadenza, concentrazione temporale e ripetibilità delle operazioni aiutano a riconoscere le attività automatizzate. È il caso delle richieste di controllo osservate nel LLMJacking: il comportamento emerge dalla sequenza, prima ancora che dal significato di un singolo evento.
La falla diventa un attacco in poche ore
La velocità incide anche sulla gestione delle vulnerabilità. Tra gennaio e giugno 2026, l’88% dell’attività di sfruttamento osservata da CrowdStrike su vulnerabilità con un proof of concept pubblico è avvenuto entro 48 ore dalla pubblicazione del PoC. Il riferimento temporale è la disponibilità del codice dimostrativo di exploit. La compressione delle finestre precede l’adozione diffusa dei modelli AI di frontiera, che possono accelerarla ulteriormente.
“Bisogna capire quali vulnerabilità siano sfruttabili, anche rispetto agli avversari, e quali percorsi di attacco possano aprire all’interno delle aziende. Va ripensata la gestione delle vulnerabilità”. L’intervento deve seguire il rischio concreto che una debolezza venga utilizzata per raggiungere sistemi e dati.
L’intelligenza artificiale può aiutare anche chi difende, analizzando applicazioni e basi di codice. Il Frontier AI Readiness and Resilience Service applica modelli AI alla ricerca delle vulnerabilità, combina i risultati con la valutazione degli specialisti e fornisce indicazioni per la correzione, dando priorità al rischio legato agli avversari e alla criticità delle esposizioni.
“Gli strumenti che forniamo sono servizi che applicano questi modelli. Ci riserviamo di applicare il modello che riteniamo più efficace nello scenario. Se facciamo girare questi modelli sul sorgente in azienda, riusciamo a dare una visibilità che prima era impensabile”.
Nel caso delle applicazioni proprietarie, la disponibilità del sorgente costituisce un vantaggio per l’organizzazione. “L’attaccante può lavorare facendo reverse engineering, ma non ha i sorgenti, a meno che non entri in azienda con attacchi come quelli che abbiamo raccontato”. L’analisi permette di sfruttare questa asimmetria prima che venga meno: “Adesso un’azienda può essere un mezzo passo avanti rispetto all’attaccante, se fa questo tipo di analisi”.
Rimane una diffidenza verso l’analisi del codice all’esterno. “Alcune volte le aziende ci dicono: io non posso dare i sorgenti”. È possibile lavorare anche su porzioni del software, e la protezione riguarda inoltre la logica applicativa e i dati utilizzati. “Una delle cose più importanti che possiamo fare adesso per la sicurezza è l’analisi. Abbiamo dei servizi ed è un’attività che consigliamo caldamente”.
L’attacco attraversa i sistemi, la difesa deve seguirlo
Le singole misure acquistano efficacia quando la difesa collega ciò che avviene nei diversi ambienti. “Gli attacchi attraversano più domini in sequenza, per esempio endpoint e cloud. Va consolidata la visibilità di tutti questi ambienti”, per eliminare i punti ciechi di una superficie di attacco ampia.
La threat intelligence contribuisce a collegare identità, comportamenti e risorse coinvolte: “Serve a vedere tutto il percorso di attacco, non semplicemente le singole detection”. Gli agenti specializzati possono accelerare questo lavoro e la risposta degli analisti.
La varietà degli scenari comprende anche il contatto fisico con i dispositivi. Le close access operation contro laptop di persone in trasferta in Cina hanno incluso episodi avvenuti in orari compatibili con l’assenza degli utenti durante la cena.
CrowdStrike attribuisce queste operazioni a OVERCAST PANDA, gruppo legato alla Cina che utilizza la backdoor FlowCloud. L’avvio da un supporto rimovibile consente di raggiungere il disco al di fuori del sistema operativo normalmente in esecuzione e predisporre il malware per il successivo riavvio. In un incidente è stato rilevato l’inserimento di una USB avviabile poco prima del tentativo di compromissione; in almeno un altro caso è stata confermata la presenza del laptop in una camera d’albergo.
Lo scenario richiede cifratura completa del disco con autenticazione prima dell’avvio, protezione BIOS/UEFI e custodia fisica dei dispositivi. Il monitoraggio comportamentale dell’endpoint permette poi di riconoscere l’attività malevola quando il sistema torna al funzionamento normale.
Anche gli agenti vanno controllati dopo il login
Il controllo delle identità deve adattarsi alle caratteristiche degli agenti. “Lo zero trust è fondamentale anche per le identità non umane”. Per gli utenti umani restano centrali l’autenticazione multifattore e tecnologie resistenti al phishing come FIDO2. Per le identità non umane il lavoro si concentra sulla concessione e sulla durata dei privilegi.
“Non possiamo mettere in piedi nello stesso modo il secondo fattore. Dobbiamo lavorare più che altro sui privilegi e sulla gestione dei permessi dell’identità, che si attivano in maniera dinamica e puntuale rispetto ai job da eseguire”.
Il principio dello zero standing privilege è eliminare i privilegi permanenti non necessari e assegnare gli accessi quando servono alla specifica attività. “Sono misure necessarie. Che siano sufficienti, non ci metterei la mano sul fuoco. Il minimo che dobbiamo fare è gestire l’identità degli agenti nella maniera più stringente possibile”.
Occorre poi osservare ciò che l’identità fa: chiamate, flussi di richieste e anomalie. “Non è solo la gestione dell’identità a proteggerla: servono la protezione e la gestione delle chiamate, il monitoraggio dei flussi delle richieste e la gestione delle anomalie”. Anche per una persona, il login corretto non garantisce la sicurezza di tutto ciò che avviene dopo. “Serve un monitoraggio post-login anche per un’identità non umana. È l’analisi comportamentale di quello che fanno le identità che fa la differenza e consente una protezione più completa”.
Nel conto dell’AI c’è anche la sicurezza
Sostenere questi controlli con il solo lavoro umano diventa impraticabile. “Non è pensabile avere risorse umane che facciano questo tipo di controllo: ci vogliono strumenti legati agli agenti, configurati per rispondere a questi nuovi scenari. Non è pensabile rispondere con umani ad attacchi a velocità macchina”.
L’automazione difensiva entra così anche nella valutazione economica dell’adozione. Un processo AI deve produrre un valore di business capace di sostenere sicurezza, manutenzione e controllo: altrimenti questi oneri possono assorbire il vantaggio ottenuto. È un punto che richiede di valutare insieme utilità dell’applicazione, accessi necessari e impegno per governarli.
La risposta di Livrieri mantiene al centro la continuità aziendale: “La sicurezza è una condizione fondamentale per garantire la continuità operativa e la resilienza dell’organizzazione. È chiaro che ha dei costi, ma per noi è un valore”.
L’introduzione dell’AI deve quindi comprendere fin dall’inizio i controlli sulle risorse coinvolte. “È fondamentale che, quando mettiamo l’AI in azienda, questa abbia un controllo. Le identità e le infrastrutture non possono essere lasciate libere e non possono avere un accesso illimitato, come abbiamo visto succedere in questi esempi”.
